Utilizzare OTR su Linux

Cos'è OTR ?

OTR ( Off-the-record ) è un protocollo che consente alle persone di avere conversazioni riservate utilizzando gli strumenti di messaggistica con cui hanno già familiarità. OTR fornisce questa sicurezza da:

• crittografando le tue chat
• dandoti un modo per assicurarti che la persona con cui stai chattando sia davvero quella persona
• non consentire al server di accedere o accedere in altro modo alle conversazioni

Questo non deve essere confuso con "Off the record" di Google, che semplicemente disabilita la registrazione della chat e non ha crittografia o capacità di verifica.

Esistono diversi modi per utilizzare OTR su Linux. In questa guida ti illustreremo come utilizzare il plug-in OTR per Pidgin. Pidgin è un popolare client di messaggistica istantanea disponibile per molte distribuzioni Linux. Può essere esteso con capacità extra tramite plugin, che di solito vengono installati separatamente.

Il client di messaggistica istantanea, Pidgin, registra automaticamente le conversazioni non OTR per impostazione predefinita, tuttavia è possibile disabilitare questa funzionalità. Detto questo, non hai il controllo sulla persona con cui stai chattando, potrebbe registrare o prendere screenshot della tua conversazione, anche se tu stesso hai disattivato la registrazione.

Perché dovrei usare Pidgin + OTR?

Quando hai una conversazione chat che utilizza Google Hangouts o una chat di Facebook sui siti web di Google o Facebook, quella chat viene crittografata utilizzando HTTPS , il che significa che il contenuto della tua chat è protetto dagli hacker e da altre terze parti mentre è in transito. Tuttavia, nonè protetto da Google o Facebook, che hanno le chiavi delle tue conversazioni e possono consegnarle alle autorità.

Dopo aver installato Pidgin, puoi eseguire l'accesso utilizzando più account contemporaneamente. Ad esempio, potresti utilizzare Google Hangouts, Facebook e XMPP contemporaneamente. Pidgin ti consente anche di chattare usando questi strumenti senza OTR. Dato che OTR funziona solo se entrambi lo usano, questo significa che anche se l'altra persona non lo ha installato, puoi comunque chattare con loro usando Pidgin.

Pidgin ti consente anche di eseguire la verifica fuori banda per assicurarti di parlare con la persona con cui pensi di parlare e di non essere soggetto a un MITM attacco . Per ogni conversazione, c'è un'opzione che ti mostrerà la chiave le impronte digitali che ha per te e la persona con cui stai chattando. Una " impronta digitale chiave "è una stringa di caratteri come" 342e 2309 bd20 0912 ff10 6c63 2192 1928, "usata per verificare una chiave pubblica più lunga. Scambia le tue impronte digitali attraverso un altro canale di comunicazione, come Twitter DM o e-mail, per assicurarti che nessuno interferisca con la tua conversazione.

Limitazioni: quando non dovrei usare Pidgin + OTR?

I tecnologi hanno un termine per descrivere quando un programma o una tecnologia potrebbero essere vulnerabili ad attacchi esterni : dicono che ha una grande "superficie d'attacco". Pidgin ha una grande superficie d'attacco. È un programma complesso, che non è stato scritto con sicurezza come priorità assoluta. Quasi certamente ha dei bug, alcuni dei quali potrebbero essere utilizzati dai governi o persino dalle grandi aziende per entrare nei computer che lo utilizzano. Utilizzando Pidgin per crittografare le tue conversazioni sono una grande difesa contro il tipo di sorveglianza della dragnet non mirata che viene usata per spiare le conversazioni su Internet di tutti, ma se pensi di essere personalmente preso di mira da un attaccante ben equipaggiato (come uno stato-nazione), dovresti considerare più forte precauzioni, come PGP -email crittografata.

Ottenere e installare Pidgin e Pidgin OTR

Mentre Pidgin e il plugin OTR funzionano in modo simile su ogni distribuzione Linux, ci sono alcune differenze. La più grande differenza tra le distribuzioni è come trovare e installare Pidgin e Pidgin OTR.

Nella seguente procedura, utilizziamo Mint 17, che fornisce Pidgin per impostazione predefinita e offre Pidgin OTR nel suo Centro Software Mint. Entrambi i programmi saranno quasi certamente disponibili nel repository software della propria distribuzione Linux: Ubuntu Software Center per Ubuntu, PackageKit per Redhat o Fedora, il comando apt-get per Debian e così via. Il pacchetto per Pidgin stesso viene solitamente chiamato "pidgin"; il pacchetto per il plugin OTR è solitamente chiamato "pidgin-otr".

Pidgin può anche apparire leggermente diverso dagli screenshot qui sotto, in base al quale si usa Linux windows manager.

Configurazione del Pidgin

Aggiunta di un dell'account

ra vedrai la finestra "Aggiungi account". Pidgin è in grado di funzionare con molti sistemi di chat, ma ci concentreremo su XMPP , precedentemente noto come Jabber.

Al protocollo voce, selezionare l'opzione "XMPP" .

Alla voce Nome utente, inserisci il tuo nome utente XMPP .

Alla voce Dominio, inserisci il dominio del tuo account XMPP .

Alla password voce, inserisci la tua password XMPP .

Chat sicuro

Adesso puoi chattare con Boris. Voi due potete inviare messaggi avanti e indietro. Tuttavia, non stiamo ancora chattando in modo sicuro. Anche se ti stai connettendo a XMPP server, è possibile che la connessione tra te e Boris non sia protetta dallo snooping. Se guardi la finestra della chat, noti che dice "Non privato" in rosso in basso a destra. Fai clic sul pulsante "Non privato" .

segreto condiviso condiviso

Un segreto condiviso è una riga di testo che tu e la persona con cui vuoi chattare hai accettato di utilizzare in anticipo. Quando possibile, condividi questa riga di testo l'uno con l'altro di persona; non scambiare mai queste informazioni su canali non sicuri come e-mail o Skype.

Impronta digitale manuale verifica

La verifica manuale delle impronte digitali è utile se ti è già stata fornita l'impronta digitale del tuo amico e ora ti stai connettendo con pidgin. Questo non sarà utile se il tuo amico ha cambiato computer o ha dovuto creare nuove impronte digitali.

Domanda e risposta

La verifica di domande e risposte è utile se conosci il tuo amico ma non hai stabilito un segreto condiviso né hai la possibilità di condividere le impronte digitali. Questo metodo è utile per stabilire la verifica in base a qualcosa che entrambi conoscono, come un evento o una memoria condivisi.

Inserisci la domanda che vuoi chiedere. Non rendere troppo semplice il fatto che qualcuno possa indovinarlo facilmente, ma non renderlo impossibile. Un esempio di una buona domanda sarebbe "Dove siamo andati a cena a Minneapolis?" Un esempio di una brutta domanda sarebbe "Puoi comprare mele a Tokyo?"

La capitalizzazione è importante, quindi potresti prendere in considerazione una nota tra parentesi (ad esempio: usa maiuscole, minuscole)

Lavorare con altri software

I meccanismi per verificare l'autenticità dovrebbero funzionare tra diversi software di chat come Jitsi, Pidgin, Adium e Kopete. Non è necessario utilizzare lo stesso software di chat per utilizzare la chat su XMPP e OTR , ma a volte ci sono errori nel software. Adium, un software di chat per OS X, ha un errore nel ricevere la verifica di domande e risposte. Se si scopre che la verifica degli altri non funziona per te quando si utilizza la verifica di domande e risposte, verificare se stanno utilizzando Adium e vedere se è possibile utilizzare un altro metodo di verifica.