Initial commit
This commit is contained in:
commit
51e53f742b
7 changed files with 535 additions and 0 deletions
1
.gitignore
vendored
Normal file
1
.gitignore
vendored
Normal file
|
|
@ -0,0 +1 @@
|
||||||
|
staging-obfuscated.conf
|
||||||
285
cable.html
Normal file
285
cable.html
Normal file
|
|
@ -0,0 +1,285 @@
|
||||||
|
<!DOCTYPE html>
|
||||||
|
<html>
|
||||||
|
<head>
|
||||||
|
<meta charset="utf-8">
|
||||||
|
<meta name="generator" content="pandoc">
|
||||||
|
<meta name="author" content="torn | torn@autistici.org">
|
||||||
|
<meta name="author" content="gine | gine@ventuordici.org">
|
||||||
|
<title>Cable: un servizio Signal federato</title>
|
||||||
|
<meta name="apple-mobile-web-app-capable" content="yes">
|
||||||
|
<meta name="apple-mobile-web-app-status-bar-style" content="black-translucent">
|
||||||
|
<meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no, minimal-ui">
|
||||||
|
<link rel="stylesheet" href="http://lab.hakim.se/reveal-js/css/reveal.css">
|
||||||
|
<style type="text/css">code{white-space: pre;}</style>
|
||||||
|
<link rel="stylesheet" href="http://lab.hakim.se/reveal-js/css/theme/black.css" id="theme">
|
||||||
|
<!-- Printing and PDF exports -->
|
||||||
|
<script>
|
||||||
|
var link = document.createElement( 'link' );
|
||||||
|
link.rel = 'stylesheet';
|
||||||
|
link.type = 'text/css';
|
||||||
|
link.href = window.location.search.match( /print-pdf/gi ) ? 'http://lab.hakim.se/reveal-js/css/print/pdf.css' : 'http://lab.hakim.se/reveal-js/css/print/paper.css';
|
||||||
|
document.getElementsByTagName( 'head' )[0].appendChild( link );
|
||||||
|
</script>
|
||||||
|
<!--[if lt IE 9]>
|
||||||
|
<script src="http://lab.hakim.se/reveal-js/lib/js/html5shiv.js"></script>
|
||||||
|
<![endif]-->
|
||||||
|
</head>
|
||||||
|
<body>
|
||||||
|
<div class="reveal">
|
||||||
|
<div class="slides">
|
||||||
|
|
||||||
|
<section>
|
||||||
|
<h1 class="title">Cable: un servizio Signal federato</h1>
|
||||||
|
<p class="author">torn | <a href="torn@autistici.org" class="uri">torn@autistici.org</a></p>
|
||||||
|
<p class="author">gine | <a href="gine@ventuordici.org" class="uri">gine@ventuordici.org</a></p>
|
||||||
|
<p class="date">Hackmeeting 0x14 — Val di Susa</p>
|
||||||
|
</section>
|
||||||
|
<section id="TOC">
|
||||||
|
<ul>
|
||||||
|
<li><a href="#/perché-signal">Perché Signal</a></li>
|
||||||
|
<li><a href="#/perché-non-signal">Perché non Signal?</a></li>
|
||||||
|
<li><a href="#/infrastruttura-del-servizio">Infrastruttura del servizio</a></li>
|
||||||
|
<li><a href="#/configurazione-di-un-server">Configurazione di un server</a></li>
|
||||||
|
<li><a href="#/conclusioni">Conclusioni</a></li>
|
||||||
|
</ul>
|
||||||
|
</section>
|
||||||
|
|
||||||
|
<section><section id="perché-signal" class="titleslide slide level2"><h2>Perché Signal</h2></section><section id="pgpgpg" class="slide level3">
|
||||||
|
<h3>PGP/GPG</h3>
|
||||||
|
<p>Classico sistema a chiave pubblica.</p>
|
||||||
|
<ul>
|
||||||
|
<li>Offre:
|
||||||
|
<ul>
|
||||||
|
<li>Riservatezzaa</li>
|
||||||
|
<li>Autenticazione ed integrità</li>
|
||||||
|
</ul></li>
|
||||||
|
<li>Ma non ammette:
|
||||||
|
<ul>
|
||||||
|
<li>Forward secrecy</li>
|
||||||
|
<li>Deniable encryption</li>
|
||||||
|
</ul></li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="off-the-record-otr" class="slide level3">
|
||||||
|
<h3>Off-the-Record (OTR)</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Offre:
|
||||||
|
<ul>
|
||||||
|
<li>Riservatezza</li>
|
||||||
|
<li>Autenticazione</li>
|
||||||
|
<li>Forward secrecy (chiavi effimere)</li>
|
||||||
|
<li>Deniability</li>
|
||||||
|
</ul></li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="otr-three-step-ratchet" class="slide level3">
|
||||||
|
<h3>OTR Three-step-ratchet</h3>
|
||||||
|
<figure>
|
||||||
|
<img src="images/threestepratchet.png" alt="Three step ratchet" /><figcaption>Three step ratchet</figcaption>
|
||||||
|
</figure>
|
||||||
|
</section><section id="limitazioni-di-otr" class="slide level3">
|
||||||
|
<h3>Limitazioni di OTR</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Complessità: usa DSA</li>
|
||||||
|
<li>La <em>plausible deniability</em> richiede di disseminare le chiavi MAC usate</li>
|
||||||
|
<li><em>Deniability</em> comunque limitata</li>
|
||||||
|
<li>Non adatto a comunicazioni asincrone</li>
|
||||||
|
<li>Necessita che i messaggi arrivino in ordine</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="otr-e-comunicazioni-asincrone" class="slide level3">
|
||||||
|
<h3>OTR e comunicazioni asincrone</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Per mandare un messaggio è necessario prima completare uno scambio di chiavi</li>
|
||||||
|
<li>Non avviene se il destinatario è offline</li>
|
||||||
|
<li>Quando il destinatario torna online il miettente potrebbe non esserlo più</li>
|
||||||
|
<li>Il sistema funziona bene solo se entrambi hanno il client aperto contemporaneamente</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="double-ratchet-algorithm" class="slide level3">
|
||||||
|
<h3>Double Ratchet Algorithm</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Dopo uno scambio di chiavi iniziale, genera e mantiene delle chiavi effimere a vita breve</li>
|
||||||
|
<li>Quando possibile scambia le chiavi usando DH</li>
|
||||||
|
<li>Altrimenti genera il nuovo materiale crittografico con una funzione di derivazione</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="prekeys" class="slide level3">
|
||||||
|
<h3>Prekeys</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Alla registrazione il client genera 100 “prekey” e le comunica al server</li>
|
||||||
|
<li>Un altro client può iniziare una sessione usando una di queste prekey, anche se il destinatario è offline</li>
|
||||||
|
<li>Una prekey è usata solo una volta</li>
|
||||||
|
<li>La conversarione può iniziare in modo completamente asincrono</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="scambio-chiavi-alla-otr" class="slide level3">
|
||||||
|
<h3>Scambio chiavi alla OTR</h3>
|
||||||
|
<figure>
|
||||||
|
<img src="images/otr-current.png" alt="OTR Current" /><figcaption>OTR Current</figcaption>
|
||||||
|
</figure>
|
||||||
|
</section><section id="triple-diffie-hellman-handshake" class="slide level3">
|
||||||
|
<h3>Triple Diffie-Hellman handshake</h3>
|
||||||
|
<figure>
|
||||||
|
<img src="images/otr-simplified.png" alt="OTR Simplified" /><figcaption>OTR Simplified</figcaption>
|
||||||
|
</figure>
|
||||||
|
</section><section id="proprietà-da-wikipedia" class="slide level3">
|
||||||
|
<h3>Proprietà (da Wikipedia)</h3>
|
||||||
|
<p>The protocol provides confidentiality, integrity, authentication, destination validation, forward secrecy, backward secrecy, causality preservation, message unlinkability, message repudiation, participation repudiation, and asynchronicity.</p>
|
||||||
|
</section><section id="proprietà-2-da-wikipedia" class="slide level3">
|
||||||
|
<h3>Proprietà 2 (da Wikipedia)</h3>
|
||||||
|
<p>The group chat protocol is a combination of a pairwise double ratchet and multicast encryption. In addition to the properties provided by the one-to-one protocol, the group chat protocol provides speaker consistency, out-of-order resilience, dropped message resilience, computational equality, trust equality, subgroup messaging, as well as contractible and expandable membership.</p>
|
||||||
|
</section><section id="progetti-derivati" class="slide level3">
|
||||||
|
<h3>Progetti derivati</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Wire (protocollo Proteus)</li>
|
||||||
|
<li>OMEMO (XMPP)</li>
|
||||||
|
<li>OLM (Matrix)</li>
|
||||||
|
<li>Proprietari: Viber, WhatsApp, Facebook Messenger (secret conversations), Google Allo (incognito mode)</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="su-xmppomemo" class="slide level3">
|
||||||
|
<h3>Su XMPP/OMEMO</h3>
|
||||||
|
<p>XMPP+OMEMO funziona, usiamolo! Però:</p>
|
||||||
|
<ul>
|
||||||
|
<li>Usabilità</li>
|
||||||
|
<li>Autenticazione sul numero di telefono</li>
|
||||||
|
<li>La frammentazione è un problema</li>
|
||||||
|
<li>Supporto per (video)chiamate WebRTC</li>
|
||||||
|
<li>Diverso tipo di utenza</li>
|
||||||
|
<li><strong>Evidenza sperimentale!</strong></li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="labbiamo-fatto-perché-possiamo" class="slide level3">
|
||||||
|
<h3>L’abbiamo fatto perché possiamo!</h3>
|
||||||
|
</section></section>
|
||||||
|
<section><section id="perché-non-signal" class="titleslide slide level2"><h2>Perché non Signal?</h2></section><section id="problemi-di-signal" class="slide level3">
|
||||||
|
<h3>Problemi di Signal</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Il servizio è centralizzato</li>
|
||||||
|
<li>Dipende da servizi commerciali (Twilio, Amazon, Google, Apple)</li>
|
||||||
|
<li>Il client ha dipendenze proprietario (librerie Google)</li>
|
||||||
|
<li>Moxie ha altre priorità</li>
|
||||||
|
<li>Non è un <em>silver bullet</em> (vedi: trojan di stato)</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="la-federazione-in-signal" class="slide level3">
|
||||||
|
<h3>La federazione in Signal</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Server e client supportano nativamente la federazione</li>
|
||||||
|
<li>Il servizio è stato federaton con CyanogenMod da dicembre 2013 a gennaio 2016 (WhisperPush)</li>
|
||||||
|
<li>Moxie: <a href="https://whispersystems.org/blog/the-ecosystem-is-moving/">Reflections: The ecosystem is moving</a></li>
|
||||||
|
<li>Moxie non intende federare</li>
|
||||||
|
<li>Implementazione parziale nei client non-mobile</li>
|
||||||
|
</ul>
|
||||||
|
</section></section>
|
||||||
|
<section><section id="infrastruttura-del-servizio" class="titleslide slide level2"><h2>Infrastruttura del servizio</h2></section><section id="lato-server" class="slide level3">
|
||||||
|
<h3>Lato server:</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Signal-Server</li>
|
||||||
|
<li>Redis, PostgreSQL</li>
|
||||||
|
<li>Twilio (alternative?)</li>
|
||||||
|
<li>Servizi Push Google e Apple</li>
|
||||||
|
<li>Amazon S3 (attachment)</li>
|
||||||
|
<li>Server STUN/TURN (WebRTC)</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="notifiche-e-consegna-messaggi" class="slide level3">
|
||||||
|
<h3>Notifiche e consegna messaggi</h3>
|
||||||
|
<p>Da alcuni mesi il client Android funziona senza Google Play Services, mantenendo una connessione (WebSocket) attiva verso il server.</p>
|
||||||
|
<p>L’APK ufficiale contiene comunque le librerie Google.</p>
|
||||||
|
</section><section id="federazione" class="slide level3">
|
||||||
|
<h3>Federazione</h3>
|
||||||
|
<p>Una rete di server Signal federati è una rete “chiusa”, alla IRC, non aperta tipo SMTP o XMPP. Questo ha vantaggi e svantaggi. Un vantaggio: meno problemi di frammentazione.</p>
|
||||||
|
<p>Gli utenti si registrano su uno specifico server, il quale sa che altri utenti esistono e in che server. Fa da relay.</p>
|
||||||
|
</section><section id="liberazione-del-server" class="slide level3">
|
||||||
|
<h3>Liberazione del Server</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Servizi push: disabilitati. Le notifiche avvengono solo tramite WebSocket</li>
|
||||||
|
<li>Endpoint S3 reso configurabile, in modo da poter usare un qualsiasi servizio compatibili con S3</li>
|
||||||
|
<li>Server STUN/TURN: CoTURN</li>
|
||||||
|
</ul>
|
||||||
|
<p><a href="https://github.com/CableIM/Cable-Server" class="uri">https://github.com/CableIM/Cable-Server</a></p>
|
||||||
|
<p><code>$ git diff ows/master</code></p>
|
||||||
|
</section><section id="liberazione-del-client" class="slide level3">
|
||||||
|
<h3>Liberazione del Client</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Rimosse tutte le librerie Google (viene persa la funzione “Send my location”)</li>
|
||||||
|
<li>Modificata la configurazione (URL, certificati)</li>
|
||||||
|
<li>Tutto il resto funziona, anche le chiamate!</li>
|
||||||
|
<li><a href="https://github.com/CableIM/Cable-Android" class="uri">https://github.com/CableIM/Cable-Android</a></li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="altre-modifiche-al-client" class="slide level3">
|
||||||
|
<h3>Altre modifiche al client</h3>
|
||||||
|
<p>Interfaccia di selezione del server (gine)</p>
|
||||||
|
<p>Default più stringenti</p>
|
||||||
|
</section></section>
|
||||||
|
<section><section id="configurazione-di-un-server" class="titleslide slide level2"><h2>Configurazione di un server</h2></section><section id="requisiti" class="slide level3">
|
||||||
|
<h3>Requisiti</h3>
|
||||||
|
<p>Serve una macchina (virtuale) dedicata, in quanto alcuni servizi (in particolare i db) sono complessi da rendere sicuri.</p>
|
||||||
|
<p>Serve un IP pubblico, non per forza dedicato.</p>
|
||||||
|
<p>Molta pazienza: non c’è documentazione.</p>
|
||||||
|
<p>Incandenza, HM0x13.</p>
|
||||||
|
</section><section id="server-di-hacklabbo" class="slide level3">
|
||||||
|
<h3>Server di HacklabBO</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Debian Stretch</li>
|
||||||
|
<li>PostgreSQL 9.6</li>
|
||||||
|
<li>Redis</li>
|
||||||
|
<li>OpenJDK 8</li>
|
||||||
|
<li>Cable-Server</li>
|
||||||
|
<li>S3: Minio (<a href="https://minio.io/" class="uri">https://minio.io/</a>)</li>
|
||||||
|
<li>Apache / nginx</li>
|
||||||
|
<li>STUN/TURN: CoTURN</li>
|
||||||
|
<li>Twilio</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="federare-due-server" class="slide level3">
|
||||||
|
<h3>Federare due server</h3>
|
||||||
|
<ul>
|
||||||
|
<li>L’autenticazione avviene con certificato e password</li>
|
||||||
|
<li>Le directory di utenti vanno sincronizzate periodicamente</li>
|
||||||
|
<li>L’implementazione non è raffinata come il resto…</li>
|
||||||
|
<li>Vedi: <a href="staging-obfuscated.conf">file di configurazione</a></li>
|
||||||
|
</ul>
|
||||||
|
</section></section>
|
||||||
|
<section><section id="conclusioni" class="titleslide slide level2"><h2>Conclusioni</h2></section><section id="todo" class="slide level3">
|
||||||
|
<h3>TODO</h3>
|
||||||
|
<ul>
|
||||||
|
<li>Federare due server</li>
|
||||||
|
<li>Mailing list di gestione della rete federata</li>
|
||||||
|
<li>Pubblicare l’app su F-Droid</li>
|
||||||
|
<li>Documentazione</li>
|
||||||
|
<li>Fare un’icona decente</li>
|
||||||
|
</ul>
|
||||||
|
</section><section id="piani-futuri-e-idee" class="slide level3">
|
||||||
|
<h3>Piani futuri e idee</h3>
|
||||||
|
<p>Registrazione con email o con identificativo univoco casuale</p>
|
||||||
|
<p><a href="https://github.com/WhisperSystems/Signal-Android/issues/1085" class="uri">https://github.com/WhisperSystems/Signal-Android/issues/1085</a></p>
|
||||||
|
<p>Eliminare tutta la parte di telefonia standard e SMS</p>
|
||||||
|
<p>Integrazione con Tor</p>
|
||||||
|
<p>Client per iPhone</p>
|
||||||
|
</section><section id="codice" class="slide level3">
|
||||||
|
<h3>Codice</h3>
|
||||||
|
<p><a href="https://github.com/CableIM/" class="uri">https://github.com/CableIM/</a></p>
|
||||||
|
<p>Signal-Android: GPLv3</p>
|
||||||
|
<p>Signal-Server: AGPLv3</p>
|
||||||
|
</section><section id="repository-f-droid" class="slide level3">
|
||||||
|
<h3>Repository F-Droid</h3>
|
||||||
|
<p><a href="https://fdroid.cable.im/" class="uri">https://fdroid.cable.im/</a></p>
|
||||||
|
<p>Fingerprint:</p>
|
||||||
|
<p>4C:C3:E0:6E:72:67:4E:77:98:60:0B:AD:1B:92:D7:D6 23:71:07:A9:F4:DD:0A:04:4E:60:5E:CC:01:60:FA:21</p>
|
||||||
|
</section></section>
|
||||||
|
</div>
|
||||||
|
</div>
|
||||||
|
|
||||||
|
<script src="http://lab.hakim.se/reveal-js/lib/js/head.min.js"></script>
|
||||||
|
<script src="http://lab.hakim.se/reveal-js/js/reveal.js"></script>
|
||||||
|
|
||||||
|
<script>
|
||||||
|
|
||||||
|
// Full list of configuration options available at:
|
||||||
|
// https://github.com/hakimel/reveal.js#configuration
|
||||||
|
Reveal.initialize({
|
||||||
|
// Display the page number of the current slide
|
||||||
|
slideNumber: true,
|
||||||
|
|
||||||
|
// Optional reveal.js plugins
|
||||||
|
dependencies: [
|
||||||
|
{ src: 'http://lab.hakim.se/reveal-js/lib/js/classList.js', condition: function() { return !document.body.classList; } },
|
||||||
|
{ src: 'http://lab.hakim.se/reveal-js/plugin/zoom-js/zoom.js', async: true },
|
||||||
|
{ src: 'http://lab.hakim.se/reveal-js/plugin/notes/notes.js', async: true }
|
||||||
|
]
|
||||||
|
});
|
||||||
|
</script>
|
||||||
|
</body>
|
||||||
|
</html>
|
||||||
247
cable.md
Normal file
247
cable.md
Normal file
|
|
@ -0,0 +1,247 @@
|
||||||
|
---
|
||||||
|
title: 'Cable: un servizio Signal federato'
|
||||||
|
author:
|
||||||
|
- torn | [torn@autistici.org](torn@autistici.org)
|
||||||
|
- gine | [gine@ventuordici.org](gine@ventuordici.org)
|
||||||
|
date: Hackmeeting 0x14 --- Val di Susa
|
||||||
|
---
|
||||||
|
|
||||||
|
## Perché Signal
|
||||||
|
|
||||||
|
### PGP/GPG
|
||||||
|
|
||||||
|
Classico sistema a chiave pubblica.
|
||||||
|
|
||||||
|
* Offre:
|
||||||
|
* Riservatezzaa
|
||||||
|
* Autenticazione ed integrità
|
||||||
|
|
||||||
|
* Ma non ammette:
|
||||||
|
* Forward secrecy
|
||||||
|
* Deniable encryption
|
||||||
|
|
||||||
|
### Off-the-Record (OTR)
|
||||||
|
|
||||||
|
* Offre:
|
||||||
|
* Riservatezza
|
||||||
|
* Autenticazione
|
||||||
|
* Forward secrecy (chiavi effimere)
|
||||||
|
* Deniability
|
||||||
|
|
||||||
|
### OTR Three-step-ratchet
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
### Limitazioni di OTR
|
||||||
|
|
||||||
|
* Complessità: usa DSA
|
||||||
|
* La *plausible deniability* richiede di disseminare le chiavi MAC usate
|
||||||
|
* *Deniability* comunque limitata
|
||||||
|
* Non adatto a comunicazioni asincrone
|
||||||
|
* Necessita che i messaggi arrivino in ordine
|
||||||
|
|
||||||
|
### OTR e comunicazioni asincrone
|
||||||
|
|
||||||
|
* Per mandare un messaggio è necessario prima completare uno scambio di chiavi
|
||||||
|
* Non avviene se il destinatario è offline
|
||||||
|
* Quando il destinatario torna online il miettente potrebbe non esserlo più
|
||||||
|
* Il sistema funziona bene solo se entrambi hanno il client aperto contemporaneamente
|
||||||
|
|
||||||
|
### Double Ratchet Algorithm
|
||||||
|
|
||||||
|
* Dopo uno scambio di chiavi iniziale, genera e mantiene delle chiavi effimere a vita breve
|
||||||
|
* Quando possibile scambia le chiavi usando DH
|
||||||
|
* Altrimenti genera il nuovo materiale crittografico con una funzione di derivazione
|
||||||
|
|
||||||
|
### Prekeys
|
||||||
|
|
||||||
|
* Alla registrazione il client genera 100 "prekey" e le comunica al server
|
||||||
|
* Un altro client può iniziare una sessione usando una di queste prekey, anche se il destinatario è offline
|
||||||
|
* Una prekey è usata solo una volta
|
||||||
|
* La conversarione può iniziare in modo completamente asincrono
|
||||||
|
|
||||||
|
### Scambio chiavi alla OTR
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
### Triple Diffie-Hellman handshake
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
### Proprietà (da Wikipedia)
|
||||||
|
|
||||||
|
The protocol provides confidentiality, integrity, authentication,
|
||||||
|
destination validation, forward secrecy,
|
||||||
|
backward secrecy, causality preservation,
|
||||||
|
message unlinkability, message repudiation, participation
|
||||||
|
repudiation, and asynchronicity.
|
||||||
|
|
||||||
|
### Proprietà 2 (da Wikipedia)
|
||||||
|
|
||||||
|
The group chat protocol is a combination of a pairwise
|
||||||
|
double ratchet and multicast encryption. In addition to the
|
||||||
|
properties provided by the one-to-one protocol, the group chat
|
||||||
|
protocol provides speaker consistency, out-of-order resilience,
|
||||||
|
dropped message resilience, computational equality, trust
|
||||||
|
equality, subgroup messaging, as well as contractible and
|
||||||
|
expandable membership.
|
||||||
|
|
||||||
|
### Progetti derivati
|
||||||
|
|
||||||
|
* Wire (protocollo Proteus)
|
||||||
|
* OMEMO (XMPP)
|
||||||
|
* OLM (Matrix)
|
||||||
|
* Proprietari: Viber, WhatsApp, Facebook Messenger (secret conversations), Google Allo (incognito mode)
|
||||||
|
|
||||||
|
### Su XMPP/OMEMO
|
||||||
|
|
||||||
|
XMPP+OMEMO funziona, usiamolo! Però:
|
||||||
|
|
||||||
|
* Usabilità
|
||||||
|
* Autenticazione sul numero di telefono
|
||||||
|
* La frammentazione è un problema
|
||||||
|
* Supporto per (video)chiamate WebRTC
|
||||||
|
* Diverso tipo di utenza
|
||||||
|
* **Evidenza sperimentale!**
|
||||||
|
|
||||||
|
### L'abbiamo fatto perché possiamo!
|
||||||
|
|
||||||
|
## Perché non Signal?
|
||||||
|
|
||||||
|
### Problemi di Signal
|
||||||
|
|
||||||
|
* Il servizio è centralizzato
|
||||||
|
* Dipende da servizi commerciali (Twilio, Amazon, Google, Apple)
|
||||||
|
* Il client ha dipendenze proprietario (librerie Google)
|
||||||
|
* Moxie ha altre priorità
|
||||||
|
* Non è un *silver bullet* (vedi: trojan di stato)
|
||||||
|
|
||||||
|
### La federazione in Signal
|
||||||
|
|
||||||
|
* Server e client supportano nativamente la federazione
|
||||||
|
* Il servizio è stato federaton con CyanogenMod da dicembre 2013 a gennaio 2016 (WhisperPush)
|
||||||
|
* Moxie: [Reflections: The ecosystem is moving](https://whispersystems.org/blog/the-ecosystem-is-moving/)
|
||||||
|
* Moxie non intende federare
|
||||||
|
* Implementazione parziale nei client non-mobile
|
||||||
|
|
||||||
|
## Infrastruttura del servizio
|
||||||
|
|
||||||
|
### Lato server:
|
||||||
|
|
||||||
|
* Signal-Server
|
||||||
|
* Redis, PostgreSQL
|
||||||
|
* Twilio (alternative?)
|
||||||
|
* Servizi Push Google e Apple
|
||||||
|
* Amazon S3 (attachment)
|
||||||
|
* Server STUN/TURN (WebRTC)
|
||||||
|
|
||||||
|
### Notifiche e consegna messaggi
|
||||||
|
|
||||||
|
Da alcuni mesi il client Android funziona senza Google Play Services,
|
||||||
|
mantenendo una connessione (WebSocket) attiva verso il server.
|
||||||
|
|
||||||
|
L'APK ufficiale contiene comunque le librerie Google.
|
||||||
|
|
||||||
|
### Federazione
|
||||||
|
|
||||||
|
Una rete di server Signal federati è una rete "chiusa", alla IRC, non aperta
|
||||||
|
tipo SMTP o XMPP. Questo ha vantaggi e svantaggi. Un vantaggio: meno problemi
|
||||||
|
di frammentazione.
|
||||||
|
|
||||||
|
Gli utenti si registrano su uno specifico server, il quale sa che altri utenti
|
||||||
|
esistono e in che server. Fa da relay.
|
||||||
|
|
||||||
|
### Liberazione del Server
|
||||||
|
|
||||||
|
* Servizi push: disabilitati. Le notifiche avvengono solo tramite WebSocket
|
||||||
|
* Endpoint S3 reso configurabile, in modo da poter usare un qualsiasi servizio compatibili con S3
|
||||||
|
* Server STUN/TURN: CoTURN
|
||||||
|
|
||||||
|
[https://github.com/CableIM/Cable-Server](https://github.com/CableIM/Cable-Server)
|
||||||
|
|
||||||
|
`$ git diff ows/master`
|
||||||
|
|
||||||
|
### Liberazione del Client
|
||||||
|
|
||||||
|
* Rimosse tutte le librerie Google (viene persa la funzione "Send my location")
|
||||||
|
* Modificata la configurazione (URL, certificati)
|
||||||
|
* Tutto il resto funziona, anche le chiamate!
|
||||||
|
* [https://github.com/CableIM/Cable-Android](https://github.com/CableIM/Cable-Android)
|
||||||
|
|
||||||
|
### Altre modifiche al client
|
||||||
|
|
||||||
|
Interfaccia di selezione del server (gine)
|
||||||
|
|
||||||
|
Default più stringenti
|
||||||
|
|
||||||
|
## Configurazione di un server
|
||||||
|
|
||||||
|
### Requisiti
|
||||||
|
|
||||||
|
Serve una macchina (virtuale) dedicata,
|
||||||
|
in quanto alcuni servizi (in particolare i db)
|
||||||
|
sono complessi da rendere sicuri.
|
||||||
|
|
||||||
|
Serve un IP pubblico, non per forza dedicato.
|
||||||
|
|
||||||
|
Molta pazienza: non c'è documentazione.
|
||||||
|
|
||||||
|
Incandenza, HM0x13.
|
||||||
|
|
||||||
|
### Server di HacklabBO
|
||||||
|
|
||||||
|
* Debian Stretch
|
||||||
|
* PostgreSQL 9.6
|
||||||
|
* Redis
|
||||||
|
* OpenJDK 8
|
||||||
|
* Cable-Server
|
||||||
|
* S3: Minio ([https://minio.io/](https://minio.io/))
|
||||||
|
* Apache / nginx
|
||||||
|
* STUN/TURN: CoTURN
|
||||||
|
* Twilio
|
||||||
|
|
||||||
|
### Federare due server
|
||||||
|
|
||||||
|
* L'autenticazione avviene con certificato e password
|
||||||
|
* Le directory di utenti vanno sincronizzate periodicamente
|
||||||
|
* L'implementazione non è raffinata come il resto...
|
||||||
|
* Vedi: [file di configurazione](staging-obfuscated.conf)
|
||||||
|
|
||||||
|
## Conclusioni
|
||||||
|
|
||||||
|
### TODO
|
||||||
|
|
||||||
|
* Federare due server
|
||||||
|
* Mailing list di gestione della rete federata
|
||||||
|
* Pubblicare l'app su F-Droid
|
||||||
|
* Documentazione
|
||||||
|
* Fare un'icona decente
|
||||||
|
|
||||||
|
### Piani futuri e idee
|
||||||
|
|
||||||
|
Registrazione con email o con identificativo univoco casuale
|
||||||
|
|
||||||
|
[https://github.com/WhisperSystems/Signal-Android/issues/1085](https://github.com/WhisperSystems/Signal-Android/issues/1085)
|
||||||
|
|
||||||
|
Eliminare tutta la parte di telefonia standard e SMS
|
||||||
|
|
||||||
|
Integrazione con Tor
|
||||||
|
|
||||||
|
Client per iPhone
|
||||||
|
|
||||||
|
### Codice
|
||||||
|
|
||||||
|
[https://github.com/CableIM/](https://github.com/CableIM/)
|
||||||
|
|
||||||
|
Signal-Android: GPLv3
|
||||||
|
|
||||||
|
Signal-Server: AGPLv3
|
||||||
|
|
||||||
|
### Repository F-Droid
|
||||||
|
|
||||||
|
[https://fdroid.cable.im/](https://fdroid.cable.im/)
|
||||||
|
|
||||||
|
Fingerprint:
|
||||||
|
|
||||||
|
4C:C3:E0:6E:72:67:4E:77:98:60:0B:AD:1B:92:D7:D6
|
||||||
|
23:71:07:A9:F4:DD:0A:04:4E:60:5E:CC:01:60:FA:21
|
||||||
BIN
images/otr-current.png
Normal file
BIN
images/otr-current.png
Normal file
Binary file not shown.
|
After Width: | Height: | Size: 19 KiB |
BIN
images/otr-simplified.png
Normal file
BIN
images/otr-simplified.png
Normal file
Binary file not shown.
|
After Width: | Height: | Size: 23 KiB |
BIN
images/threestepratchet.png
Normal file
BIN
images/threestepratchet.png
Normal file
Binary file not shown.
|
After Width: | Height: | Size: 18 KiB |
2
pandocca
Executable file
2
pandocca
Executable file
|
|
@ -0,0 +1,2 @@
|
||||||
|
#!/bin/sh
|
||||||
|
pandoc -t revealjs -f markdown -s -S --slide-level=3 --toc --toc-depth=2 -V theme=black -V slideNumber=true -V revealjs-url=http://lab.hakim.se/reveal-js cable.md -o cable.html
|
||||||
Loading…
Reference in a new issue