Sia Facebook Messenger (che utilizza conversazioni segrete) che WhatsApp implementano la crittografia end-to-end, il che significa che quando invii un messaggio il tuo testo viene crittografato sul tuo computer e decrittografato sul computer di destinazione. Il testo dei tuoi messaggi non è visibile a nessuno nel mezzo a meno che non rompa la crittografia, cosa che per scopi pratici non accadrà (a meno che tu non sia oggetto di un'indagine di sicurezza nazionale, nel qual caso hai problemi maggiori che condividere la tua password Netflix con i fanatici della NSA).

Tuttavia, fai attenzione che la crittografia end-to-end protegge solo il canale di comunicazione stesso. Non ti protegge da minacce quali:

• Malware, come keylogger o screen grabber che sono stati installati sul tuo computer o sul computer di destinazione
• Amici / familiari che decidere di ricondividere o modificare la password senza la tua autorizzazione
• Netflix, che monitora queste cose e vedrà che il tuo account viene utilizzato in più luoghi geografici e quindi probabilmente condiviso contro i loro termini di servizio. Netflix ha piani che consentono più streaming tra i membri della famiglia, quindi questo di per sé non è un problema risolvibile a meno che la tua password non sia in qualche modo condivisa ampiamente.
• Le forze dell'ordine, se ti capita di vivere in un'area che ha criminalizzato la condivisione delle password
• Come sottolineato da daniel nei commenti, Facebook (che possiede sia Facebook Messenger che WhatsApp) potrebbe accidentalmente fornire una sicurezza debole o essere complice nella violazione della sicurezza degli utenti (ad es. per assistere un'indagine delle forze dell'ordine). Poiché le applicazioni proprietarie (non open source) nessuno di questi software è stato controllato da ricercatori di sicurezza esterni, Facebook potrebbe avere un'implementazione scadente o potrebbe copiare / ispezionare i tuoi dati sul dispositivo di origine o di destinazione. Inoltre, poiché queste applicazioni creano e controllano le chiavi di crittografia utilizzate per implementare la crittografia end-to-end, devi presumere che Facebook possa violare la crittografia se lo desiderano (o chiunque a cui darebbero le chiavi, ad esempio le forze dell'ordine).
• Un altro punto eccellente di Gert van den Berg nei commenti: alcune app di messaggistica eseguiranno automaticamente il backup nel cloud. La sicurezza intorno all'archiviazione cloud non è così forte come la crittografia end-to-end utilizzata nel canale di comunicazione. Vedi, ad esempio, gli attacchi Fappening per maggiori informazioni su come il cloud rappresenti una minaccia per la privacy dei dati. (Anche per dati presumibilmente cancellati!)

"Accettabile" è relativo al livello di rischio che desideri accettare.

Personalmente, penso che WhatsApp sia adatto a questo. Poiché ha una buona crittografia end-to-end. Ma penso anche che Facebook vada bene solo perché è una password Netflix e non la tua banca.

Come ho detto. Dipende da te e dalla tua propensione al rischio. Personalmente, sarei più che felice di usare WhatsApp con la mia famiglia.

Nel caso di una password Netflix, passare la password tramite FB Messenger o WhatsApp sarà abbastanza sicuro. I dati, durante il transito, verranno crittografati utilizzando moderne tecnologie di crittografia. Tieni presente però che la password sarà visibile sia nella tua casella di posta che nella casella di posta del destinatario, in testo normale. Ciò può comportare un rischio se l'account Messenger / WhatsApp del destinatario è compromesso (o il tuo account).

Ipoteticamente, se stai inviando messaggi con informazioni riservate relative, diciamo, alla sicurezza nazionale, allora lo farei consiglia di non inviare questi dati sensibili attraverso questi tipi di piattaforme di messaggistica. La realtà è che i "poteri" che possono avere la capacità di ottenere i registri delle chat da questi servizi di messaggistica lo farebbero solo se le informazioni che stanno cercando fossero di grande valore.

Mentre altri hanno sottolineato che una password Netflix in particolare potrebbe non essere la risorsa più preziosa al mondo, personalmente preferisco esercitare le migliori pratiche laddove possibile, il che penso che la maggior parte sarebbe d'accordo include la non trasmissione delle password elettronicamente ove evitabile. p>

Io e mia moglie usiamo entrambi KeePass e per le password di cui abbiamo bisogno (incluso Netflix) ho eseguito il processo una tantum di inserire manualmente la password nel suo DB KeePass. Se mai dovessimo cambiarlo, avverrà anche manualmente.

È eccessivo? Può essere. Lo contrasterei chiedendo: perché no? Non è davvero un grosso inconveniente e fa sì che tutti abbiano l'abitudine di non condividere le password tramite note adesive o e-mail. Inoltre, non devi preoccuparti che la NSA faccia segretamente ottenere a Facebook di decrittografare i tuoi messaggi in modo che possano guardare House of Cards sul tuo centesimo :)

Devi essere consapevole del fatto che la crittografia end-to-end di Whatsapp non può essere quella che ti aspetti. Il protocollo utilizzato da Whatsapp è davvero sicuro, ma sembra che l'implementazione abbia scelto volentieri la facilità d'uso rispetto alla sicurezza. È stato discusso in sicurezza Whatsapp e un commento ha fornito un collegamento al Guardian spiegando che

Una vulnerabilità di sicurezza che può essere utilizzata per consentire a Facebook e altri di intercettare e leggere i messaggi crittografati è stato trovato all'interno del suo servizio di messaggistica WhatsApp
...

Tuttavia, WhatsApp ha la capacità di forzare la generazione di nuove chiavi di crittografia per gli utenti offline , all'insaputa del mittente e del destinatario dei messaggi e per fare in modo che il mittente crittografi nuovamente i messaggi con nuove chiavi e li invii di nuovo per tutti i messaggi che non sono stati contrassegnati come consegnati.

Il destinatario non è consapevole di questo cambiamento nella crittografia, mentre il mittente viene avvisato solo se ha attivato gli avvisi di crittografia nelle impostazioni e solo dopo che i messaggi sono stati rispediti. Questa nuova crittografia e ritrasmissione di messaggi precedentemente non recapitati consente a WhatsApp di intercettare e leggere efficacemente i messaggi di alcuni utenti.

[Whatsapp lo giustifica per far fronte quando] il codice di sicurezza di un contatto è cambiato. Sappiamo che i motivi più comuni per cui ciò accade sono perché qualcuno ha cambiato telefono o reinstallato WhatsApp. Questo perché in molte parti del mondo le persone cambiano frequentemente dispositivi e schede SIM. In queste situazioni, vogliamo assicurarci che i messaggi delle persone vengano consegnati, non persi durante il transito.

Ciò significa che anche se c'è una crittografia end-to-end, gli amministratori di Whatsapp hanno la possibilità di fare il tuo dispositivo di invio invia una nuova copia del messaggio contenente la password con una nuova chiave di crittografia che conosce. Se questo è accettabile dipende da te, ma per quanto mi riguarda, preferisco la posta crittografata con S / MIME o PGP che non soffra di tale vulnerabilità.

Principalmente nel tentativo di essere contrario, vorrei sottolineare che la password è raramente il punto più debole nella sicurezza della tua password, e infatti troppo una password può effettivamente renderti meno sicuro. Le persone sono spesso il punto più debole, un fatto che è particolarmente applicabile qui. Hai creato una password molto sicura (ovvero difficile da ricordare). Non hai problemi con questo perché memorizzi la tua password in un gestore di password. I tuoi familiari lo fanno però? Quali sono le probabilità che lascino il tuo messaggio in un posto molto accessibile quando ne hanno bisogno, perché non riescono mai a ricordarlo da soli? Quale membro della famiglia copierà e incollerà il messaggio e poi lo invierà a se stesso tramite e-mail su un canale non sicuro in modo che non lo dimentichi?

Potrebbe essere un e sicuro una password memorabile sarà più sicura di una password sicura ma impossibile da ricordare, perché in quest'ultimo luogo qualcuno la memorizzerà in modo insicuro perché non ha intenzione di memorizzarla. Quindi direi che se vuoi davvero garantire la massima sicurezza, devi trovare una password che possa essere memorizzata facilmente. Quindi potresti semplicemente chiamarli e dire loro di cosa si tratta.

XKCD: Vale sempre un link: https://xkcd.com/936/

Per la maggior parte delle persone normali i cui modelli di minaccia non prevedono la sorveglianza mirata dello stato-nazione o un mandato delle forze dell'ordine, sì, la crittografia end-to-end di WhatsApp sarebbe sufficiente.

Altri hanno evidenziato due situazioni che ripeterò per completezza:

1. Il fornitore di servizi (in questo caso, FaceBook / WhatsApp) può estrarre il testo in chiaro (password decrittografata) direttamente dal dispositivo in determinate circostanze.
2. I keylogger e altri malware sugli endpoint (telefoni / laptop) potrebbero accedere direttamente al testo in chiaro.

Una tecnica che utilizzo quando affrontare questa situazione significa offuscare il contesto stesso, aumentando la difficoltà per l'avversario. cioè, invia la password ma non menzionare nello stesso canale a cosa serve; menzionare il contesto in un canale separato. ad es.

Canale 1: SMS / chiamata vocale: "Ehi, tra un minuto ti invierò un messaggio separato con la password NetFlix".

Canale 2: Messaggio di WhatsApp: "Ecco di cosa abbiamo appena parlato: 3?TeJ)6RK”4Z_a>c"

Altri hanno già sottolineato il rischio limitato di perdere la password e l'uso della crittografia end-to-end da parte di WhatsApp, ma vorrei sottolineare un'ultima cosa:

tieni presente che questo la crittografia end-to-end è utile solo per trasferire la password. Una volta che l'altra persona lo riceve, chiunque abbia accesso al telefono (sbloccato se pertinente) può vederlo nella cronologia chat.

Può essere una buona idea chiedere all'altra persona di rimuovere il messaggio dal proprio cronologia chat una volta ricevuta. Non vuoi che usino la cronologia chat di WhatsApp come un post-it digitale con la loro password.

Supponendo che tu li incarichi di occuparsene e che la tua esposizione alla perdita di questa password non sarebbe poi così grave (cioè non è la tua banca):

Sarei ancora tentato di farlo offuscalo in qualche modo semplice mentre sei in transito e invia la chiave su un altro canale. Per esempio. dato il tuo esempio di 3? TeJ) 6RK] 4Z_a>c , invia 3? TfJ) 6RK] 4Z_b>d , quindi telefona loro e digli di spostare le lettere minuscole indietro di uno. Questo rende inutile portare i surfisti in spalla.

Eviterei anche di menzionare il nome / indirizzo email dell'account e il servizio nello stesso thread in pochi messaggi, in modo che non appaiano sulla stessa schermata ("quella password che volevi: 3? TeJ ) 6RK] 4Z_a> c "invece di" Password Netflix: 3? TeJ) 6RK] 4Z_a> c ").

Un database di password condiviso online potrebbe essere più sicuro ma con tutti su dispositivi diversi è una seccatura e devi comunque condividere il login per questo. Anche se ciò dovrebbe essere possibile senza inviare messaggi di password, non sarà banale accompagnare qualcuno per una volta.

Opzione A: incontri di persona le persone in questione
Opzione B: le chiami (dio sa chi ha infastidito i tuoi fili
Opzione C invii loro una lettera crittografata tramite posta ordinaria e la chiave tramite altri significa. (qual è la possibilità di essere spiato su 2 media)
Opzione D: non importa e rischia solo

Che ne dici di cambiare la password in qualcosa di più simile a "tutti i tuoi nomi e età, elencati in ordine di età con uno spazio tra ogni parola" e poi dì questo agli altri membri della tua famiglia.

OK, è improbabile che ci siano molti caratteri speciali, ma la sua lunghezza dovrebbe offrire una certa protezione.

Giusto per dare un punto di vista diverso da tutte le altre risposte finora:

No.

Tuttavia, devo condividere questa password con altri membri del famiglia, in modo che possano anche accedervi. Usare la conversazione segreta di WhatsApp o Facebook Messenger è un metodo accettabile per questo?

No. Non importa nemmeno che la tua password Netflix probabilmente non sia così importante; né importa cosa dice Facebook sulla sua crittografia.

Il punto è che non puoi sapere cosa stanno facendo internamente. Crittografano ogni messaggio con una chiave di sblocco principale aggiuntiva? Crittografano nuovamente i messaggi lungo il percorso? Presumo che né Whatsapp né Facebook (le app) siano state sottoposte a reverse engineering / peer review. E anche se lo fossero stati, potrebbero essere modificati ad ogni singolo aggiornamento.

I motivi sono molti. "Vogliamo rendere ricercabili le tue conversazioni private - di CORSO solo TU puoi cercare attraverso di esse ...", "Vogliamo assicurarci che le tue conversazioni private rimangano in giro quando perdi il telefono" ecc. è la loro attività principale, dopotutto.

Non si sa mai, non si può davvero saperlo e può cambiare ad ogni aggiornamento. Questo dovrebbe darti una pausa sufficiente.

Perché non importa che sia "solo" Netflix? Perché porta all'autocompiacimento. Se sei abituato a chattare con le tue password non importanti, prima o poi non ti interesserà più e invierai anche quelle importanti.

Esistono metodi migliori?

Certo. La crittografia a chiave pubblica è stata inventata per rendere non necessario pubblicare le password in chiaro. Chiedi alla tua famiglia di creare chiavi private / pubbliche, di inviare le chiavi pubbliche in chiaro, di verificarsi a vicenda al telefono o quando ti incontrerai in RL la prossima volta, e poi sarai pronto per condividere i segreti che ti piacciono in futuro.

Fattibile? Probabilmente no, dato che l'attuale interesse del pubblico in generale per le questioni di sicurezza è marginale quanto lo è. Ma ancora meglio.

Poi c'è Threema, che è stato sottoposto a peer review ed è almeno open source nel dipartimento di sicurezza, dove conta. Naturalmente, anche qui non è banale assicurarti che i tuoi messaggi non siano crittografati anche verso un destinatario principale, ma almeno hai alcune cose da verificare, con il sorgente.

Per la trasmissione sicura / accesso una tantum, puoi utilizzare ViaCrypt. Scrivi il tuo contenuto, generi un link univoco e lo invii a destinazione. Il link può essere validamente aperto solo una volta, il che significa che una volta che qualcuno fa clic su di esso, un ulteriore accesso al link non mostrerà il tuo messaggio perché è già stato invalidato.

Scrivendo come risposta perché ancora non lo faccio. Non ho la reputazione di commentare.