PGP مقابل Signal — نماذج تهديد مختلفة وليست أدوات متنافسة

يحمي Signal الرسالة التي أرسلتها قبل 5 دقائق حتى لو صودر هاتفك غداً. يحمي PGP الرسالة التي أرسلتها قبل 5 سنوات طالما لم تتسرب عبارة مرورك. الأداة الخاطئة للعمل الخاطئ = حماية من المهاجم الخاطئ.

التشفير يبدو متشابهاً لكنه ليس كذلك#

كلاهما يُشفّر بشكل كامل من طرف إلى طرف باستخدام عناصر حديثة (X25519، AES-256). الفرق يكمن فيما يُدوّر كلٌّ منهما.

PGP: زوج مفاتيح طويل الأمد. نفس المفتاح الخاص يفكّ تشفير كل ما تلقيته. إذا تمّ اختراقه، تنكشف جميع الرسائل السابقة.

Signal: Double Ratchet. كل رسالة تستخدم مفتاحاً جديداً. التقط الحالة اليوم، ورسائل الأمس مشفّرة بمفاتيح لم تعد موجودة في أي مكان.

هذه هي السرية الآنية (forward secrecy): نص الأمس المشفّر يبقى غير مقروء حتى بعد اختراق مفاتيح اليوم. PGP لا يمتلكها. Signal يمتلكها.

نماذج التهديد#

• PGP — يدافع ضد مهاجم شبكة أو خادم بريد معادٍ. يفشل حين يُخترق المفتاح الخاص + عبارة المرور، بأثر رجعي.
• Signal — نفس الشيء بالإضافة إلى مهاجم يخترق النقطة الطرفية في نهاية المطاف. يحصلون على الرسائل المستقبلية؛ كل الأرشيف السابق لا يزال آمناً.
• كلاهما — يفشلان إذا اختُرقت النقطة الطرفية في الوقت الفعلي (keylogger، تسجيل الشاشة).

الشكل التشغيلي#

Signal: وقت فعلي. كلا الطرفين يحتاجان عملاء نشطين. مرتبط برقم الهاتف. مصمّم للدردشة والصوت والفيديو. الرسائل قد تختفي.

PGP: إرسال وتخزين وإعادة توجيه. أرسل لشخص غير متصل؛ يفكّ التشفير لاحقاً. متوافق مع البريد والملفات. الحساب هو مفتاحك الخاص — احتفظ بنسخة احتياطية وفكّ تشفير أرشيفك بعد 20 عاماً.

الهوية طويلة الأمد#

لدى PGP هوية عامة مستقرة طويلة الأمد. يمكن أن تظهر بصمتك على مواقع الويب وبطاقات العمل وفي commits. أسماء مستخدمي Signal/أرقام الأمان مرتبطة بالحساب الحالي — إعادة التثبيت تغيّرها.

صحفي ينشر بصمة PGP للمصادر. مشرف يوقّع الإصدارات للمتحققين. لا أيٌّ من هذين السيناريوين يناسب Signal.

التوصية#

• الدردشة اليومية — Signal. السرية الآنية حقيقية ومهمة.
• ملف مشفّر أو رسالة طويلة دون استعجال — PGP.
• تلقّي رسالة من غريب عبر هوية منشورة — PGP.
• التوقيع على إصدار برمجي — PGP.
• التحقق من الهوية عبر السنوات — بصمات PGP.
• معظم المستخدمين الواعين بالأمان يستخدمون كليهما.

السؤال الخاطئ: "أيّهما أفضل؟". السؤال الصحيح: "ما نموذج التهديد؟". إذا كانت السرية الآنية مهمة وكلا الطرفين يستخدمان Signal، استخدم Signal. إذا احتجت لهوية طويلة الأمد أو تشفير ملفات أو بريد إلكتروني، استخدم PGP.