Session, vyvinutý nadací Oxen Privacy Tech Foundation, se prezentuje jako messenger zaměřený na soukromí, který jde dále než většina konkurentů tím, že zcela odstraňuje požadavek na telefonní číslo. Po instalaci aplikace Session vygeneruje lokálně kryptografický pár klíčů a přiřadí vám Session ID — dlouhý alfanumerický řetězec sloužící jako vaše identita. Neexistuje žádná registrace účtu v tradičním smyslu a při nastavení nejsou shromažďovány žádné osobně identifikovatelné informace.
Bezpečnostní architektura
Session používá Signal Protocol jako základ, ale upravuje ho výrazným způsobem. Nejvýznamnější odchylkou je odstranění komponenty perfect forward secrecy z algoritmu Double Ratchet. Session využívá jednodušší model výměny klíčů, aby byl kompatibilní s decentralizovaným, asynchronním systémem doručování zpráv. Jedná se o skutečný kompromis: i když umožňuje ukládání zpráv offline v síti uzlů, znamená to, že session klíče se nerotují se stejnou frekvencí jako u Signal. Bezpečnostní výzkumníci toto označili jako smysluplné snížení kryptografické ochrany a potenciální uživatelé by to měli odpovídajícím způsobem zvážit.
Zprávy jsou směrovány přes Oxen Service Node Network pomocí tříhopového onion routing systému, který je konceptuálně podobný Tor. To skrývá IP adresy a podstatně ztěžuje analýzu provozu ve srovnání s centralizovanými messengery. Velikost a rychlost sítě však zatím nemohou konkurovat vyspělosti Tor a doručování zpráv může být v obdobích vysokého zatížení pomalé.
Použitelnost
Rozhraní je přehledné a bude z velké části povědomé každému, kdo používal WhatsApp nebo Telegram. Základní funkce včetně textu, hlasových zpráv, sdílení obrázků, mizejících zpráv a skupinových chatů fungují podle očekávání. K dispozici jsou hlasové a video hovory, ale historicky byly méně spolehlivé než základní funkce textových zpráv. Desktopový klient je funkční, přičemž synchronizace mezi zařízeními vyžaduje místo skenování QR kódu záchrannou frázi, což přidává při nastavení určitou komplikaci.
Systém Session ID je sice z hlediska soukromí vynikající, ale představuje skutečnou bariéru použitelnosti. Sdílení 66znakového hexadecimálního řetězce s novým kontaktem je neobratné ve srovnání se sdílením uživatelského jména nebo telefonního čísla. Aplikace to částečně řeší pomocí uživatelsky čitelných ONS (Oxen Name System) uživatelských jmen, která za malý poplatek mapují na Session ID.
Ceny a hodnota
Session je ke stažení a používání zdarma bez předplatitelských úrovní nebo nákupů v aplikaci. Registrace ONS uživatelského jména vyžaduje malé množství kryptoměny OXEN, což představuje drobnou bariéru pro netechnické uživatele. Neexistuje žádná placená úroveň odemykající další funkce, takže ochrana soukromí je stejná pro všechny uživatele.
Zásady ochrany soukromí
Projekt je transparentní ohledně svých datových postupů. Open-source kód umožňuje výzkumníkům nezávisle ověřovat tvrzení a nadace zveřejňuje dokumentaci o architektuře své sítě. Absence centrálních serverů ukládajících obsah zpráv nebo metadata uživatelů je strukturální výhodou v oblasti soukromí oproti téměř všem běžným alternativám.