Είναι ασφαλές το Privnote; Για ένα σημείωμα που δεν σας πειράζει αν το διαβάσει μία φορά λάθος άτομο, ναι. Για έναν κωδικό πρόσβασης, ένα κλειδί API ή οτιδήποτε έχει αξία για μια επιχείρηση, όχι. Είναι αξιόπιστο το privnote.com; Ναι: είναι η πραγματική υπηρεσία και λειτουργεί εδώ και χρόνια. Ο κίνδυνος βρίσκεται στους ιστότοπους-μιμητές γύρω από αυτό.
Ο μηχανισμός της μίας προβολής λειτουργεί. Οι τρεις κίνδυνοι παρακάτω αφορούν όλα όσα βρίσκονται γύρω του, και ο πρώτος έχει ήδη κοστίσει πραγματικά χρήματα σε πραγματικούς ανθρώπους.
Ενημέρωση στις 2 Οκτωβρίου 2026: προστέθηκαν όσα μπορέσαμε να επαληθεύσουμε για τη βιβλιοθήκη κρυπτογράφησης του Privnote από τον κώδικα της σελίδας του, το δίκτυο κλώνων του 2024 που τεκμηρίωσε το Krebs on Security, και διορθώθηκε μια παλαιότερη δήλωση για την κρυπτογράφηση του LinkPilot. Όπου το άρθρο λέει «ελέγξαμε», ο έλεγχος έγινε στις 2 Οκτωβρίου 2026.
Αυτό το άρθρο δίνει την ετυμηγορία για την ασφάλεια. Αν ξέρετε ήδη ότι θέλετε κάτι άλλο, η λίστα με τις καλύτερες εναλλακτικές του Privnote συγκρίνει επτά εργαλεία ως προς την κρυπτογράφηση, την ανάκληση, το ιστορικό ενεργειών και την τιμή, και η σελίδα LinkPilot ή Privnote είναι η απευθείας σύγκριση με το δικό μας προϊόν. Αν πρέπει να στείλετε έναν κωδικό πρόσβασης σήμερα, ο οδηγός για ασφαλή αποστολή κωδικών πρόσβασης εξηγεί τον ασφαλή τρόπο, το δωρεάν εργαλείο για σημείωμα που αυτοκαταστρέφεται λειτουργεί χωρίς λογαριασμό, και οι τιμές του LinkPilot δείχνουν τι περιλαμβάνουν τα πακέτα Free και Pro.
Τι κάνει καλά το Privnote;
Ας του αναγνωρίσουμε ό,τι του αξίζει. Το βασικό προϊόν είναι πραγματικά βολικό: χωρίς λογαριασμό, επικολλάτε ένα σημείωμα, παίρνετε έναν σύνδεσμο, και το σημείωμα καταστρέφεται μόλις διαβαστεί. Η σελίδα του Privnote λέει ότι το σημείωμα «κρυπτογραφείται στο πρόγραμμα περιήγησής σας και στη συνέχεια αποθηκεύεται στο Privnote». Προσφέρει «χειροκίνητο κωδικό πρόσβασης» (manual password) για την κρυπτογράφηση του σημειώματος, λήξη σε 1 ώρα, 24 ώρες, 7 ημέρες ή 30 ημέρες, ειδοποίηση με email όταν το σημείωμα καταστραφεί, και τη λογική συμβουλή να στείλετε τον κωδικό «με διαφορετικό τρόπο» από τον σύνδεσμο.[1] Για ένα «ορίστε ο κωδικός του Wi-Fi, διαγραφή μετά την ανάγνωση» ανάμεσα σε ανθρώπους που εμπιστεύονται ο ένας τον άλλον, είναι μια χαρά.
Ποιοι είναι οι 3 κίνδυνοι;
1. Κλώνοι του ιστότοπου που διαβάζουν το σημείωμά σας
Η αναγνωρισιμότητα του Privnote έφερε ιστότοπους-μιμητές, και οι καλύτερα τεκμηριωμένοι φτιάχτηκαν για να κλέβουν.
Τον Ιούνιο του 2020, ο Brian Krebs ανέφερε ότι το privnotes.com (στον πληθυντικό) μιμούνταν το Privnote, δεν κρυπτογραφούσε στην πράξη τα σημειώματα και έτρεχε ένα script που εντόπιζε διευθύνσεις bitcoin μέσα σε ένα σημείωμα και τις αντικαθιστούσε με τις διευθύνσεις των απατεώνων. Το έκανε όμως μόνο όταν ο αποστολέας και ο παραλήπτης άνοιγαν το σημείωμα από διαφορετικές διευθύνσεις IP, οπότε ο αποστολέας που έλεγχε το δικό του σημείωμα δεν έβλεπε ποτέ την αλλαγή.[2] Τον Απρίλιο του 2024 τεκμηρίωσε ένα ολόκληρο δίκτυο κλώνων, ανάμεσά τους τα privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com και privnate[.]com, που «λειτουργούν λίγο πολύ όπως διαφημίζουν, αλλά παρεμβάλλουν αθόρυβα τις δικές τους διευθύνσεις πληρωμής σε κρυπτονομίσματα όταν δημιουργείται ένα σημείωμα που περιέχει πορτοφόλια κρυπτονομισμάτων». Τέσσερις διευθύνσεις συνδεδεμένες με έναν από αυτούς τους ιστότοπους εισέπραξαν σχεδόν 18.000 $ σε τέσσερις ημέρες, και οι διαχειριστές έβαζαν νέες διευθύνσεις περίπου κάθε πέντε ημέρες.[3]
Ο κίνδυνος δεν είναι ο πραγματικός ιστότοπος. Είναι ότι ένα κλικ σε αποτέλεσμα αναζήτησης ή σε διαφήμιση μπορεί να σας οδηγήσει σε ένα πειστικό αντίγραφο που υπάρχει μόνο για να διαβάσει το μυστικό σας. Αν χρησιμοποιείτε το Privnote, πληκτρολογήστε μόνοι σας το domain. Ένας έλεγχος φήμης συνδέσμων, όπως το δωρεάν εργαλείο μας βαθμολογία αξιοπιστίας συνδέσμου, μπορεί να ελέγξει ένα ύποπτο URL πριν επικολλήσετε οτιδήποτε σε αυτό.
2. Κρυπτογράφηση που δεν μπορείτε να επαληθεύσετε
Το Privnote λέει ότι τα σημειώματα κρυπτογραφούνται έτσι ώστε ο διακομιστής να μην μπορεί να τα διαβάσει. Το 2020 η εταιρεία είπε στον Krebs ότι το πραγματικό Privnote χρησιμοποιεί κρυπτογράφηση «ώστε ούτε το ίδιο το Privnote να μην μπορεί να διαβάσει το περιεχόμενο».[2] Μπορεί κάλλιστα να ισχύει. Ο κώδικας όμως είναι κλειστός, οπότε κανείς έξω από την εταιρεία δεν μπορεί να το επιβεβαιώσει, και όσα φαίνονται από έξω δεν καθησυχάζουν.
Αυτά ακριβώς μπορέσαμε και δεν μπορέσαμε να επαληθεύσουμε στις 2 Οκτωβρίου 2026:
- Επαληθεύτηκε: η σελίδα του privnote.com φορτώνει ένα αρχείο JavaScript με το όνομα
gibberish-aes.jsαπό τα στατικά της αρχεία.[1] - Επαληθεύτηκε: το αρχικό έργο Gibberish-AES στο GitHub αρχειοθετήθηκε (έγινε μόνο για ανάγνωση) στις 16 Οκτωβρίου 2018. Το ίδιο του το README λέει ότι «υποστηρίζει μόνο τη λειτουργία κρυπτογράφησης AES CBC», ότι είναι φτιαγμένο για να είναι συμβατό με την παραγωγή κλειδιού του OpenSSL που βασίζεται στο MD5, και περιέχει σημείωση απόσυρσης που προτείνει στη θέση του το libsodium ή τη Stanford JavaScript Crypto Library, επειδή το Gibberish-AES «είναι αρκετά παλιό και χρησιμοποιεί μια παλαιότερη λειτουργία κρυπτογράφησης χωρίς έλεγχο ακεραιότητας, τη CBC».[4]
- Δεν επαληθεύτηκε: δεν κάναμε αντίστροφη μηχανική στον συμπιεσμένο κώδικα της εφαρμογής του Privnote για να επιβεβαιώσουμε ότι αυτή η βιβλιοθήκη κρυπτογραφεί σήμερα ένα νέο σημείωμα και ότι δεν πρόκειται για παλιό κώδικα που εξυπηρετεί παλιά σημειώματα. Δείτε το εύρημα ως «η μόνη βιβλιοθήκη κρυπτογράφησης που φορτώνει η σελίδα», όχι ως απόδειξη για το τι εκτελείται.
Συγκρίνετε με εργαλεία των οποίων τον κώδικα μπορείτε να διαβάσετε: το PrivateBin τεκμηριώνει AES 256 bit σε Galois Counter Mode (λειτουργία με έλεγχο ακεραιότητας), που εκτελείται στο πρόγραμμα περιήγησης με το κλειδί στο τμήμα του URL μετά το #,[5] και το Yopass κρυπτογραφεί στο πρόγραμμα περιήγησης με OpenPGP, με άδεια Apache-2.0.[6] Για ένα εργαλείο που υπάρχει για να κρατά μυστικά, το «εμπιστευτείτε μας» είναι ουσιαστικά πιο αδύναμη θέση από το «ελέγξτε το μόνοι σας».
3. Κανένας τρόπος να διορθώσετε ένα λάθος
Στείλατε το σημείωμα σε λάθος άτομο; Δεν υπάρχει πίνακας ελέγχου για να το ανακαλέσετε. Πρέπει να αποδείξετε σε έναν πελάτη ότι ένα διαπιστευτήριο δεν ανοίχτηκε ποτέ; Δεν υπάρχει ιστορικό ενεργειών: το email καταστροφής σάς λέει ότι το σημείωμα διαβάστηκε, όχι από ποιον ή από πού. Αναρωτιέστε αν το διάβασε ο παραλήπτης για τον οποίο προοριζόταν ή ένα σύστημα ασφάλειας email που άνοιξε τον σύνδεσμο; Δεν μπορείτε να το ξέρετε.
Τίποτα από αυτά δεν έχει σημασία για πρόχειρα σημειώματα. Στη δουλειά, όλα έχουν σημασία.
Τι να χρησιμοποιήσετε στη θέση του;
| Η ανάγκη σας | Καλύτερη επιλογή | Γιατί |
|---|---|---|
| Παραδόσεις πρόσβασης στη δουλειά, διαπιστευτήρια πελατών | LinkPilot | Ιστορικό ενεργειών ανά μυστικό, ανάκληση, φράσεις πρόσβασης, συνημμένα αρχεία, χώροι εργασίας για ομάδες. Κρυπτογραφείται στο πρόγραμμα περιήγησής σας, με το κλειδί στο τμήμα του URL μετά το # |
| Ευρέως διαδεδομένο, ήδη μέσα σε διαχειριστή κωδικών πρόσβασης | Bitwarden Send | Send κειμένου δωρεάν, Send αρχείων στο Premium. Διαγραφή ή απενεργοποίηση πριν από τη λήξη |
| Ανώνυμα προσωπικά σημειώματα, ανοιχτός κώδικας | OneTimeSecret | Άδεια MIT, self-hosting, REST API, δωρεάν πακέτο |
| Self-hosted, υπό τον έλεγχο του τμήματος IT | Password Pusher | Apache-2.0, όριο προβολών, σύνδεσμοι που λήγουν, ιστορικό ενεργειών, API |
| Κρυπτογράφηση με κώδικα που μπορείτε να διαβάσετε | PrivateBin / Yopass | Κρυπτογράφηση στο πρόγραμμα περιήγησης, κλειδί μέσα στον σύνδεσμο, κώδικας που ελέγχεται |
Η πλήρης σύγκριση των επτά εργαλείων, με πίνακα τιμών και παραπομπή στη σελίδα τιμών κάθε παρόχου, βρίσκεται στις καλύτερες εναλλακτικές του Privnote. Για το δικό μας προϊόν απέναντι στο Privnote, λειτουργία προς λειτουργία, μαζί με την ειλικρινή επιφύλαξη ότι το LinkPilot διατίθεται μόνο ως φιλοξενούμενη υπηρεσία και είναι κλειστού κώδικα, δείτε τη σελίδα LinkPilot ή Privnote. Για να δοκιμάσετε τον μηχανισμό χωρίς λογαριασμό, χρησιμοποιήστε τη γεννήτρια μυστικών συνδέσμων μίας χρήσης για έναν κωδικό ή ένα κλειδί και το εργαλείο για σημείωμα που αυτοκαταστρέφεται για ένα μήνυμα.
Ιστορικό διορθώσεων: η πρώτη έκδοση αυτού του άρθρου έλεγε ότι το LinkPilot δεν ισχυριζόταν πως κρυπτογραφεί στο πρόγραμμα περιήγησης. Από τις 29 Σεπτεμβρίου 2026 κρυπτογραφεί το κείμενο και τα συνημμένα στο πρόγραμμα περιήγησης, με το κλειδί στο τμήμα του URL μετά το #. Τα μυστικά που δημιουργήθηκαν πριν από αυτή την ημερομηνία αποθηκεύονταν ως μη κρυπτογραφημένο κείμενο μέχρι να λήξουν. Εδώ θα βρείτε ακριβώς τι ισχυρίζεται.
Πώς χρησιμοποιείτε με ασφάλεια οποιοδήποτε εργαλείο για σημειώματα μίας χρήσης;
- Πληκτρολογήστε μόνοι σας το domain. Μην ανοίγετε ποτέ ένα εργαλείο για μυστικά μέσα από διαφημίσεις ή αποτελέσματα αναζήτησης. Αυτή είναι, σε μία γραμμή, η επίθεση με κλώνους.
- Προσθέστε φράση πρόσβασης και στείλτε την από διαφορετικό κανάλι από αυτό του συνδέσμου.
- Ορίστε τη συντομότερη λήξη που σας εξυπηρετεί, ώστε τα σημειώματα που δεν ανοίχτηκαν να διαγράφονται μόνα τους.
- Αλλάξτε το μυστικό αν κάτι δεν σας φαίνεται σωστό. Μια κατάσταση «διαγράφηκε πριν διαβαστεί» ή ένα email καταστροφής πριν το ανοίξει ο παραλήπτης είναι η πρώτη ένδειξη ότι το άνοιξε κάποιος άλλος.
- Μη βάζετε ποτέ τον ίδιο τον κωδικό πρόσβασης σε email ή συνομιλία, μόνο τον σύνδεσμο. Ο οδηγός μας για ασφαλή αποστολή κωδικών πρόσβασης συγκρίνει τους πέντε τρόπους με τους οποίους οι ομάδες μοιράζονται διαπιστευτήρια και εξηγεί γιατί αυτός ο κανόνας μετράει.
Ο μηχανισμός της μίας προβολής είναι πραγματικά καλή ιδέα, για αυτό τον υλοποιούν τόσα εργαλεία. Το ερώτημα της ασφάλειας αφορά όσα υπάρχουν γύρω από τον μηχανισμό: ποιος τον λειτουργεί, αν μπορείτε να τον επαληθεύσετε, και τι μπορείτε να κάνετε όταν κάτι πάει στραβά. Κρίνετε το Privnote, και κάθε εναλλακτική, μαζί με τη δική μας, με αυτά τα τρία ερωτήματα.
Πηγές
[1] Privnote. Home page and page source (έλεγχος στις 2 Οκτωβρίου 2026). https://privnote.com/
[2] Krebs, B. (14 Ιουνίου 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4 Απριλίου 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (το αποθετήριο αρχειοθετήθηκε στις 16 Οκτωβρίου 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass