Onko Privnote turvallinen? Onko privnote.com luotettava?

Privnote kelpaa arkiseen viestiin, ei kirjautumistiedoille: siitä on dokumentoituja kalasteluklooneja, salausta ei voi tarkistaa eikä viestiä mitätöidä.

W. Miller · 9. heinäkuuta 2026 · Päivitetty 22. lokakuuta 2026

Onko Privnote turvallinen? Viestille, jonka väärä ihminen saisi lukea kerran ilman haittaa, kyllä. Salasanalle, API-avaimelle tai millekään, mikä on yritykselle tärkeää, ei. Onko privnote.com luotettava? On: se on aito palvelu, ja se on toiminut vuosia. Vaara on sen ympärillä olevissa näköissivustoissa.

Kertakatselun mekanismi toimii. Alla kuvatut kolme riskiä koskevat kaikkea sen ympärillä, ja ensimmäinen niistä on vienyt oikeilta ihmisiltä oikeaa rahaa.

Päivitetty 2. lokakuuta 2026: lisätty, mitä pystyimme varmistamaan Privnoten salauskirjastosta sivun julkisesta lähdekoodista, Krebs on Security -sivuston dokumentoima kloonisivustojen verkosto vuodelta 2024 sekä korjaus aiempaan väitteeseen LinkPilotin salauksesta. Kun tässä kirjoituksessa sanotaan ”tarkistimme”, tarkistuspäivä on 2. lokakuuta 2026.

Tämä kirjoitus on arvio Privnoten turvallisuudesta. Jos tiedät jo haluavasi jotain muuta, kooste parhaat Privnote-vaihtoehdot vertailee seitsemää työkalua salauksen, mitätöinnin, tarkastuslokien ja hinnan osalta, ja LinkPilot vs Privnote vertaa suoraan omaa tuotettamme Privnoteen. Jos sinun pitää lähettää salasana tänään, opas salasanojen turvalliseen jakamiseen neuvoo turvallisen tavan, ilmainen itsetuhoutuvan viestin työkalu toimii ilman tiliä ja LinkPilotin hinnat -sivulla luetellaan, mitä Free- ja Pro-paketit sisältävät.

Mitä Privnote tekee hyvin?

Ansiot kuuluu tunnustaa. Ydintuote on aidosti kätevä: tiliä ei tarvita, liität viestin, saat linkin, ja viesti tuhoutuu, kun se on luettu. Privnoten oman sivun mukaan viesti ”salataan selaimessasi ja tallennetaan sitten Privnoteen”. Palvelu tarjoaa ”manuaalisen salasanan” viestin salaamiseen, voimassaoloajan vaihtoehdot 1 tunti, 24 tuntia, 7 päivää ja 30 päivää, sähköposti-ilmoituksen viestin tuhoutumisesta sekä järkevän neuvon lähettää salasana ”eri tavalla” kuin linkki.^[1] Kun toisiinsa luottavat ihmiset lähettävät viestin ”tässä Wi-Fi-salasana, poista lukemisen jälkeen”, Privnote riittää hyvin.

Mitkä ovat 3 riskiä?

1. Kloonisivustot, jotka lukevat viestisi

Privnoten tunnettuus on synnyttänyt näköisverkkotunnuksia, ja parhaiten dokumentoidut niistä rakennettiin varastamaan.

Kesäkuussa 2020 Brian Krebs kertoi, että privnotes.com (monikossa) jäljitteli Privnotea, ei todellisuudessa salannut viestejä ja ajoi skriptiä, joka tunnisti viestissä olevat bitcoin-osoitteet ja vaihtoi ne huijareiden omiin. Vaihto tehtiin kuitenkin vain silloin, kun lähettäjä ja vastaanottaja avasivat viestin eri IP-osoitteista, joten omaa viestiään tarkistava lähettäjä ei koskaan nähnyt vaihtoa.^[2] Huhtikuussa 2024 hän dokumentoi kokonaisen kloonien verkoston, johon kuuluivat muun muassa privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com ja privnate[.]com. Krebsin mukaan nämä sivustot ”toimivat suunnilleen niin kuin luvataan, mutta lisäävät huomaamatta omia kryptovaluuttojen maksuosoitteitaan, kun luodaan viesti, joka sisältää kryptolompakoita”. Neljä yhteen näistä sivustoista liitettyä osoitetta keräsi neljässä päivässä lähes 18 000 $, ja ylläpitäjät vaihtoivat uudet osoitteet käyttöön noin viiden päivän välein.^[3]

Vaara ei ole aito sivusto. Vaara on se, että hakutuloksen tai mainoksen napsautus voi viedä uskottavalle väärennökselle, jonka koko tarkoitus on lukea salaisuutesi. Jos käytät Privnotea, kirjoita verkkotunnus itse. Linkin maineen tarkistus, kuten ilmainen linkin luotettavuuspisteet -työkalumme, auttaa arvioimaan epäilyttävän URL-osoitteen ennen kuin liität siihen mitään.

2. Salaus, jota et voi tarkistaa

Privnote sanoo, että viestit salataan niin, ettei palvelin voi lukea niitä. Vuonna 2020 yhtiö kertoi Krebsille, että aito Privnote käyttää salausta, ”jotta edes Privnote itse ei voi lukea sisältöä”.^[2] Se voi hyvin pitää paikkansa. Lähdekoodi on kuitenkin suljettu, joten kukaan yhtiön ulkopuolella ei voi vahvistaa sitä, eikä se, mitä ulkopuolelta näkyy, ole rauhoittavaa.

Tässä tarkalleen, mitä pystyimme ja mitä emme pystyneet varmistamaan 2. lokakuuta 2026:

• Varmistettu: julkaistu privnote.com-sivu lataa staattisista tiedostoistaan JavaScript-tiedoston nimeltä gibberish-aes.js.^[1]
• Varmistettu: alkuperäinen Gibberish-AES-projekti arkistoitiin GitHubissa (muutettiin vain luku -tilaan) 16. lokakuuta 2018. Projektin oman README-tiedoston mukaan se ”tukee vain CBC AES -salaustilaa”, se on tehty yhteensopivaksi OpenSSL:n MD5-pohjaisen avaimen johtamisen kanssa, ja siinä on vanhentumisilmoitus, joka suosittelee käyttämään sen sijaan libsodiumia tai Stanfordin JavaScript Crypto Librarya, koska Gibberish-AES ”on melko vanha ja käyttää vanhempaa, todentamatonta salaustilaa, CBC:tä”.^[4]
• Ei varmistettu: emme purkaneet Privnoten minimoitua sovelluskoodia varmistaaksemme, että juuri tämä kirjasto salaa uuden viestin nykyään eikä vain vanhoja viestejä varten säilytettyä koodipolkua. Pidä havaintoa muodossa ”ainoa salauskirjasto, jonka sivu lataa”, ei todisteena siitä, mitä oikeasti ajetaan.

Vertaa tätä työkaluihin, joiden lähdekoodin voit lukea: PrivateBin dokumentoi käyttävänsä 256-bittistä AES-salausta Galois Counter Mode -tilassa (todennettu tila) selaimessa niin, että avain on URL-osoitteen #-merkin jälkeisessä osassa,^[5] ja Yopass salaa selaimessa OpenPGP:llä Apache-2.0-lisenssillä.^[6] Salassapitotyökalulle ”luota meihin” on olennaisesti heikompi lähtökohta kuin ”tarkista itse”.

3. Virhettä ei voi perua

Lähetitkö viestin väärälle ihmiselle? Hallintapaneelia, josta sen voisi mitätöidä, ei ole. Pitääkö asiakkaalle todistaa, ettei kirjautumistietoja koskaan avattu? Tarkastuslokia ei ole: tuhoutumisesta kertova sähköposti kertoo, että viesti luettiin, mutta ei sitä, kuka sen luki tai mistä. Lukiko viestin oikea vastaanottaja vai sähköpostin tietoturvayhdyskäytävä, joka haki linkin? Sitä et voi tietää.

Mikään tästä ei haittaa arkisissa viesteissä, mutta työssä kaikki tämä on tärkeää.

Mitä käyttää sen sijaan?

Koko seitsemän työkalun vertailu hintataulukkoineen ja jokaisen palvelun hintasivun lähdeviitteineen on kirjoituksessa parhaat Privnote-vaihtoehdot. Oman tuotteemme vertailu Privnoteen ominaisuus kerrallaan, mukaan lukien suora huomautus siitä, että LinkPilot on vain palveluna käytettävissä ja suljettua lähdekoodia, on sivulla LinkPilot vs Privnote. Voit kokeilla mekanismia ilman tiliä: käytä kertakäyttöisen salaisen linkin luontityökalua salasanalle tai avaimelle ja itsetuhoutuvan viestin työkalua viestille.

Korjaushistoria: tämän kirjoituksen ensimmäisessä versiossa sanottiin, ettei LinkPilot väitä salaavansa selaimessa. LinkPilot on 29. syyskuuta 2026 lähtien salannut tekstisisällöt ja liitteet selaimessa niin, että avain on URL-osoitteen #-merkin jälkeisessä osassa. Ennen tätä päivää luodut salaisuudet tallennettiin selväkielisinä, kunnes ne vanhenivat. Tässä tarkalleen, mitä se lupaa.

Miten mitä tahansa kertakäyttöisen viestin työkalua käytetään turvallisesti?

1. Kirjoita verkkotunnus itse. Älä koskaan mene salaisuustyökaluun mainoksen tai hakutuloksen kautta. Juuri tähän kloonisivustohyökkäys perustuu.
2. Lisää salalause ja lähetä se eri kanavaa pitkin kuin linkki.
3. Valitse lyhin toimiva voimassaoloaika, jotta avaamattomat viestit vanhenevat itsestään.
4. Vaihda salaisuus, jos jokin näyttää oudolta. Jos tila kertoo viestin tuhoutuneen ennen lukemista tai tuhoutumisilmoitus tulee ennen kuin vastaanottaja on avannut viestin, se on varhainen merkki siitä, että joku muu avasi sen.
5. Älä koskaan laita itse salasanaa sähköpostiin tai chattiin, vain linkki. Oppaamme salasanojen turvalliseen jakamiseen vertailee viittä tapaa, joilla tiimit jakavat kirjautumistietoja, ja kertoo, miksi tällä säännöllä on merkitystä.

Kertakatselu on aidosti hyvä idea, ja siksi niin moni työkalu toteuttaa sen. Turvallisuuskysymys koskee kaikkea mekanismin ympärillä: kuka sitä ylläpitää, voitko tarkistaa sen ja mitä voit tehdä, kun jokin menee pieleen. Arvioi Privnotea ja jokaista vaihtoehtoa, myös meidän omaamme, näiden kolmen kysymyksen perusteella.

Lähteet

[1] Privnote. Home page and page source (tarkistettu 2. lokakuuta 2026). https://privnote.com/

[2] Krebs, B. (14. kesäkuuta 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/

[3] Krebs, B. (4. huhtikuuta 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/

[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (repositorio arkistoitu 16. lokakuuta 2018). GitHub. https://github.com/mdp/gibberish-aes

[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin

[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass