האם Privnote בטוח? לפתק שלא אכפת לכם אם האדם הלא נכון יקרא אותו פעם אחת, כן. לסיסמה, למפתח API או לכל דבר שעסק מתייחס אליו ברצינות, לא. האם privnote.com אמין? כן: זה השירות האמיתי והוא פועל כבר שנים. הסכנה היא באתרים המחקים שסביבו.
מנגנון הצפייה האחת עובד. שלושת הסיכונים שלמטה נוגעים לכל מה שמסביב לו, והראשון כבר עלה לאנשים אמיתיים בכסף אמיתי.
עודכן ב-2 באוקטובר 2026: הוספנו את מה שהצלחנו לאמת לגבי ספריית ההצפנה של Privnote מקוד המקור של הדף החי, את רשת אתרי השיבוט מ-2024 שתיעד Krebs on Security, ותיקנו טענה מוקדמת יותר על ההצפנה של LinkPilot. כשהפוסט אומר "בדקנו", תאריך הבדיקה הוא 2 באוקטובר 2026.
הפוסט הזה הוא חוות הדעת על הבטיחות. אם אתם כבר יודעים שאתם רוצים משהו אחר, סקירת החלופות הטובות ביותר ל-Privnote משווה שבעה כלים לפי הצפנה, ביטול קישורים, יומני ביקורת ומחיר, ו-LinkPilot מול Privnote היא ההשוואה הישירה למוצר שלנו. אם אתם צריכים לשלוח סיסמה היום, המדריך לשיתוף סיסמאות מאובטח מסביר איך עושים את זה בבטחה, הכלי החינמי פתק שמשמיד את עצמו עובד בלי חשבון, ובדף המחירים של LinkPilot מפורט מה כלול בתוכניות Free ו-Pro.
במה Privnote טוב?
צריך לתת לו את הקרדיט. המוצר הבסיסי באמת נוח: בלי חשבון, מדביקים פתק, מקבלים קישור, והפתק מושמד אחרי שקוראים אותו. בדף של Privnote עצמו כתוב שהפתק "מוצפן בדפדפן שלכם ואז נשמר ב-Privnote". השירות מציע "סיסמה ידנית" להצפנת הפתק, חלונות תפוגה של 1 שעה, 24 שעות, 7 ימים או 30 ימים, הודעה באימייל כשהפתק מושמד, ואת העצה ההגיונית לשלוח את הסיסמה "בדרך אחרת" מזו של הקישור.[1] בשביל "הנה סיסמת ה-Wi-Fi, למחוק אחרי הקריאה" בין אנשים שסומכים זה על זה, זה בסדר.
מהם שלושת הסיכונים?
1. פישינג באתרי שיבוט שקוראים את הפתק
המוניטין של Privnote הוליד דומיינים מחקים, והמתועדים שבהם נבנו כדי לגנוב.
ביוני 2020 דיווח Brian Krebs ש-privnotes.com (ברבים) התחזה ל-Privnote, לא הצפין פתקים בפועל והריץ סקריפט שזיהה כתובות ביטקוין בפתק והחליף אותן בכתובות של הנוכלים. הוא עשה את זה רק כשהשולח והנמען פתחו את הפתק מכתובות IP שונות, כך שהשולח שבדק את הפתק של עצמו מעולם לא ראה את ההחלפה.[2] באפריל 2024 הוא תיעד רשת שלמה של אתרי שיבוט, ביניהם privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com ו-privnate[.]com, ש"פועלים פחות או יותר כמו שמפורסם, אבל גם מכניסים בשקט כתובות תשלום משלהם במטבעות קריפטו כשנוצר פתק שמכיל ארנקי קריפטו". ארבע כתובות שקשורות לאחד האתרים האלה קיבלו כמעט $18,000 בארבעה ימים, והמפעילים החליפו לכתובות חדשות בערך כל חמישה ימים.[3]
הסכנה היא לא האתר האמיתי. הסכנה היא שלחיצה על תוצאת חיפוש או על מודעה יכולה להביא אתכם לזיוף משכנע שכל מטרתו היא לקרוא את המידע הרגיש שלכם. אם אתם משתמשים ב-Privnote, הקלידו את הדומיין בעצמכם. בדיקת מוניטין של קישור, כמו הכלי החינמי שלנו ציון אמון לקישור, יכולה לבדוק כתובת URL חשודה לפני שאתם מדביקים בה משהו.
2. הצפנה שאי אפשר לאמת
לפי Privnote, הפתקים מוצפנים כך שהשרת לא יכול לקרוא אותם. ב-2020 החברה אמרה ל-Krebs ש-Privnote האמיתי משתמש בהצפנה "כך שאפילו Privnote עצמו לא יכול לקרוא את התוכן".[2] ייתכן מאוד שזה נכון. אבל הקוד סגור, כך שאף אחד מחוץ לחברה לא יכול לאשר את זה, ומה שאפשר לראות מבחוץ לא מרגיע.
זה בדיוק מה שהצלחנו ולא הצלחנו לאמת ב-2 באוקטובר 2026:
- אומת: הדף החי של privnote.com טוען קובץ JavaScript בשם
gibberish-aes.jsמתוך הקבצים הסטטיים שלו.[1] - אומת: פרויקט המקור Gibberish-AES ב-GitHub הועבר לארכיון (לקריאה בלבד) ב-16 באוקטובר 2018. ה-README שלו אומר שהוא "תומך רק במצב ההצפנה CBC AES", שהוא בנוי להיות תואם לגזירת המפתחות של OpenSSL שמבוססת על MD5, ויש בו הודעת הוצאה משימוש שממליצה במקומו על libsodium או על Stanford's JavaScript Crypto Library, כי Gibberish-AES "די ישן, ומשתמש במצב צופן ישן יותר ולא מאומת, CBC".[4]
- לא אומת: לא ביצענו הנדסה לאחור לקוד האפליקציה המכווץ של Privnote כדי לאשר שהספרייה הזו היא הקוד שמצפין פתק חדש היום, ולא נתיב ישן לפתקים ישנים. התייחסו לממצא כאל "ספריית ההצפנה היחידה שהדף טוען", לא כהוכחה למה שרץ בפועל.
לעומת זאת, בכלים שאפשר לקרוא את קוד המקור שלהם: PrivateBin מתעד הצפנת AES של 256 ביט במצב Galois Counter Mode (מצב מאומת) שרצה בדפדפן, עם המפתח בחלק של הקישור שאחרי הסימן #,[5] ו-Yopass מצפין בדפדפן עם OpenPGP תחת רישיון Apache-2.0.[6] בכלי שכל מטרתו סודיות, "תסמכו עלינו" הוא עמדה חלשה בהרבה מ"בדקו בעצמכם".
3. אין דרך לתקן טעות
שלחתם את הפתק לאדם הלא נכון? אין לוח בקרה שבו אפשר לבטל את הקישור. צריכים להוכיח ללקוח שפרטי ההתחברות מעולם לא נפתחו? אין יומן ביקורת: האימייל על ההשמדה אומר לכם שהפתק נקרא, לא מי קרא אותו ומאיפה. רוצים לדעת אם קרא אותו הנמען הנכון או שער אבטחה של אימייל שפתח את הקישור? אין דרך לדעת.
לפתקים אישיים כל זה לא משנה. בעבודה כל זה משנה.
במה כדאי להשתמש במקום?
| האילוץ שלכם | מתאים יותר | למה |
|---|---|---|
| מסירות עסקיות, פרטי התחברות של לקוחות | LinkPilot | יומן ביקורת לכל סוד, ביטול קישורים, ביטויי סיסמה, קבצים מצורפים, סביבות עבודה לצוותים; הצפנה בדפדפן שלכם עם המפתח בחלק של הקישור שאחרי הסימן # |
| כלי מוכר, כבר יש לכם מנהל סיסמאות | Bitwarden Send | Send של טקסט בחינם; Send של קבצים ב-Premium; אפשר למחוק או להשבית לפני התפוגה |
| פתקים אישיים אנונימיים, קוד פתוח | OneTimeSecret | רישיון MIT, אפשר להריץ באירוח עצמי, REST API, שכבה חינמית |
| אירוח עצמי בשליטת ה-IT | Password Pusher | Apache-2.0, מגבלת צפיות, קישורים עם תפוגה, יומני ביקורת, API |
| הצפנה שאפשר לקרוא את קוד המקור שלה | PrivateBin / Yopass | הצפנה בדפדפן, המפתח בקישור, קוד שאפשר לבדוק |
ההשוואה המלאה של שבעת הכלים, עם טבלת מחירים והפניה לדף המחירים של כל ספק, נמצאת בסקירה החלופות הטובות ביותר ל-Privnote. להשוואה של המוצר שלנו מול Privnote, תכונה מול תכונה, כולל ההסתייגות הכנה ש-LinkPilot זמין רק כשירות מתארח ובקוד סגור, ראו LinkPilot מול Privnote. כדי לנסות את המנגנון בלי חשבון, השתמשו במחולל הקישורים הסודיים החד-פעמיים לסיסמה או למפתח, ובכלי פתק שמשמיד את עצמו להודעה.
היסטוריית תיקונים: בגרסה הראשונה של הפוסט נכתב ש-LinkPilot לא טוען שהוא מצפין בדפדפן. מאז 29 בספטמבר 2026 הוא מצפין בדפדפן תוכן טקסט וקבצים מצורפים, עם המפתח בחלק של הקישור שאחרי הסימן #. סודות שנוצרו לפני התאריך הזה נשמרו כטקסט גלוי עד שפג תוקפם. הנה בדיוק מה הוא טוען.
איך משתמשים בבטחה בכל כלי לפתקים חד-פעמיים?
- הקלידו את הדומיין בעצמכם. אל תגיעו לכלי לשיתוף מידע רגיש דרך מודעות או תוצאות חיפוש. זו מתקפת אתרי השיבוט בשורה אחת.
- הוסיפו ביטוי סיסמה ושלחו אותו בערוץ אחר מזה של הקישור.
- הגדירו את התפוגה הקצרה ביותר שעדיין מעשית, כדי שפתקים שלא נפתחו יימחקו מעצמם.
- החליפו את הסיסמה או המפתח אם משהו נראה חשוד. סטטוס שמראה שהפתק נמחק לפני שנקרא, או אימייל על השמדה לפני שהנמען פתח אותו, הוא סימן האזהרה המוקדם שמישהו אחר פתח אותו.
- לעולם אל תכניסו את הסיסמה עצמה לאימייל או לצ'אט, רק את הקישור. המדריך לשיתוף סיסמאות מאובטח שלנו משווה חמש דרכים שבהן צוותים משתפים פרטי התחברות ומסביר למה הכלל הזה חשוב.
מנגנון הצפייה האחת הוא רעיון טוב באמת, ולכן כל כך הרבה כלים משתמשים בו. שאלת הבטיחות נוגעת לכל מה שמסביב למנגנון: מי מפעיל אותו, אם אפשר לאמת אותו, ומה אפשר לעשות כשמשהו משתבש. שפטו את Privnote, ואת כל חלופה, כולל שלנו, לפי שלוש השאלות האלה.
מקורות
[1] Privnote. Home page and page source (נבדק ב-2 באוקטובר 2026). https://privnote.com/
[2] Krebs, B. (14 June 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/
[3] Krebs, B. (4 April 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/
[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (המאגר הועבר לארכיון ב-16 באוקטובר 2018). GitHub. https://github.com/mdp/gibberish-aes
[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin
[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass