Редактирование: Off-the-Record Messaging

'''Off-the-Record Messaging (OTR)''' — [[криптографический протокол]] для [[система мгновенного обмена сообщениями|систем мгновенного обмена сообщениями]], созданный в 2004 году [[Борисов, Никита|Никитой Борисовым]] и [[Голдберг, Иан|Ианом Голдбергом]] ({{lang-en|Ian Goldberg}}).

Авторами создана библиотека, распространяемая под лицензией [[GNU Lesser General Public License|GNU Lesser GPL]], используемая для поддержки OTR клиентами систем мгновенного обмена сообщениям. Также на основе этой библиотеки авторами создан плагин для [[Pidgin]].

Фонд [[EFF]] рекомендует использовать OTR для защиты от прослушивания<ref>{{cite web|title=Surveillance Self-Defense: Instant Messaging (IM)|url=https://ssd.eff.org/tech/im|quote=To protect messages from interception as they travel over the network, you need to use encryption. Fortunately, there is an excellent instant messaging encryption system called OTR (Off The Record).}}</ref>.

== История ==
Первая версия протокола OTR и его реализация были представлены в 2004 году [[Борисов, Никита|Никитой Борисовым]] и [[Голдберг, Иан|Ианом Голдбергом]]{{sfn|borisov2004off|2004}}{{sfn|impauth|2007|loc=2.1 Original OTR Protocol|quote=The original OTR protocol was presented by Borisov, Goldberg, and Brewer in 2004|p=42}}. В 2005 году была опубликована атака на первую версию протокола OTR и предложен исправленный протокол аутентификации{{sfn|di2005secure|2005}}. В том же году разработчики OTR представили вторую версию протокола с исправлением протокола аутентификации, также дополнительно улучшив его{{sfn|impauth|2007|loc=2.3 OTR version 2|quote=OTR version 2 was released in 2005. The largest change in version 2 was the reworking of the initial authenticated key exchange (AKE).|p=43}}.

В 2007 году Оливер Гоффарт ({{lang-en|Olivier Goffart}}) опубликовал модуль <tt>mod_otr</tt><ref>{{cite web|url=http://www.ejabberd.im/mod_otr|title=mod_otr}}</ref> для сервера [[ejabberd]], позволяющий автоматически проводить атаку типа «[[человек посередине]]» на пользователей OTR, не проверяющих отпечатки открытых ключей друг друга. После этого разработчики улучшили OTR с использованием решения задачи «социалиста миллионера» ({{lang-en|Socialist Millionaire}}), позволяющего двум пользователям провести аутентификацию без обмена ключами или их отпечатками при условии, что они знают общий секрет{{sfn|impauth|2007|loc=4. Socialist Millionaires’ Protocol|p=44}}.

[[Файл:Off-The-Record authentication dialog..png|thumb|Аутентификация с использованием вопроса и секретного ответа в [[Pidgin]]]]

== Основные свойства протокола ==
Протокол OTR разрабатывался для того, чтобы обеспечить [[приватность]] переговоров, аналогичную переговорам без использования средств телекоммуникаций{{sfn|impauth|2007|loc=2.1 Original OTR Protocol|quote=The original OTR protocol was presented by Borisov, Goldberg, and Brewer in 2004. It was motivated by the idea of two people, say Alice and Bob, conversing face-to-face in a private room.|p=41}} {{sfn|goldberg2009multi|2009|loc=1. Motivation|quote=While this may be feasible under certain circumstances, it deviates from the original OTR goal, which is to mimic private conversations.|p=359}}. Для этого к разрабатываемому протоколу были предъявлены следующие требования:

* шифрование сообщений — никто иной не сможет прочитать сообщения;
* аутентификация собеседников — уверенность в том, кто является собеседником;
* [[perfect forward secrecy]] — если потеряны секретные ключи, прошлая переписка не будет скомпрометирована;
* возможность отречения — третье лицо не сможет доказать, что сообщения написаны кем-либо другому адресату.

Частично эти свойства реализованы в таких системах, как [[PGP]] и Trillian SecureIM. OTR отличается тем, что реализует все эти свойства в одном протоколе{{sfn|borisov2004off|2004|loc=1. Introduction|quote=However, none of the mechanisms currently used for social communications have all of these properties.|p=77}}.

== Согласование ключей ==
Для передачи сообщений с использованием OTR участники протокола должны установить общий секретный ключ. Для этого используется протокол аутентифицированного распределения ключей ({{lang-en|Authenticated Key Exchange}}), основанный на [[протокол Диффи — Хеллмана|протоколе Диффи — Хеллмана]]{{sfn|impauth|2007|loc=2.1 Original OTR Protocol|quote=To begin with, OTR uses a Diffie-Hellman (DH) key exchange to establish a shared secret between Alice and Bob.|p=42}}.

В начале протокола участники используют протокол Диффи — Хеллмана для установки секретного ключа, необходимого для передачи первого сообщения. Участники A и B выбирают простое число <math>p</math> и генератор <math>g</math> группы <math>\mathbb{Z}_p^*</math>. A выбирает случайное число <math>a_1</math> и отправляет B результат вычисления <math>g^{a_1} \bmod p</math>. B выбирает случайное число <math>b_1</math> и отправляет A результат вычисления <math>g^{b_1} \bmod p</math>. Затем участники используют общий [[эфемерный ключ]] <math>k_{11} = H(g^{a_1 b_1})</math>, где <math>H</math> — [[криптографическая хеш-функция]] [[SHA-1]]{{sfn|borisov2004off|2004|loc=4.1 Encryption|p=80}}.

=== Обновление ключей ===
Для обеспечения [[perfect forward secrecy]] пользователи постоянно обновляют ключ во время обмена сообщениями{{sfn|borisov2004off|2004|loc=3.1 Perfect forward secrecy|quote=We circumvent this problem by using short-lived encryption/decryption keys that are generated as needed and discarded after use.|p=78}}{{sfn|impauth|2007|loc=2.1 Original OTR Protocol|quote=At this point Alice and Bob may begin sending each other encrypted messages. In order to limit the amount of information that is compromised if an adversary determines the shared key, Alice and Bob re-key as frequently as possible. ... This procedure gives OTR the property of perfect forward secrecy (PFS), ensuring that future key compromises cannot reveal the contents of old messages.|p=42}}. При передаче первого сообщения одна из сторон (например, сторона A) шифрует сообщение с помощью функции шифрования <math>E</math> с ключом <math>k_{11}</math>, выбирает случайное число <math>a_2</math> и передает B пару значений <math>g^{a_2}, E_{k_{11}}(M)</math>. Для шифрования следующего сообщения используется ключ <math>k_{21} = H(g^{a_2 b_1})</math>. В дальнейшем при передаче каждого сообщения A изменяет число <math>a_i</math>, а B изменяет число <math>b_j</math>, и ключ <math>k_{ij}</math> обновляется.

На практике сообщения доходят не мгновенно, поэтому после отправки сообщения от A к B и обновления ключа на стороне A, A все ещё может получить сообщение от B, зашифрованное старым ключом{{sfn|borisov2004off|2004|loc=4.2 Forgetting Keys|quote=However, since messaging protocols are typically asynchronous, it is possible that there is still a message in transit from Bob that was encrypted using the previous key|p=80}}. Участник A может быть уверен в том, что B обновил ключ, только тогда, когда получит от B сообщение, зашифрованное новым ключом. Поэтому A хранит достаточное количество старых ключей, чтобы иметь возможность расшифровать все сообщения, которые ещё не дошли. Для того, чтобы ключи все же обновлялись достаточно часто, сторона, у которой нет сообщений для отправки, время от времени передает пустые сообщения{{sfn|borisov2004off|2004|loc=4.2 Forgetting Keys|quote=To address this problem, Bob should periodically send an empty message acknowledging receipt of a new key from Alice.|p=81}}.

Авторы статьи «Secure Off-the-Record Messaging» критиковали используемую в OTR схему обновления ключей как не предоставляющую дополнительной безопасности{{sfn|di2005secure|2005|loc=6.3 On the Key Refreshing|quote=Thus the value of performing a DH key exchange with each message where authentication depends on the previous shared key is of limited value.|p=89}}. Так, в случае [[Компрометация (криптография)|компрометации]] все ещё используемого [[эфемерный ключ|эфемерного ключа]] <math>k_{ij}</math>, сторона, осуществляющая атаку «[[человек посередине]]», сможет модифицировать все последующие сообщения и используемые эфемерные ключи{{sfn|di2005secure|2005|loc=6.3 On the Key Refreshing|quote=We note however, that if the adversary learns the current ephemeral key, future messages may be completely compromised|p=88}}. Также использование протокола Диффи — Хеллмана может требовать значительных (например, для устройств, питающихся от батареи) ресурсов{{sfn|di2005secure|2005|loc=6.3 On the Key Refreshing|quote=This is even more so given the computational cost of a DH exchange.|p=89}}. Вместо этого было предложено использовать ту же схему, что и для ключа <math>k_{11}</math>, либо требующую меньше вычислительных ресурсов схему, основанную на [[Криптографическая хеш-функция|хешировании]]{{sfn|di2005secure|2005|loc=Thus we suggest that OTR will enjoy better overall security by running the AKE protocol at regular intervals. If a finer-grain refreshing mechanism is desired for forward-secrecy purposes, then a lighter, yet powerful, mechanism can be employed, such as deriving new keys (possibly on a per-message basis, if so desired) by one-way hashing the previous key.|p=89}}.

=== Аутентификация ключей ===
Аутентификация всех [[эфемерный ключ|эфемерных ключей]], за исключением <math>k_{11}</math>, осуществляется вместе с аутентификацией сообщений и описана [[#Аутентификация сообщений|далее]]{{sfn|borisov2004off|2004|loc=4.3 Authentication|quote=We only need to use a digital signature on the initial key exchange. In further key exchanges, we use MACs to authenticate a new key using an old, known-authentic shared secret.|p=81}}. Для аутентификации ключа <math>k_{11}</math> используются долговременные ключи. В первой версии OTR использовалась небезопасная схема аутентификации, которая была впоследствии изменена{{sfn|impauth|2007}}.

==== Оригинальная версия протокола ====
В первой версии протокола OTR для аутентификации начального ключа <math>k_{11}</math> стороны подписывают соответствующие сообщения протокола Диффи — Хеллмана{{sfn|borisov2004off|2004|loc=4.3 Authentication|quote=The encryption key is itself the result of a hash of the Diffie-Hellman shared secret, which also needs to be authenticated in some way. We accomplish this by digitally signing the initial Diffie-Hellman exchange|p=81}}. Также в этих сообщениях стороны передают свои долговременные открытые ключи.

<center><math>A \longrightarrow B \colon S_A(g^{a_1}), P_A</math></center>
<center><math>B \longrightarrow A \colon S_B(g^{b_1}), P_B</math></center>

Здесь <math>S_A</math> и <math>S_B</math> — цифровая подпись, <math>P_A</math> и <math>P_B</math> — открытые ключи сторон A и B соответственно.

Данная версия протокола содержит известную уязвимость{{sfn|di2005secure|2005|loc=3.1 An authentication failure|p=84}}{{sfn|impauth|2007|loc=2.2 Attack on OTR version 1|p=42}}. Сторона E, проводящая атаку «[[человек посередине]]», может выполнить аутентификацию одновременно со сторонами A и B, при этом выдав себя одной из сторон (например, B) за другую сторону (например, A), как показано далее.

<center><math>A \longrightarrow E \colon S_A(g^{a_1}), P_A</math></center>
<center><math>E \longrightarrow B \colon S_E(g^{a_1}), P_E</math></center>
<center><math>B \longrightarrow E \colon S_B(g^{b_1}), P_B</math></center>
<center><math>E \longrightarrow A \colon S_B(g^{b_1}), P_B</math></center>

После этого E не может читать сообщения, так как они зашифрованы известным только A и B ключом, но B считает, что он разговаривает с E, хотя на самом деле разговаривает с A{{sfn|borisov2004off|2004|loc=2.2 Attack on OTR version 1|quote=This attack allows an adversary Eve to interfere with the initial key exchange in suchway that Alice and Bob still reach the same key at the end of the protocol, but Alice believes that she is talking to Bob while Bob believes that he is talking to Eve.|p=42}}.

Более безопасные протоколы, такие как [[SKEME]], рассматривались при реализации первой версии протокола OTR, но вместо этого был реализован собственный протокол, описанный выше{{sfn|borisov2004off|2004|loc=7. Related work|quote=If anonymity is desired, one can use either SKEME or Abadi’s private authentication instead of the signed Diffie-Hellman key exchange in
our protocol.|p=83}}.

==== Вторая версия протокола ====
Авторы статьи Secure Off-the-Record Messaging предложили изменить протокол согласования и аутентификации ключей на один из уже известных протоколов, таких как [[SIGMA]], [[SKEME]] и [[HMQV]]{{sfn|di2005secure|2005|loc=4. Building A Sound AKE For OTR|p=85}}. Также в этих сообщениях стороны передают свои долговременные открытые ключи.

Вариант протокола [[SIGMA]], называемый SIGMA-R, работает следующим образом{{sfn|di2005secure|2005|loc=4.1 SIGMA|p=85}}:

<center><math>A \longrightarrow B \colon g^{a}</math></center>
<center><math>B \longrightarrow A \colon g^{b}</math></center>
<center><math>A \longrightarrow B \colon \text{A}, S_A(g^{b}, g^{a}), MAC_{H(g^{ab})} (0, \text{A}), P_A</math></center>
<center><math>B \longrightarrow A \colon \text{B}, S_B(g^{a}, g^{b}), MAC_{H(g^{ab})} (1, \text{B}), P_B</math></center>

Здесь A и B — идентификаторы, <math>S_A</math> и <math>S_B</math> — цифровые подписи, <math>P_A</math> и <math>P_B</math> — открытые ключи сторон A и B соответственно, а <math>H</math> — криптографическая хеш-функция.

Авторы OTR использовали модифицикацию протокола SIGMA во второй версии OTR{{sfn|impauth|2007|loc=2.3 OTR version 2|quote=The largest change in version 2 was the reworking of the initial authenticated key exchange (AKE). In response to the attack mentioned above, the AKE was
changed to a SIGMA variant, as suggested.|p=43}}. По сравнению с предложенным протоколом SIGMA, разработчики OTR защитили открытые ключи от пассивной атаки (прослушивания). Для этого открытые ключи передаются по защищенному каналу, установленному с помощью протокола Диффи — Хеллмана{{sfn|impauth|2007|loc=2.3 OTR version 2|quote=Where the public keys were formerly sent in the clear, they are now encrypted using the DH shared secret.|p=43}}. Также используемая в OTR модификация протокола SIGMA усложнена из-за ограничений на размер сообщения в некоторых протоколах (например, [[IRC]]){{sfn|impauth|2007|loc=2.3 OTR version 2|quote=The purpose of r in the above steps is to satisfy an engineering restriction: many IM protocols enforce a maximum size on messages.|p=43}} Полное техническое описание используемого в OTR варианта SIGMA приведено в статье{{sfn|impauth|2007|loc=2.3 OTR version 2|p=43}} и спецификациях OTRv2{{sfn|OTRv2}} и OTRv3{{sfn|OTRv3}}.

== Аутентификация сообщений ==
В отличие от таких систем как [[PGP]], OTR не использует цифровые подписи для аутентификации сообщений, так как они не предоставляют возможности отрицаемой аутентификации{{sfn|borisov2004off|2004|loc=3.2 Digital signatures and non-repudiation|quote=For this reason, we never use a digital signature to prove Alice’s authorship of any message.|p=79}}. Вместо этого используется [[HMAC]]{{sfn|borisov2004off|2004|loc=3.3 MACs and repudiability|p=79}}.

Для аутентификации сообщений используется ключ K, полученный [[криптографическая хеш-функция|хешированием]] ключа, используемого для шифрования сообщения{{sfn|impauth|2007|loc=2.1 Original OTR Protocol|quote=The MAC key used is a hash of the decryption key for that message.|p=42}}.

Когда сторона A передает сообщение M другой стороне B, вместе с сообщением она передает вычисленное с помощью общего ключа значение HMAC(M, K){{sfn|borisov2004off|2004|quote=Alice uses her copy of the MAC key to compute a MAC of her message, and sends this MAC along with her message in a secure transmission|loc=3.3 MACs and repudiability|p=79}}. Сторона B, получив сообщение, может также вычислить HMAC(M, K). Если оно совпадает с полученным значением, то сторона B знает, что сообщение было передано либо стороной A, либо стороной B, но так как сторона B знает, что она сообщение не посылала, то она может быть уверена, что сообщение действительно было отправлено стороной A. В то же время использование [[HMAC]] обеспечивает отрицаемость: даже раскрыв ключ K, B не может доказать третьей стороне, что сообщение было отправлено стороной A. Сообщение также могло быть подделано стороной B и любой стороной, которая знает ключ K.

=== Раскрытие ключей аутентификации ===
Ключи, используемые для шифрования, постоянно обновляются, [[#Обновление ключей|как описано выше]]. Так как ключи, используемые для аутентификации, получаются хешированием ключей, используемых для шифрования, они также обновляются.

Старые ключи, которые больше не будут использованы, могут быть уничтожены. Но ключи аутентификации также могут быть не только уничножены, но и раскрыты. Авторы OTR добавили раскрытие старых ключей: вместе с сообщением пересылается старый ключ аутентификации, если известно, что он больше не будет использован{{sfn|borisov2004off|2004|loc=4.4 Revealing MAC keys|p=81}}. Такое решение объясняется требованиями отрицаемости протокола OTR{{sfn|borisov2004off|2004|loc=4.4 Revealing MAC keys|quote=Note what this has accomplished: Bob doesn’t need to rely on this key any more, since he’s already checked all of the messages authenticated by that key. However, now anyone can create arbitrary messages that have this MAC key, and no one can rule out any particular person as a potential author of the message.|p=81}}{{sfn|di2005secure|2005|loc=2.3 Encryption and authentication of messages|quote=The reason behind the above choices (i.e., a malleable encryption and revealing the MAC keys) is deniability.|p=84}}.

В работе Secure Off-the-Record Messaging указывается, что раскрытие ключей аутентификации излишне усложняет протокол и может негативно быть небезопасно, как нестандартный для криптографии метод{{sfn|di2005secure|2005|loc=6.1 Repudiability of the symmetric encryption|quote=Third, revealing the MAC keys does introduce timing and synchronization issues needed to prevent a too-early disclosure. While this is possible this results in added complexity to the system. While the above considerations may be seen as subjective to some extent, in the next subsection we illustrate the danger of adding non-standard security techniques.|p=88}}. Автор основанного на OTR протокола TextSecure, известный под псевдонимом {{iw|Moxie Marlinspike||en|Moxie Marlinspike}} также указывает на излишнюю сложность и неэффективность раскрытия ключей аутентификации для обеспечения отрицаемости{{sfn|loc=Limitations|simpldeniability}}.

== Шифрование сообщений ==
Для шифрования сообщений используется алгоритм [[Advanced Encryption Standard|AES]] в [[режим шифрования#Counter mode (CTR)|режиме счётчика]]{{sfn|di2005secure|2005|loc=2.3 Encryption and authentication of messages|quote=The message is first encrypted using AES in counter mode and then the resulting ciphertext is authenticated using HMAC (with hash function SHA-1).|p=83}}. Использование построенного таким образом [[поточный шифр|поточного шифра]] обеспечивает ''спорное шифрование'' ({{lang-en|malleable encryption}}). Это значит, что любой, кто перехватит сообщение, сможет выборочно изменить любые биты в сообщении. В частности, если сообщение стало известно, его можно изменить на любое другое сообщение такой же длины{{sfn|borisov2004off|2004|loc=3.4 Malleable encryption and forgeability|quote=This encryption is malleable, as a change to any bit in the ciphertext will correspond to a change in the corresponding bit in the plaintext. In particular, if Eve can guess the plaintext of a message, she can then change the ciphertext to decrypt to any other message of the same length, without knowing the key.
|p=80}}.

Спорное шифрование требуется для обеспечения отрицаемости шифрования{{sfn|di2005secure|2005|loc=The reason behind the above choices (i.e., a malleable encryption and revealing the MAC keys) is deniability.|p=84}}. Благодаря спорному шифрованию участники протокола OTR могут утверждать, что любое из переданных сообщений было изменено третьей стороной.

== Многопользовательский OTR ==
Протокол OTR разработан для использования только двумя сторонами. Таким образом, его невозможно использовать в каналах [[IRC]], конференциях [[XMPP]] и т. д.

OTR невозможно просто расширить для случая нескольких собеседников из-за используемых криптографических примитивов. Например, [[HMAC|коды аутентификации сообщений]] не предоставляют аутентификации источника сообщений в многопользовательском случае{{sfn|goldberg2009multi|2009|quote=
For example, OTR uses message authentication codes (MACs) to provide authenticity. While for two parties MACs can provide a deniable authentication mechanism, MACs do not provide origin authentication when used by more than two parties.}}.

Существуют расширения протокола, предоставляющие возможность использования протокола несколькими пользователями{{sfn|bian2007off|2007}}{{sfn|bian2007public|2007}}{{sfn|goldberg2009multi|2009}}.

Одно из расширений протокола OTR, называемое GOTR (Group OTR), основано на идее создания «виртуального сервера»{{sfn|bian2007off|2007|loc=3.1. Initial Design|quote=The main concept of our implementation is to create a virtual server, which is a chat member literally acting as a server.|p=81}}. Один из участников назначается «виртуальным сервером», обменивается ключами с другими участниками и в дальнейшем все сообщения между участниками конференции пересылаются через него. Недостатком протокола GOTR является то, что «виртуальный сервер» может изменять содержание сообщений, добавлять и удалять сообщения, поэтому все участники конференции должны доверять ему{{sfn|goldberg2009multi|2009|loc=1. Motivation|quote=Finally, the server has to be assumed honest, as a dishonest server could compromise both the confidentiality and the integrity of all messages sent during a chat session.|p=359}}.

Позже Иан Голдберг с другими авторами предложили протокол [[Multi-party Off-the-Record Messaging|mpOTR]]{{sfn|goldberg2009multi|2009}}. В отличие от протокола GOTR, протокол mpOTR работает без выделенного центрального сервера{{sfn|goldberg2009multi|2009|loc=5. Conclusion|quote=Our proposed framework for multi-party Off-the-Record communication does not depend on a central server; instead we developed a model that mimics a typical private meeting where each user authenticates the other participants for himself.|p=367}}.

== Реализации OTR ==
{{Карточка программы
 |name                   = libotr
 |developer              = [https://otr.cypherpunks.ca/people.php OTR Development Team]
 |genre                  = Библиотека
 |programming language   = [[Си (Язык программирования)|C]]
 |platform               = кроссплатформенная
 |latest release version = 4.0.2
 |latest release date    = [[9 марта]] [[2016]]
 |license                = [[GNU Lesser General Public License]] версии 2<ref>{{cite web | url = https://otr.cypherpunks.ca/index.php#faqs | title = Off-the-Record Messaging}}</ref>
 |status                 = Актуальный
 |website                = https://otr.cypherpunks.ca/index.php#downloads
}}

Основной реализацией OTR является библиотека libotr, созданная командой разработчиков OTR. На её основе теми же разработчиками создан [[плагин]] для клиента [[Pidgin]], позволяющий использовать OTR с любым из протоколов, поддерживаемых этим клиентом. Также существуют реализации протокола на языках [[Go]], [[Java]], [[JavaScript]], [[Python]], [[Scheme]]<ref>{{cite web|url=https://otr.cypherpunks.ca/software.php|title=Libraries that support OTR}}</ref>.

== Поддержка в мессенджерах ==
=== Встроенная поддержка ===
Следующие клиенты имеют встроенную поддержку протокола OTR<ref>https://otr.cypherpunks.ca/software.php IM clients which support Off-the-Record Messaging «out of the box»</ref>.

* [[Adium]]
* [[BitlBee]]<ref>[http://wiki.bitlbee.org/bitlbee-otr Get OTR to work with bitlbee]</ref>
* [[climm]]
*  ChatSecure
* [[Conversations| Conversations Legacy]]
* [[IM+]]
* [[Jitsi]]
* [[Xabber]]
* [[Psi]] и Psi+ (плагин)<ref>[https://github.com/psi-im/plugins/tree/master/generic/otrplugin OTR плагин]</ref><ref>[https://github.com/psi-plus/psi-plus-snapshots/tree/master/src/plugins/generic/otrplugin Psi+ snapshots]</ref>
* LeechCraft<ref>[https://github.com/0xd34df00d/leechcraft/tree/master/src/plugins/azoth/plugins/otroid OTR плагин]</ref><ref>[http://leechcraft.org/plugins-azoth Краткое описание]</ref>
* [[MCabber]]<ref>[http://mcabber.com/hg/index.cgi/file/a18e1b488f1c/mcabber/mcabber/otr.c Исходный код] {{webarchive|url=https://web.archive.org/web/20140517132343/http://mcabber.com/hg/index.cgi/file/a18e1b488f1c/mcabber/mcabber/otr.c |date=2014-05-17 }}</ref>
* [[Profanity]]<ref>Согласно описанию на [http://profanity.im официальном сайте]</ref>
* [[Gajim]]<ref>{{Cite web |url=https://dev.gajim.org/gajim/gajim-plugins/tree/master/gotr |title=Официальный OTR плагин для Gajim |accessdate=2017-09-06 |archiveurl=https://web.archive.org/web/20170906180707/https://dev.gajim.org/gajim/gajim-plugins/tree/master/gotr |archivedate=2017-09-06 |deadlink=yes }}</ref><ref>[https://dev.gajim.org/gajim/gajim-plugins/wikis/OffTheRecordPlugin OTR плагин на Wiki]</ref>

=== С использованием плагина ===
* [[irssi]]<ref>[http://irssi-otr.tuxfamily.org/ Home of irssi-otr and xchat-otr]</ref>
* [[Miranda IM]]<ref>[http://addons.miranda-im.org/details.php?action=viewfile&id=2644 Плагин OTR для [[Miranda IM]]] {{webarchive|url=https://web.archive.org/web/20070513144505/http://addons.miranda-im.org/details.php?action=viewfile |date=2007-05-13 }}</ref>
* [[Pidgin]]
* [[Vacuum-IM]] (плагин)<ref>[http://code.google.com/p/vacuum-plugins/ Additional plugins for Vacuum-IM project]</ref>
* [[Kopete]]
* [[Tkabber]] (плагин)<ref>[https://svn.xmpp.ru/repos/tkabber/trunk/tkabber-plugins/otr/ Tkabber OTR Plugin] {{webarchive|url=https://web.archive.org/web/20140311093019/https://svn.xmpp.ru/repos/tkabber/trunk/tkabber-plugins/otr/ |date=2014-03-11 }}</ref>

=== Прокси ===
Для клиентов, поддерживающих протокол [[AOL Instant Messenger|AIM]]/[[ICQ]], командой разработчиков OTR был разработан пакет otrproxy, представляющий собой локальный [[прокси-сервер]]<ref>[https://otr.cypherpunks.ca/ OTR localhost AIM proxy]</ref>. Он позволял использовать OTR в клиентах, не имеющих собственной поддержки OTR. В настоящее время данный пакет не поддерживается, разработчики рекомендуют использовать клиенты с поддержкой OTR.

== Примечания ==
{{примечания|3}}

== Литература ==
* {{статья
 |автор         = Borisov N., Goldberg I., Brewer E.
 |заглавие      = Off-the-record communication, or, why not to use PGP
 |ссылка        = http://www.cypherpunks.ca/otr/otr-wpes.pdf
 |язык          = en
 |издание       = Proceedings of the 2004 ACM workshop on Privacy in the electronic society
 |год           = 2004
 |страницы      = 77—84
 |isbn          = 1-58113-968-3
 |doi           = 10.1145/1029179.1029200
 |ref           = borisov2004off
}}
* {{статья
 |автор         = Di Raimondo, Mario and Gennaro, Rosario and Krawczyk, Hugo
 |заглавие      = Secure off-the-record messaging
 |ссылка        = http://www.dmi.unict.it/diraimondo/web/wp-content/uploads/papers/otr.pdf
 |язык          = en
 |издание       = Proceedings of the 2005 ACM workshop on Privacy in the electronic society
 |год           = 2005
 |страницы      = 81—89
 |isbn          = 1-59593-228-3
 |doi           = 10.1145/1102199.1102216
 |ref           = di2005secure
}}
* {{статья
 |автор         = Alexander, Chris and Goldberg, Ian
 |заглавие      = Improved user authentication in off-the-record messaging
 |ссылка        = http://www.cypherpunks.ca/~iang/pubs/impauth.pdf
 |язык          = en
 |издание       = Proceedings of the 2007 ACM workshop on Privacy in electronic society
 |год           = 2007
 |страницы      = 41—47
 |isbn          = 1-58113-968-3
 |doi           = 10.1145/1029179.1029200
 |ref           = impauth
}}
* {{статья
 |автор         = Stedman, Ryan and Yoshida, Kayo and Goldberg, Ian
 |заглавие      = A user study of off-the-record messaging
 |ссылка        = http://www.cypherpunks.ca/~iang/pubs/otr_userstudy.pdf
 |язык          = en
 |издание       = Proceedings of the 4th symposium on Usable privacy and security
 |год           = 2008
 |страницы      = 95—104
 |isbn          = 978-1-60558-276-4 
 |doi           = 10.1145/1408664.1408678
 |ref           = userstudy
}}
* {{статья
 |автор       = Bian, Jiang and Seker, Remzi and Topaloglu, Umit
 |заглавие = Off-the-Record Instant Messaging for Group Conversation
 |ссылка     = https://gotr.googlecode.com/svn-history/r14/docs/GOTR-IEEE-IRI07/submission_167.pdf
 |язык         = en
 |издание   = Information Reuse and Integration, 2007. IRI 2007. IEEE International Conference on
 |год           = 2007
 |страницы = 79—84
 |isbn             = 1-4244-1500-4
 |doi              = 10.1109/IRI.2007.4296601
 |ref              = bian2007off
 |archiveurl       = https://web.archive.org/web/20131022193527/https://gotr.googlecode.com/svn-history/r14/docs/GOTR-IEEE-IRI07/submission_167.pdf
 |archivedate      = 2013-10-22
}}

* {{статья
 |автор       = Bian, Jiang and Seker, Remzi
 |заглавие = Off-the-Record Secure Chat Room via Public IM Services
 |ссылка     = http://gotr.googlecode.com/svn-history/r18/docs/GOTR-ACM-ASIACCS%2708/GOTR_ACM_PaperRSComments.pdf
 |язык         = en
 |издание   = Masters Abstracts International
 |год           = 2007
 |страницы = 46
 |ref              = bian2007public
}}{{Недоступная ссылка|date=Август 2018 |bot=InternetArchiveBot }}
* {{статья
 |автор         = Goldberg, Ian and Ustaoğlu, Berkant and Van Gundy, Matthew D and Chen, Hao
 |заглавие      = Multi-party off-the-record messaging
 |ссылка        = http://www.cs.ucdavis.edu/~hchen/paper/ccs09.pdf
 |язык          = en
 |издание       = Proceedings of the 16th ACM conference on Computer and communications security
 |год           = 2009
 |страницы      = 358—368
 |isbn          = 978-1-60558-894-0
 |doi           = 10.1145/1653662.1653705
 |ref           = goldberg2009multi
}}
* {{статья
 | автор = Joseph Bonneau, Andrew Morrison
 | заглавие = Finite-State Security Analysis of OTR Version 2
 | год = 2006
 | ссылка = http://www.stanford.edu/class/cs259/WWW06/projects/project03/03-Writeup.pdf
 | язык   = en
 | doi = 10.1.1.165.7945
}}

== Ссылки ==
* [https://otr.cypherpunks.ca/ Официальная страница OTR]
* {{cite web
    | url = https://otr.cypherpunks.ca/Protocol-v2-3.1.0.html
    | title = Off-the-Record Messaging Protocol version 2
    | accessdate = 2013-11-10
    | lang = en
    | ref = OTRv2
  }}
* {{cite web
    | url = https://otr.cypherpunks.ca/Protocol-v3-4.0.0.html
    | title = Off-the-Record Messaging Protocol version 3
    | accessdate = 2013-11-10
    | lang = en
    | ref = OTRv3
  }}
* {{cite web
    | url = https://whispersystems.org/blog/simplifying-otr-deniability/
    | title = Simplifying OTR deniability
    | accessdate = 2013-11-28
    | lang = en
    | ref = simpldeniability
  }}
* [https://otr.cypherpunks.ca/otr-codecon.pdf Слайды презентации OTR на CodeCon в 2006 году]
* [https://otr.cypherpunks.ca/otr-wpes-present.pdf Слайды презентации OTR на WPES в 2004 году]
* [https://web.archive.org/web/20130927075553/http://www.cypherpunks.ru/OTR.html Off-The-Record messaging на www.cypherpunks.ru]

[[Категория:Криптографическое программное обеспечение]]
[[Категория:Информационная безопасность]]
[[Категория:Сетевые протоколы]]
[[Категория:Свободное сетевое программное обеспечение]]
[[Категория:Программное обеспечение для Linux]]
[[Категория:Протоколы обмена мгновенными сообщениями]]