CityCat4

1. Установить полученный сертификат в систему, если CA не был установлен - установить и его (если уже обменялись, я думаю, это выполнено)
2. Настроить оутглюк на сертификат (зависит от версии, по-разному)
3. Установить сертификат адресата в систему. Это крайне важный момент, без него не откроется. В AD сертификаты адресатов подтягиваются автоматом, вручную нужно ставить вручную.

Вы описали стек протоколов IPSec :) Да, в настройке он непрост :) Но Strongswan на EL6 у меня работает без глюков (соответственно я думаю не будет глючить и на EL7), а документации на сайте швана - хоть зачитайся.

Поздравляю, Вы придумали электронную подпись...

openssl

Ключами как собираетесь меняться?

Может вы знаете это приложение, или аналоги?

Знаем.

Называется "Крякер Интернета" :)

Никакие. Это исключительно вопрос доверия.

Даже клиент, размещенный в маркете, может оказаться вовсе не тем, что выложен в исходном тексте. Даже если Вы соберете клиента из исходников - приедет обновление, без которого мессенджер откажется запускаться - и все.

Если трафик проходит через чьи-то сервера - лучше всего считать то, что его просматривают все, кому ни лень.

Вообще-то обычно начинают с модели нарушителя. Где это все находится - дома, на работе, кто потенциальный нарушитель, как он соотносится с пользователем и т.д.

Что помешает злоумышленнику поставить кейлоггер в скрипте логина и перехватить Ваш пароль?

Если шифрование ключом, который Вы приносите на флэшке с собой - то для AES-256 вполне надежно. Если ключ хранится "хрен знает где" - и надежность будет "хрен знает какая" :)

Есть такая штука как флэшки со встроенным шифрованием. Они ощутимо дороже обычных и работают только под виндой, но зато можно быть более-менее уверенным за свои документы

Security through obscurity обычно приводит к тому, что некто пряморукий, с большим количеством времени и желания (идеальный нарушитель - мотивирован, подготовлен, обеспечен временем :) ) хачит этот Ваш алгоритм и потом ржет на весь тырнет...

Можно. Хоть десять раз шифровать. Только неудобно будет потом десять паролей вводить.

JFYI: Гуглить фразу "сорок тысяч обезьян в .опу сунули банан"

Трукрипт с гостовским модулем шифрования - его программы-расшифровщики просто не распознают :) Под одну тему - один контейнер. Шифрованные контейнеры можно бэкапить как угодно, хоть в облако, для полных параноиков - двойное шифрование - допустим контейнер в архив с паролем символов на 30.
Все пароли складываются в еще один контейнер, пароль от которого заучивается наизусть.

Разумеется, важно помнить при этом две вещи:
- Это относительно безопасно, по крайней мере на бытовом уровне (помним про терморектальный криптоанализ!), но жутко неудобно.
- Если забыли пароль от контейнера - все. Данных нет. Хотя если есть свободные мощности - можно попробовать сбрутить. Но опять же - если брутер понимает гостовский модуль.

В настоящий момент - куда ходили (внешний урл, без детализации внутри сайта), когда ходили, сколько времени пробыли, какой обьем трафика передали-приняли. То, что называют метаданными. Перемещения внутри сайта (скажем урлы ютубовские) и прочее пока не видны.
Почему пока? Я тут как-то уже разьяснял, как работает механизм бампинга, когда https не спасает от раскрытия трафика на корпоративном прокси. Так вот у нас сейчас складывается примерно ситуация как в конторе, где руководство начинает закручивать гайки по пользованию тырнетом. Как правило это чем кончается? Бампинг для всех, белый список для особо недовольных. И если в конторе есть выход скажем с телефона ходить, то тут и такого хода не просматривается.

Терморектальный криптоанализ ломает любые шифры. Это не стоит забывать. На бытовом уровне - достаточно надежно.

Во-первых, MD5 уже давно небезопасен. Во-вторых, у Вас что, сервер не проверяет, что пришло от пользователя?

"Что один человек сделал - завсегда другой разобрать сможет" (С) Формула любви