WhatsApp เป็นบริการแชททันทีที่ใช้กันกว้างที่สุดบนโทรศัพท์และแท็บเล็ต ก่อตั้งปี 2009 ตอนนี้ผู้ใช้งานเกิน 700 ล้านคน - เกือบ 250 ล้านคนมากกว่าตัวเลือกอันดับสอง WeChat ของจีน ตั้งแต่ถูกซื้อโดย Facebook ในราคา $19 พันล้าน 12 เดือนที่แล้ว บริษัทถูกบाध्यปรับปรุงแนวทางความปลอดภัยและความเป็นส่วนตัว ซึ่งนำไปสู่ข่าวปีที่แล้วว่ามีมาตรการเข้ารหัสใหม่
ปัญหาคืออะไร?
WhatsApp ประสบอันตรายและเปิดเผยมากมายจากความปลอดภัยที่แย่ ปัญหาเริ่มนานแล้ว ตั้งแต่พฤษภาคม 2011 เมื่อพบช่องโหว่ความปลอดภัยที่ให้บัญชีผู้ใช้ถูก session hijacked (เข้าถึงข้อมูลโดยใช้ session ที่ถูกต้อง) และ traffic ถูกและบันทึกโดย packet sniffer เวอร์ชันใหม่ถูกปล่อย แต่ข้อมูลยังส่งและรับใน plaintext
ความยากลำบังต่อเนื่องในปี 2012 ตอนต้นปี แฮกเกอร์เผยพบ WhatsAppStatus.net ให้คนเปลี่ยนสเตตัสของผู้ใช้ WhatsApp ใครก็ได้ และนักพัฒนาโต้ตอบช้า - อ้างว่าซ่อมแล้ว แต่จริงๆ แค่บล็อก IP ของเว็บไซต์ ทools คล้ายๆ กันลูกขึ้นมา บังคับให้ตอบสนองอย่างแข็งแกร่ง จนปลายฤดูใบไม้ผลิ WhatsApp หยุดใช้ plaintext แตแทนที่ด้วยวิธีเข้ารหัส - ถูกวิพากษ์กันว่าแตกตอนเปิดตัว
ปลายปี 2013 นักวิจัยความปลอดภัยในเนเธอร์แลนด์อ้างว่าใครก็ตามที่มีความรู้ทางเทคนิคพอ ถอดรหัสการสื่อสารในแอปได้ เพราะ "จุดอ่อนที่บันทึกไว้มานาน" - หลักคือ WhatsApp ใช้ encryption key เดียวกันทั้งสองฝั่งของการสนทนา Thijs Alkemade นักศึกษา Utrecht University ที่ค้นพบบอกว่า "คุณควรสมมติว่าใครก็ตามที่ดักฟังการเชื่อมต่อ WhatsApp ของคุณ สามารถถอดรหัสข้อความของคุณได้ ถ้าพยายามเพียงพอ" เพิ่มว่า "ไม่มีอะไรที่ผู้ใช้ WhatsApp ทำได้... ยกเว้นหยุดใช้จนกว่านักพัฒนาจะอัปเดต"
ล่าสุดพฤศจิกายน 2014 WhatsApp ได้คะแนนเพียง 2 จาก 7 บน scorecard แชทปลอดภัยของ Electronic Frontier Foundation - เสียคะแนนเพราะใช้เข้ารหัสที่ผู้ให้บริการมี key ไม่มีวิธี verify ตัวตนผู้ใช้ และการออกแบบความปลอดภัยไม่ได้ documented 好好
ตอบสนองอย่างไร?
18 พฤศจิกายนปีที่แล้ว เจ้าของใหม่ Facebook ตัดสินใจพอแล้ว 雖然 Facebook เองไม่ได้รับการยกย่องเรื่องความโปร่งใสความเป็นส่วนตัวและความปลอดภัย แต่พวกเขาไม่อยากเสี่ยงการซื้อที่แพงและสูญเสียผู้ใช้ไปบริการคู่แข่งอย่าง Viber หรือ Tango
ผลคือ ประกาศพันธมิตรใหม่กับ Open Whisper Systems ในข้อตกลงที่จะนำ end-to-end encryption มาสู่บริการ หวังว่าจะขจัดปัญหา 3 ปีที่ผ่านมา Open Whisper กล่าวว่าการเข้ารหัสใหม่จะเป็นที่ใหญ่ที่สุดของโลก และจะใช้ TextSecure - บริการที่ใช้ cryptographic key ที่ unique ต่ออุปกรณ์แต่ละเครื่อง - ปกป้องฐานผู้ใช้มหาศาล ผู้เชี่ยวชาญประทับใจทันที Wired อ้างว่าโซลูชัน "เกือบแฮกไม่ได้" และ Wall Street Journal ระบุว่า "การเข้ารหัสมั่นคงมากจนแม้ฝ่ายบังคับใช้กฎหมายก็ถอดรหัสข้อความ WhatsApp ไม่ได้"
ทำงานอย่างไร?
แทนที่จะเก็บ keys สำหรับถอดรหัสบนเซิร์ฟเวอร์ศูนย์กลางที่นักพัฒนา WhatsApp ครอบครอง end-to-end encryption ทำงานโดยเก็บ keys เฉพาะบนอุปกรณ์ของผู้ใช้ เมื่อรวมกับ TextSecure ที่ใช้โปรโตคอล "forward secrecy" ออก key ใหม่สำหรับทุกข้อความใหม่ จึงเข้าใจง่ายว่า CEO ของ WhatsApp Jan Koum อ้างว่า "ตอนนี้เราสร้าง WhatsApp รอบเป้าหมายการรู้น้อยที่สุดเกี่ยวกับคุณ... การเคารพความเป็นส่วนตัวของคุณอยู่ใน DNA ของเรา"
การเข้ารหัสที่ใช้ตอนนี้ต่างจากแอปแชททันทีและโซเชียลเน็ตเวิร์กอื่นๆ มาก ซึ่งส่วนใหญ่ยังเก็บ keys บนเซิร์ฟเวอร์ของตัวเองและอุปกรณ์ของคน นั่นหมายถึงบริษัทและรัฐบาลเข้าถึงเนื้อหาข้อความและข้อมูลได้ตามต้องการ รวมถึงทำให้แฮกเกอร์เข้าถึงข้อมูลส่วนตัวและส่วนตัวง่ายขึ้น
จริงๆ แล้ว การย้ายของ WhatsApp เป็นส่วนของการเคลื่อนไหวใหญ่กว่าขึ้นไปสู่ความเป็นส่วนตัวมากขึ้นของบริษัทเทคโนโลยีชั้นนำ แตไม่ทุกคนยินดี ตอน Apple และ Google ขยายบริการเข้ารหัสก่อนประกาศ WhatsApp ผู้อำนวยการ FBI James Comey ติ้มว่าการเคลื่อนไหวนี้ "เข็มนาฬิกาหลัง Snowden กระดิกเกินไปแล้ว"
ปัญหาทั้งหมดแก้ไหม?
การให้ความปลอดภัยที่มีประสิทธิภาพไม่ง่าย แม้ WhatsApp จะตามหลังมากที่เริ่มทศวรรษ อัปเดตปลาย 2014 聽起來 hacker-proof ทั้งหมด น่าเสียดายว่านั่นไม่อาจเป็นจริง และวัน gầnๆ นี้ข่าวลบเพิ่มขึ้นสำหรับบริษัทที่ตั้งอยู่ที่ Mountain View
แม้เนื้อหาข้อความของผู้ใช้อาจยังปลอดภัย แตชิ้นซอฟต์แวร์ง่ายๆ ถูกปล่อยออกมา ที่แฮกเกอร์ใช้เพื่อหลีกเลี่ยงการตั้งค่าความเป็นส่วนตัวต่างๆ - ทำให้พวกเขาเห็นว่าผู้ใช้ออนไลน์หรือออฟไลน์ วิธีติดตามรูปโปรไฟล์ วิธีดูสเตตัส และความสามารถดูการตั้งค่าความเป็นส่วนตัวส่วนตัว
ซอฟต์แวร์ชื่อ WhatsSpy Public สร้างโดยนักพัฒนาดัช์ สามารถเปิดเผยไทม์ไลน์สถานะออนไลน์ของผู้ใช้ที่ถูกติดตาม แม้ผู้ใช้จะเปิดการควบคุมความเป็นส่วนตัวเข้มที่สุด "คุณอาจคิดว่าตอนนี้คุณตั้งทุกตัวเลือกเป็น 'nobody' คุณปลอดภัยแล้ว ด้านความเป็นส่วนตัว แต่ผมยังติดตามการเคลื่อนไหวของคุณบน WhatsApp ได้" ผู้ออกแบบ Maikel Zweerink พูด ข่าวดีคือซอฟต์แวร์นี้ยากต่อการตั้งค่า และติดตามได้เฉพาะผู้ใช้บน Android ที่ root หรือ iPhone ที่ jailbreak - ถ้าคุณใช้ OS "vanilla" คุณควรปลอดภัย
WhatsApp ยังไม่ตอบกลับการกล่าวหาอย่างเป็นทางการ แต insider พยายามเล็งความรุนแรงเมื่อบอกสื่อ UK ว่า "นี่ไม่ใช่การแฮก... ในแนวคิดเขาสร้างโปรแกรมที่แค่บันทึกและติดตามข้อมูลที่เขามีสิทธิ์เข้าถึงอยู่แล้ว"
แม้กระนั้น กับประวัติที่แย่ของ WhatsApp ผู้ใช้น่าจะไม่พอใจมากในข้อความนี้ ไม่ว่าความจริงจะเป็นไง ประเด็นนี้เพียงชี้ให้เห็นข้อเท็จจริงใหญ่: ความปลอดภัยในยุคดิจิทัลไม่เคยถือว่ามั่นคงได้ แม้คุณคิดว่าคุณป้องกันแล้ว คุณแน่ใจว่ามีแฮกเกอร์หรืออาชญากรหาช่องโหว่หรือข้อบกพร่องต่อไปเพื่อเจาะคุณ
คุณคิดยังไง?
คุณใช้ WhatsApp ไหม? ประวัติที่แย่เคยทำให้คุณลังเลไหม? เคยลองทางเลือกแชทอื่นแต่มักถูกดึงกลับมาที่แอปทุกที่นี้ไหม? ความเป็นส่วนตัวกังวลคุณไหม? หรือคุณเชื่อใน "ไม่มีอะไรต้องซ่อน ไม่มีอะไรต้องกลัว"?
เรายินดีฟังจากคุณ บอกความคิดเห็นในความคิดเห็นด้านล่างได้เลย
