棱鏡門和Facebook用戶資訊泄露，隨著這兩個世紀性大事件的爆發，國外網民對資訊安全的重視到了史無前例的程度。甚至網友們都在Google上瘋狂搜索什麼類型的加密軟體最好用。
不僅是國外，國內最近接二連三頒布的各類資訊安全條文法律，以及「國資雲」項目的啟動，都預示好康據安全時代的到來。個人隱私和商業機密逐漸成為通訊軟體聚焦的關註點，因此，網友們也空前絕後地學習各類資訊安全知識，從而甄選出更好的加密聊天軟體。娜米與戀愛小秘書們調查了13款國外的通訊軟體，並從各個安全標準和維度對它們進行對比評測。
這13款APP分別是：Google Messages，Apple iMessage，Facebook Messenger，Element（原Riot），Signal，Microsoft Skype ，Telegram，Threema，Viber，WhatsApp， Wickr Me，Wire和Session。（本篇文章關於各大APP的數據和資訊主要來源於母公司官網及不同社交媒體提供的資料（有securemessagingapps、tom’s guide、techradar、ZDNet、Kaspersky、AVG））
1、母公司由基礎設施的管轄所屬：
這13款軟體裡，大部分母公司都隸屬於英美澳，七成以上都來自美國。基礎設施的布置也以美國為主，向世界不同地區輻射。雖然Viber的母公司前後分別是日本和盧森堡，但部署地點依舊是美國。只有Threema的母公司和基建設施都設在瑞士。
2、與情報機構有合作：
雖然這些通訊軟體所屬企業並非國企，但依舊有五家公司有過把用戶數據提供給情報部門的歷史（Google Messages，Apple iMessage，Facebook Messenger，Microsoft Skype和WhatsApp）。
3、內置有監控功能：
軟體的使用過程應該被定義為用戶的私有領域，遺憾的是，依舊有一款APP（Microsoft Skype）在用戶使用過程中會監控使用者的資訊和習慣。
4、提供公開透明的報告：
或許涉及運營模式、產品數據和專利等敏感資訊，Element（原Riot）、Telegram和Viber選擇不予以高透明度的公開業務報告。
5、公然收集用戶數據：
「個人隱私數據是免費使用的代價」——被類似觀念充斥的互聯網環境下，巨頭們正瘋狂地收割網民們的資訊，為更精準的大數據分析添磚加瓦。但近幾年隨著民眾隱私意識的覺醒，這樣的觀點越來越站不住腳。人們寧願用付費的模式，也不願意讓自己的碎片資訊暴露在陽光下。根據歷史數據顯示，Google、Apple、Facebook、Microsoft、Pavel Durov、Amazon和Viber的母公司都選擇公然收集用戶資訊。
6、APP收集用戶資訊，並發送給母公司或第三方機構：
軟體通過對用戶數據的收集，一方面可以分析群體畫像，為企業戰略提供參考；二方面可以通過「用戶資訊共享」達到行業合作，賺取不義之財的同時，鞏固拓寬商業圈。遺憾的是，在這要巨大利益的趨勢下，絕大部分APP已然跌入深淵——Facebook Messenger、WhatsApp、Viber、Google Messages和Apple iMessage基本收羅了用戶的全維度資訊，包括健康、財務、位置、搜索歷史、瀏覽歷史、數據和其他敏感數據。其他App或多或少收集了一些常用數據，如聯絡人和位置。值得一提的是，Session作為一股清流，沒有證據證明其收集了用戶數據，也並沒有線索指代其把用戶資料交予母公司。
7、沒有默認打開加密功能：
加密功能的默認開啟決定了App開發者對安全通訊的重視程度，經過調查娜米與戀愛小秘書們髮現，這13款APP裡，Facebook Messenger、Microsoft Skype和Telegram是默認關閉的。而Viber和WhatsApp的默認開啟與否取決於用戶設備。
8、加密算法並不安全：
加密算法的龐雜程度決定了產品的安全性，龐雜的加密模式能大幅度增加破解成本，復合多維的加密模式則會讓劫持難度幾何級上升，從而達到安全防護的目的。這13款App大部分採用了主流的Curve25519、AES-256、HMAC-SHA256等加密算法。其中，Apple iMessage和Microsoft Skype依然採用安全性極弱的SHA-1（Secure Hash Algorithm 1）。SHA-1早在2005年就已經被分析人員證實並公布了有效的攻擊方式。對於有相對充裕的資金和計算資源的駭客來說，SHA-1是難以抵抗的。由此可見，這兩款App在算法上依舊差強人意。
9、軟體和服務器不開源：
開源的軟體可以不受官方限制，得到更多渠道的拓展和應用可能。甚至，客戶可以用自己喜歡的方式來維護和改進產品本身。開源是一種更符合互聯網精神的舉措。遺憾的是，僅有Element、Signal、Session和Wire採用了完全開源的機制。
10、不支持可重復構建（Reproducible Builds）反向驗證App：
雖然任何人都可以檢查免費和開源軟體的程式是否存在惡意缺陷，但大多數軟體都是預編譯的，無法確認它們是否對應。因此，可重復構建（Reproducible Builds）可以驗證編譯過程中是否引入漏洞或後門，從而防止威脅和攻擊。遺憾的是，僅僅Telegram同時支持在IOS和Android驗證，Threema和Signal僅僅支持在Android上驗證，其餘App均不允許可重復構建。
11、支持匿名註冊：
雖然不少通訊軟體希望通過匿名註冊的方式來讓網友提前體驗產品，增加黏性。但匿名註冊不僅會增加無效用戶數，降低進入門檻，還會讓已註冊用戶遭到潛在資訊安全威脅。目前僅Element、Threema、Wickr Me和Session支持匿名註冊。
12、中間人攻擊可通過修改目錄服務器開啟：
中間人攻擊（Man-in-the-Middle Attack, MITM）是通過攔截正常的網路通訊數據，並進行數據篡改和嗅探的攻擊方式，整個過程通訊的雙方都毫不知情。令人震動的是，除了Google Messages使用RCS而不是目錄服務器外，在列App全都支持通過修改目錄服務器而開啟中間人攻擊，安全性可想而知。
13、指紋變化不會通知用戶：
指紋識別作為辨認用戶身份的方式，和登錄密碼一樣，在通過更改後應該提醒用戶，從而讓使用者第一時間對帳戶的安全性心中有數。根據調查發現，Apple iMessage，Skype，WhatsApp和Telegram並不會告知用戶這一點。
14、個人資訊沒有經過哈希處理：
哈希算法在密碼學中主要作用是用於消息摘要和簽名，主要用於消息的完整性校驗。哈希算法不可逆，用於密文保存密碼的簽名，網站後臺隻保存簽名值。 這樣即使App內保存的資訊被盜取，也無法獲取用戶的密碼，具有更高的安全性。13款APP裡僅有Element、Threema和Wickr Me完整地採用哈希處理了用戶的手機號碼、聯絡人等隱私資訊。
綜合以上14個指標看來，這13款通訊App中，相對安全的軟體僅有Signal、Threema和Wire。然而，這三款軟體也依舊存在不同程度的安全問題，並且，這三款軟體依舊沒有擺脫資訊安全的根源性問題——公有雲儲存資訊。所以，跳轉回國內，如果說有一款通訊軟體，可以滿足私有雲部署的苛刻條件，基本可以規避上述14個標準裡提到的絕大部分問題。就娜米與戀愛小秘書們目前走訪市場的結果來看，國內的通訊軟體裡，要麼追求極速獲客（免費使用）而忽略安全技術加持，要麼加密技術不夠，要麼使用場景單一，要麼功能不夠全，要麼成本過高（搭建專業服務器來私有化部署）……能滿足性價比高、私有化部署，加密技術頂流，資訊安全防護硬件好，功能全面且強大的通訊軟體，目前只有一款，那就是信源豆豆。目前娜米與戀愛小秘書們正在試用中，過段時間筆者會著重寫一篇試用體驗，給廣大注重資訊安全的朋友們參考。
