測評完國外加密聊天APP,我決定用回國產軟體

  棱鏡門和Facebook用戶資訊泄露,隨著這兩個世紀性大事件的爆發,國外網民對資訊安全的重視到了史無前例的程度。甚至網友們都在Google上瘋狂搜索什麼類型的加密軟體最好用。

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第1張

  不僅是國外,國內最近接二連三頒布的各類資訊安全條文法律,以及「國資雲」項目的啟動,都預示好康據安全時代的到來。個人隱私和商業機密逐漸成為通訊軟體聚焦的關註點,因此,網友們也空前絕後地學習各類資訊安全知識,從而甄選出更好的加密聊天軟體。小編調查了13款國外的通訊軟體,並從各個安全標準和維度對它們進行對比評測。

  這13款APP分別是:Google Messages,Apple iMessage,Facebook Messenger,Element(原Riot),Signal,Microsoft Skype ,Telegram,Threema,Viber,WhatsApp, Wickr Me,Wire和Session(本篇文章關於各大APP的數據和資訊主要來源於母公司官網及不同社交媒體提供的資料(有securemessagingapps、tom’s guide、techradar、ZDNet、Kaspersky、AVG))

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第2張

  1、母公司由基礎設施的管轄所屬:

  這13款軟體裡,大部分母公司都隸屬於英美澳,七成以上都來自美國。基礎設施的布置也以美國為主,向世界不同地區輻射。雖然Viber的母公司前後分別是日本和盧森堡,但部署地點依舊是美國。只有Threema的母公司和基建設施都設在瑞士。

  2、與情報機構有合作:

  雖然這些通訊軟體所屬企業並非國企,但依舊有五家公司有過把用戶數據提供給情報部門的歷史(Google Messages,Apple iMessage,Facebook Messenger,Microsoft Skype和WhatsApp)。

  3、內置有監控功能:

  軟體的使用過程應該被定義為用戶的私有領域,遺憾的是,依舊有一款APP(Microsoft Skype)在用戶使用過程中會監控使用者的資訊和習慣

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第3張

  4、提供公開透明的報告:

  或許涉及運營模式、產品數據和專利等敏感資訊,Element(原Riot)、Telegram和Viber選擇不予以高透明度的公開業務報告

  5、公然收集用戶數據

  「個人隱私數據是免費使用的代價」——被類似觀念充斥的互聯網環境下,巨頭們正瘋狂地收割網民們的資訊,為更精準的大數據分析添磚加瓦。但近幾年隨著民眾隱私意識的覺醒,這樣的觀點越來越站不住腳。人們寧願用付費的模式,也不願意讓自己的碎片資訊暴露在陽光下。根據歷史數據顯示,Google、Apple、Facebook、Microsoft、Pavel Durov、Amazon和Viber的母公司都選擇公然收集用戶資訊

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第4張

  6、APP收集用戶資訊,並發送給母公司或第三方機構:

  軟體通過對用戶數據的收集,一方面可以分析群體畫像,為企業戰略提供參考;二方面可以通過「用戶資訊共享」達到行業合作,賺取不義之財的同時,鞏固拓寬商業圈。遺憾的是,在這要巨大利益的趨勢下,絕大部分APP已然跌入深淵——Facebook Messenger、WhatsApp、Viber、Google Messages和Apple iMessage基本收羅了用戶的全維度資訊,包括健康、財務、位置、搜索歷史、瀏覽歷史、數據和其他敏感數據。其他App或多或少收集了一些常用數據,如聯繫人和位置。值得一提的是,Session作為一股清流,沒有證據證明其收集了用戶數據,也並沒有線索指代其把用戶資料交予母公司。

  7、沒有默認打開加密功能:

  加密功能的默認開啟決定了App開發者對安全通訊的重視程度,經過調查小編髮現,這13款APP裡,Facebook Messenger、Microsoft Skype和Telegram是默認關閉的。而Viber和WhatsApp的默認開啟與否取決於用戶設備。

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第5張

  8、加密算法並不安全:

  加密算法的龐雜程度決定了產品的安全性,龐雜的加密模式能大幅度增加破解成本,復合多維的加密模式則會讓劫持難度幾何級上升,從而達到安全防護的目的。這13款App大部分採用了主流的Curve25519、AES-256、HMAC-SHA256等加密算法。其中,Apple iMessage和Microsoft Skype依然採用安全性極弱的SHA-1(Secure Hash Algorithm 1)。SHA-1早在2005年就已經被分析人員證實並公布了有效的攻擊方式。對於有相對充裕的資金和計算資源的駭客來說,SHA-1是難以抵抗的。由此可見,這兩款App在算法上依舊差強人意。

  9、軟體和服務器不開源:

  開源的軟體可以不受官方限制,得到更多渠道的拓展和應用可能。甚至,客戶可以用自己喜歡的方式來維護和改進產品本身。開源是一種更符合互聯網精神的舉措。遺憾的是,僅有Element、Signal、Session和Wire採用了完全開源的機制。

  10、不支持可重復構建(Reproducible Builds)反向驗證App:

  雖然任何人都可以檢查免費和開源軟體的程式是否存在惡意缺陷,但大多數軟體都是預編譯的,無法確認它們是否對應。因此,可重復構建(Reproducible Builds)可以驗證編譯過程中是否引入漏洞或後門,從而防止威脅和攻擊。遺憾的是,僅僅Telegram同時支持在IOS和Android驗證,Threema和Signal僅僅支持在Android上驗證,其餘App均不允許可重復構建。

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第6張

  11、支持匿名註冊:

  雖然不少通訊軟體希望通過匿名註冊的方式來讓網友提前體驗產品,增加黏性。但匿名註冊不僅會增加無效用戶數降低進入門檻,還會讓已註冊用戶遭到潛在資訊安全威脅。目前僅Element、Threema、Wickr Me和Session支持匿名註冊。

  12、中間人攻擊可通過修改目錄服務器開啟:

  中間人攻擊(Man-in-the-Middle Attack, MITM)是通過攔截正常的網路通訊數據,並進行數據篡改和嗅探的攻擊方式,整個過程通訊的雙方都毫不知情。令人震動的是,除了Google Messages使用RCS而不是目錄服務器外,在列App全都支持通過修改目錄服務器而開啟中間人攻擊,安全性可想而知。

  13、指紋變化不會通知用戶:

  指紋識別作為辨認用戶身份的方式,和登錄密碼一樣,在通過更改後應該提醒用戶,從而讓使用者第一時間對帳戶的安全性心中有數。根據調查發現,Apple iMessage,Skype,WhatsApp和Telegram並不會告知用戶這一點。

  14、個人資訊沒有經過哈希處理:

  哈希算法在密碼學中主要作用是用於消息摘要和簽名,主要用於消息的完整性校驗。哈希算法不可逆,用於密文保存密碼的簽名,網站後臺隻保存簽名值。 這樣即使App內保存的資訊被盜取,也無法獲取用戶的密碼,具有更高的安全性。13款APP裡僅有Element、Threema和Wickr Me完整地採用哈希處理了用戶的手機號碼、聯繫人等隱私資訊。

測評完國外加密聊天APP,我決定用回國產軟體 交友軟體 第7張

  綜合以上14個指標看來,這13款通訊App中,相對安全的軟體僅有Signal、ThreemaWire。然而,這三款軟體也依舊存在不同程度的安全問題,並且,這三款軟體依舊沒有擺脫資訊安全的根源性問題——公有雲儲存資訊。所以,跳轉回國內,如果說有一款通訊軟體,可以滿足私有雲部署的苛刻條件,基本可以規避上述14個標準裡提到的絕大部分問題。就小編目前走訪市場的結果來看,國內的通訊軟體裡,要麼追求極速獲客(免費使用)而忽略安全技術加持,要麼加密技術不夠,要麼使用場景單一,要麼功能不夠全,要麼成本過高(搭建專業服務器來私有化部署)……能滿足性價比高、私有化部署,加密技術頂流,資訊安全防護硬件好,功能全面且強大的通訊軟體,目前只有一款,那就是信源豆豆。目前小編正在試用中,過段時間筆者會著重寫一篇試用體驗,給廣大注重資訊安全的朋友們參考。

About 小秘書 32779 Articles
不用擔心找不到好對象,戀愛小秘書 - 娜米 會根據您的喜好和條件,幫您安排與理想對象一對一排約、聯誼、交友友活動,現在就加入娜米的LINE_ID:erostp