BI 中文站 1 月 14 日报道

Facebook 旗下的消息平台 WhatsApp 是市面上安全程度相对较高的消息应用之一。

WhatsApp 在今年早些时候重新设计了后台，让用户们通过这项服务发出的每一条消息都是安全的，即便是 WhatsApp 也无法看到消息的内容。WhatsApp 将这种安全技术称作端到端加密。

但是卫报周五发表了一篇报道，对 WhatsApp 的安全机制提出质疑，报道指出 WhatsApp 应用中存在一个安全漏洞或后门，政府部门可以通过这个漏洞或后门窥探用户的隐私信息。

但是不用担心。WhatsApp 应用中并不存在后门，就像联邦调查局希望苹果在 iphone 中预设的那种后门。

Open Whisper Systems 的创始人莫克西马林斯派克（Moxie Marlinspike）曾经参与设计 WhatsApp 的安全协议，他在本周五发表了一篇洋洋洒洒、说理细致的博客文章，对卫报提出的质疑进行了反驳。

密码学是一门专注于细节的、极其复杂的学科，概述性的文字通常都是错误的，但是关键是：消息收发系统必须知道用户的消息确实发到了他想要传递消息的对象手中。

但是 WhatsApp 认为，如果一名用户改变了他的安全密钥，它就可以向用户发出警示信息，而不是像某些消息应用那样将改变安全密钥的用户完全拦截，它只会发出一条如图所示的警示信息。

正是因为这样的设定，导致卫报对 WhatsApp 的安全性提出了质疑。卫报怀疑政府部门也许可以通过中间人攻击劫持一名用户本想发给另一名用户的消息。

马林斯派克解释说：大多数端到端加密通讯系统都有一些类似于这种验证方式的设置。

中间人攻击（Man-in-the-Middle Attack，简称MITM 攻击）是一种间接的入侵攻击，这种攻击模式是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为中间人。然后入侵者把这台计算机模拟成一台或两台原始计算机，使中间人能够与原始计算机建立活动连接并允许其读取或修改传递的信息，然而两个原始计算机用户却认为他们是在互相通信。通常，这种拦截数据修改数据发送数据的过程就被称为会话劫持（Session Hijack）。

马里斯派克说：中间人攻击特别适合用来对付公共密钥密码学，而不仅仅是 WhatsApp。

实际上，WhatsApp 根据其可用性做了一项安全选择，因为它有 10 亿用户，关闭用户之间的会话可能会引起用户的不满。更糟的是，它可能会让整个系统变得更不安全。密码学家必须时时刻刻权衡利弊。

马林斯派克说：考虑到 WhatsApp 用户群的庞大规模和影响范围，我们感觉他们选择这种通知而非完全拦截的方式是恰当的。从透明和密码学的角度来说，这样做保证了每一位用户的体验和用户通讯的隐私。如果选择拦截的方式，有时候可能会让事情变得更糟糕。那样会将信息泄露给服务器，让服务器端知道谁开启了这项功能而谁没有开启它，这实际上就是告诉服务器谁有可能被用中间人攻击的方式攻破。在这方面，WhatsApp 可是非常慎重的。

如果你担心通讯内容的隐私受到侵害，WhatsApp 提供的解决方案仍然比其他可替代方案比如电报的安全性更优秀。然而，如果你特别在意安全性而对可用性的要求比较低，那么不妨选择 Open Whisper Systems 的 Signal 消息应用，这也是斯诺登（Edward Snowden）最喜爱的消息应用。（编译/林靖东）

济宁IT新闻