پیدا کردن دوستان در پیام‌رسان با خصوصی ماندن دفترچه تلفن یک مسئله واحد نیست. برنامه باید بفهمد کدام شناسه‌ها عضو سرویس هستند؛ اما روش انجام این تطبیق تعیین می‌کند چه اطلاعاتی در اختیار سرویس قرار می‌گیرد. هش کردن شماره تلفن، به‌تنهایی تضمین نمی‌کند که شماره قابل شناسایی نیست.
چرا شماره هش‌شده ممکن است شناسایی شود؟
تابع هش ورودی را به یک مقدار با طول ثابت تبدیل می‌کند. بااین‌حال، فضای شماره‌های تلفن محدود و ساختارمند است. مهاجم می‌تواند شماره‌های احتمالی را تولید کند، هش آن‌ها را محاسبه کند و به دنبال تطبیق بگردد. این کار «باز کردن رمز هش» نیست؛ آزمودن ورودی‌های قابل حدس است.
Signal در شرح مسئله کشف خصوصی مخاطبین دقیقاً این محدودیت شناسه‌های کم‌تنوع را توضیح می‌دهد. همان مطلب یک طراحی مبتنی بر محیط اجرای مورد اعتماد را معرفی می‌کند؛ این نمونه تاریخی را نباید بدون بررسی نسخه و مستندات جدید به همه پیام‌رسان‌ها تعمیم داد.
پس جمله «سرور فقط هش می‌بیند» پاسخ کامل به پرسش حریم خصوصی نیست. باید معلوم باشد چه کسی می‌تواند تطبیق‌ها را محاسبه کند، چه درخواست‌هایی ثبت می‌شوند و داده‌ها چه مدت باقی می‌مانند.
مجوز مخاطبین چه اجازه‌ای می‌دهد؟
مجوز خواندن مخاطبین، دسترسی برنامه به داده‌های دفترچه تلفن را فراهم می‌کند؛ خودش مشخص نمی‌کند برنامه آن داده‌ها را آپلود می‌کند یا نه. نام، شماره، ایمیل و یادداشت‌های مخاطب ممکن است حساس باشند، به‌خصوص وقتی اطلاعات افرادی را در خود دارند که اصلاً عضو سرویس نیستند.
مستندات Contacts Provider اندروید میان خواندن گسترده دفترچه تلفن و انتخاب یک مخاطب از طریق رابط سیستم تفاوت می‌گذارد. دامنه دسترسی به روش پیاده‌سازی و نسخه سیستم‌عامل بستگی دارد.
| روش پیدا کردن مخاطب | مزیت احتمالی | نکته‌ای که باید بررسی شود |
|---|---|---|
| اشتراک نام کاربری یا لینک دعوت | ممکن است به خواندن کل دفترچه تلفن نیاز نداشته باشد | جست‌وجوپذیری شناسه و امکان یافتن حساب توسط دیگران |
| انتخاب چند مخاطب | داده کمتری در اختیار برنامه قرار می‌گیرد | آیا برنامه فقط همان موارد انتخاب‌شده را دریافت می‌کند؟ |
| آپلود فهرست شماره‌ها یا هش‌ها | تطبیق ساده‌تر با کاربران ثبت‌شده | امکان حدس شماره، ثبت درخواست و نگهداری فهرست |
| پروتکل اختصاصی کشف خصوصی | می‌تواند افشا را در یک مدل تهدید کاهش دهد | فرض‌های اعتماد، محدودیت‌ها و شواهد بررسی مستقل |
رمزنگاری پیام چه چیزی را درباره دفترچه تلفن ثابت نمی‌کند؟
رمزنگاری سرتاسری می‌تواند متن مکالمه را از سرور پنهان کند، اما درباره مجوز مخاطبین، درخواست جست‌وجوی کاربر یا ثبت ارتباطات به‌تنهایی چیزی نمی‌گوید. حتی بدون دفترچه تلفن، اطلاعات مسیریابی ممکن است بخشی از روابط ارتباطی را نشان دهد.
لیوارا در صفحه امنیت ذخیره و پردازش اطلاعات عملیاتی مانند عضویت گروه، زمان و مسیریابی را توضیح می‌دهد. از این سند نمی‌توان نتیجه گرفت که دفترچه تلفن با یک روش مشخص هش می‌شود، هیچ سابقه‌ای نگهداری نمی‌شود یا گراف ارتباطات کاملاً پنهان است. برای این ادعاها توضیح جداگانه درباره کشف مخاطب لازم است.
پیش از دادن مجوز، این پنج سؤال را بپرسید
۱. بدون مجوز مخاطبین هم می‌توانم با نام کاربری یا دعوت مستقیم گفتگو کنم؟
۲. دقیقاً کدام فیلدها از دستگاه خارج می‌شوند: فقط شماره یا نام و سایر جزئیات هم؟
۳. اطلاعات افراد عضو‌نشده چگونه استفاده و حذف می‌شود؟
۴. لغو مجوز فقط دسترسی آینده را قطع می‌کند یا راهی برای حذف داده قبلاً ارسال‌شده هم وجود دارد؟
۵. آیا توضیح فنی و سیاست نگهداری داده با نسخه فعلی برنامه سازگار است؟
در تنظیمات سیستم، مجوز برنامه را مرور کنید و اگر به یافتن خودکار دوستان نیاز ندارید، دسترسی غیرضروری را محدود کنید. نام گزینه‌ها میان گوشی‌ها متفاوت است. لغو مجوز را معادل پاک شدن اطلاعات قبلاً آپلودشده ندانید.
حریم خصوصی مخاطبین با کمینه‌کردن داده و مشخص بودن مسیر آن سنجیده می‌شود؛ نه صرفاً با حضور واژه «هش» کنار شماره تلفن.
