מציאת חברים ביישום מסרים ושמירה על פרטיות פנקס הכתובות אינן אותה בעיה. היישום צריך לברר אילו מזהים שייכים לחברים בשירות, אך שיטת ההתאמה קובעת איזה מידע מגיע לשירות. גיבוב מספר טלפון אינו מבטיח, כשלעצמו, שלא יהיה אפשר לזהות את המספר.
מדוע אפשר לזהות מספר שעבר גיבוב?
פונקציית גיבוב ממירה קלט לערך באורך קבוע. עם זאת, מרחב מספרי הטלפון מוגבל ומובנה. תוקף יכול לייצר מספרים אפשריים, לחשב את ערכי הגיבוב שלהם ולחפש התאמות. זו אינה ״פתיחת הצפנת הגיבוב״, אלא בדיקה של קלטים שניתן לנחש.
Signal מסבירה בדיוק את המגבלה הזאת של מזהים בעלי מגוון מצומצם בהסבר על בעיית גילוי אנשי קשר פרטי. אותו מאמר מציג תכנון המבוסס על סביבת ביצוע מהימנה; אין להכליל את הדוגמה ההיסטורית הזאת לכל יישומי המסרים בלי לבדוק את הגרסה ואת התיעוד העדכני.
לכן המשפט ״השרת רואה רק ערכי גיבוב״ אינו תשובה מלאה לשאלת הפרטיות. צריך להיות ברור מי יכול לחשב את ההתאמות, אילו בקשות מתועדות ולכמה זמן הנתונים נשמרים.
מה מאפשרת הרשאת אנשי קשר?
הרשאה לקריאת אנשי קשר נותנת ליישום גישה לנתוני פנקס הכתובות; היא אינה קובעת כשלעצמה אם היישום מעלה אותם לשרת. שמות, מספרים, כתובות דוא״ל והערות לאנשי קשר עשויים להיות רגישים, במיוחד כשהם כוללים מידע על אנשים שאינם חברים בשירות כלל.
תיעוד Contacts Provider של Android מבחין בין קריאה נרחבת של פנקס הכתובות לבין בחירת איש קשר אחד דרך ממשק המערכת. היקף הגישה תלוי באופן המימוש ובגרסת מערכת ההפעלה.
| דרך למציאת איש קשר | יתרון אפשרי | מה צריך לבדוק |
|---|---|---|
| שיתוף שם משתמש או קישור הזמנה | ייתכן שאין צורך לקרוא את כל פנקס הכתובות | יכולת חיפוש המזהה והאפשרות שאחרים ימצאו את החשבון |
| בחירת כמה אנשי קשר | פחות נתונים זמינים ליישום | האם היישום מקבל רק את הרשומות שנבחרו? |
| העלאת רשימת מספרים או ערכי גיבוב | התאמה פשוטה יותר למשתמשים רשומים | אפשרות לנחש מספרים, לתעד בקשות ולשמור את הרשימה |
| פרוטוקול ייעודי לגילוי פרטי | יכול לצמצם חשיפה במסגרת מודל איומים | הנחות אמון, מגבלות וראיות לבדיקה עצמאית |
מה הצפנת הודעות אינה מוכיחה לגבי פנקס הכתובות?
הצפנה מקצה לקצה יכולה להסתיר את טקסט השיחה מהשרת, אך כשלעצמה אינה אומרת דבר על הרשאת אנשי קשר, בקשות לחיפוש משתמשים או תיעוד קשרי תקשורת. גם ללא פנקס כתובות, מידע ניתוב עשוי לחשוף חלק מקשרי התקשורת.
Livara מסבירה בדף האבטחה את האחסון והעיבוד של מידע תפעולי כגון חברות בקבוצות, תזמון וניתוב. אי אפשר להסיק מהמסמך שפנקס הכתובות עובר גיבוב בשיטה מסוימת, ששום היסטוריה אינה נשמרת או שגרף הקשרים מוסתר לחלוטין. טענות כאלה דורשות הסבר נפרד על גילוי אנשי קשר.
לפני מתן הרשאה, שאלו את חמש השאלות האלה
- האם אפשר לשוחח באמצעות שם משתמש או הזמנה ישירה גם ללא הרשאת אנשי קשר?
- אילו שדות בדיוק יוצאים מהמכשיר: רק המספר, או גם השם ופרטים נוספים?
- כיצד משתמשים במידע על אנשים שאינם רשומים בשירות וכיצד מוחקים אותו?
- האם ביטול ההרשאה מפסיק רק גישה עתידית, או שיש גם דרך למחוק נתונים שכבר נשלחו?
- האם ההסבר הטכני ומדיניות שמירת הנתונים תואמים לגרסה הנוכחית של היישום?
בדקו את הרשאות היישום בהגדרות המערכת, ואם אינכם זקוקים למציאת חברים אוטומטית, הגבילו גישה מיותרת. שמות האפשרויות משתנים בין טלפונים. אל תניחו שביטול הרשאה שקול למחיקת מידע שכבר הועלה.
פרטיות אנשי קשר נמדדת בצמצום הנתונים ובבהירות המסלול שלהם, ולא רק בנוכחות המילה ״גיבוב״ לצד מספר הטלפון.
