Поиск друзей в мессенджере и сохранение приватности адресной книги — не одна и та же задача. Приложению нужно определить, какие идентификаторы принадлежат участникам сервиса, но способ сопоставления определяет, какую информацию получает сервис. Само по себе хеширование номера телефона не гарантирует, что номер нельзя определить.
Почему хешированный номер можно определить?
Хеш-функция преобразует входные данные в значение фиксированной длины. Однако пространство телефонных номеров ограничено и структурировано. Злоумышленник может генерировать вероятные номера, вычислять их хеши и искать совпадения. Это не «расшифровка хеша», а проверка предсказуемых входных данных.
Signal объясняет именно это ограничение идентификаторов с небольшим разнообразием в описании проблемы приватного поиска контактов. Та же статья представляет схему на основе доверенной среды исполнения; этот исторический пример нельзя распространять на все мессенджеры без проверки версии и новой документации.
Поэтому фраза «сервер видит только хеши» не даёт полного ответа на вопрос о приватности. Должно быть ясно, кто может вычислять совпадения, какие запросы записываются и сколько хранятся данные.
Что разрешает доступ к контактам?
Разрешение на чтение контактов даёт приложению доступ к данным адресной книги; само по себе оно не говорит, загружает ли приложение эти данные на сервер. Имена, номера, адреса электронной почты и заметки к контактам могут быть чувствительными, особенно если относятся к людям, которые вообще не пользуются сервисом.
Документация Android Contacts Provider различает широкое чтение адресной книги и выбор одного контакта через системный интерфейс. Объём доступа зависит от реализации и версии операционной системы.
| Способ поиска контакта | Возможное преимущество | Что следует проверить |
|---|---|---|
| Передача имени пользователя или ссылки-приглашения | Может не требовать чтения всей адресной книги | Возможность поиска идентификатора и обнаружения аккаунта другими людьми |
| Выбор нескольких контактов | Приложению доступно меньше данных | Получает ли приложение только выбранные записи? |
| Загрузка списка номеров или хешей | Более простое сопоставление с зарегистрированными пользователями | Возможность подбора номера, записи запросов и хранения списка |
| Специальный протокол приватного поиска | Может уменьшить раскрытие в рамках модели угроз | Предположения о доверии, ограничения и свидетельства независимой проверки |
Чего шифрование сообщений не доказывает об адресной книге?
Сквозное шифрование может скрывать текст разговора от сервера, но само по себе ничего не говорит о разрешении на контакты, запросах поиска пользователей или регистрации коммуникаций. Даже без адресной книги информация маршрутизации может раскрывать часть связей между общающимися людьми.
На странице безопасности Livara описывает хранение и обработку операционных данных, например членства в группах, времени и маршрутизации. Из этого документа нельзя сделать вывод, что адресная книга хешируется определённым способом, что никакая история не сохраняется или что граф связей полностью скрыт. Для таких утверждений требуется отдельное объяснение поиска контактов.
Перед выдачей разрешения задайте пять вопросов
- Могу ли я общаться по имени пользователя или прямому приглашению без доступа к контактам?
- Какие именно поля покидают устройство: только номер или также имя и другие сведения?
- Как используются и удаляются сведения о людях, не зарегистрированных в сервисе?
- Отзыв разрешения прекращает лишь будущий доступ или существует и способ удалить уже отправленные данные?
- Соответствуют ли техническое объяснение и политика хранения данных текущей версии приложения?
Проверьте разрешения приложения в системных настройках и ограничьте ненужный доступ, если автоматический поиск друзей вам не требуется. Названия настроек на разных телефонах различаются. Не считайте отзыв разрешения равнозначным удалению уже загруженных данных.
Приватность контактов оценивается по минимизации данных и ясности их пути, а не просто по наличию слова «хеш» рядом с номером телефона.
