Tìm bạn bè trong ứng dụng nhắn tin và giữ danh bạ riêng tư không phải là cùng một vấn đề. Ứng dụng phải xác định định danh nào thuộc về người dùng dịch vụ, nhưng cách thực hiện đối chiếu quyết định dịch vụ nhận được thông tin gì. Chỉ băm số điện thoại không bảo đảm rằng số đó không thể bị nhận diện.
Vì sao số đã băm vẫn có thể bị nhận diện?
Hàm băm biến đầu vào thành một giá trị có độ dài cố định. Tuy nhiên, không gian số điện thoại có giới hạn và có cấu trúc. Kẻ tấn công có thể tạo ra các số có khả năng tồn tại, tính giá trị băm của chúng và tìm kết quả trùng khớp. Đây không phải là “giải mã giá trị băm”, mà là thử các đầu vào có thể đoán được.
Trong phần giải thích vấn đề khám phá liên hệ riêng tư, Signal mô tả chính hạn chế này của các định danh ít đa dạng. Bài viết đó cũng giới thiệu một thiết kế dựa trên môi trường thực thi tin cậy. Không nên khái quát ví dụ mang tính lịch sử này cho mọi ứng dụng nhắn tin nếu chưa kiểm tra phiên bản và tài liệu mới hơn.
Vì thế, câu “máy chủ chỉ thấy giá trị băm” chưa trả lời đầy đủ câu hỏi về quyền riêng tư. Cần biết ai có thể tính toán đối chiếu, yêu cầu nào được ghi lại và dữ liệu được lưu giữ bao lâu.
Quyền truy cập danh bạ cho phép điều gì?
Quyền đọc danh bạ cho phép ứng dụng truy cập dữ liệu danh bạ; bản thân quyền này không cho biết ứng dụng có tải dữ liệu đó lên hay không. Tên, số điện thoại, email và ghi chú của liên hệ có thể nhạy cảm, nhất là khi chứa thông tin của những người hoàn toàn không dùng dịch vụ.
Tài liệu Contacts Provider của Android phân biệt việc đọc rộng toàn bộ danh bạ với chọn một liên hệ qua giao diện hệ thống. Phạm vi truy cập phụ thuộc vào cách triển khai và phiên bản hệ điều hành.
| Cách tìm liên hệ | Lợi ích có thể có | Điều cần kiểm tra |
|---|---|---|
| Chia sẻ tên người dùng hoặc liên kết mời | Có thể không cần đọc toàn bộ danh bạ | Khả năng tìm kiếm định danh và việc người khác có thể tìm thấy tài khoản |
| Chọn một vài liên hệ | Ứng dụng nhận được ít dữ liệu hơn | Ứng dụng có chỉ nhận đúng những mục được chọn không? |
| Tải lên danh sách số hoặc giá trị băm | Dễ đối chiếu hơn với người dùng đã đăng ký | Khả năng đoán số, ghi lại yêu cầu và lưu giữ danh sách |
| Giao thức riêng để khám phá liên hệ một cách riêng tư | Có thể giảm lộ dữ liệu trong một mô hình đe dọa | Giả định về lòng tin, hạn chế và bằng chứng đánh giá độc lập |
Mã hóa tin nhắn không chứng minh điều gì về danh bạ?
Mã hóa đầu cuối có thể giấu nội dung trò chuyện khỏi máy chủ, nhưng tự nó không nói lên điều gì về quyền truy cập danh bạ, yêu cầu tìm kiếm người dùng hoặc việc ghi lại các mối liên hệ. Ngay cả khi không có danh bạ, thông tin định tuyến vẫn có thể cho thấy một phần quan hệ liên lạc.
Trên trang bảo mật, Livara giải thích việc lưu trữ và xử lý thông tin vận hành như tư cách thành viên nhóm, thời gian và định tuyến. Không thể từ tài liệu này kết luận rằng danh bạ được băm theo một cách cụ thể, không lưu bất kỳ lịch sử nào hay đồ thị quan hệ liên lạc được che giấu hoàn toàn. Những tuyên bố đó cần có giải thích riêng về cơ chế khám phá liên hệ.
Trước khi cấp quyền, hãy hỏi năm câu sau
- Không cấp quyền danh bạ, tôi vẫn có thể trò chuyện bằng tên người dùng hoặc lời mời trực tiếp chứ?
- Chính xác trường dữ liệu nào rời khỏi thiết bị: chỉ số điện thoại hay cả tên và các chi tiết khác?
- Thông tin của người chưa đăng ký được sử dụng và xóa như thế nào?
- Thu hồi quyền chỉ chặn truy cập trong tương lai hay còn có cách xóa dữ liệu đã gửi trước đó?
- Giải thích kỹ thuật và chính sách lưu giữ dữ liệu có phù hợp với phiên bản hiện tại của ứng dụng không?
Kiểm tra quyền của ứng dụng trong cài đặt hệ thống và hạn chế truy cập không cần thiết nếu bạn không cần tự động tìm bạn bè. Tên các tùy chọn khác nhau giữa các điện thoại. Đừng xem việc thu hồi quyền là đồng nghĩa với xóa thông tin đã tải lên trước đó.
Quyền riêng tư của danh bạ được đánh giá bằng việc giảm thiểu dữ liệu và làm rõ đường đi của dữ liệu, chứ không chỉ bằng sự xuất hiện của từ “băm” bên cạnh số điện thoại.
