جست‌وجو در گفت‌وگوی رمزگذاری‌شده ممکن است، زیرا دستگاهی که مجاز به خواندن پیام‌هاست می‌تواند آن‌ها را جست‌وجو هم بکند. یک طراحی رایج، پس از رمزگشایی نمایه‌ای محلی می‌سازد. اما رمزگذاری سرتاسری به‌تنهایی ثابت نمی‌کند که عبارت‌های جست‌وجو هرگز از دستگاه خارج نمی‌شوند یا همهٔ پیام‌رسان‌ها معماری جست‌وجوی یکسانی دارند.
این تمایز زمانی مهم است که جست‌وجو کند می‌شود، نتایج قدیمی ناپدید می‌شوند یا گوشی جدید پیام‌هایی را پیدا نمی‌کند که در گوشی قبلی دیده می‌شوند. پوشش جست‌وجو، در دسترس بودن کلیدها و همگام‌سازی داده‌ها پرسش‌های جداگانه‌ای هستند.
نمایهٔ جست‌وجوی محلی چگونه کار می‌کند
برنامه می‌تواند پیام‌های خواندنی را به نمایه‌ای تبدیل کند که ثبت می‌کند کدام واژه‌ها در کدام پیام‌ها آمده‌اند. جست‌وجو به‌جای بررسی تک‌تک پیام‌ها از ابتدا تا انتها، به این نمایه مراجعه می‌کند. مستندات FTS5 در SQLite نمونه‌ای از فناوری نمایه‌سازی تمام‌متن است؛ اشاره به آن در اینجا ثابت نمی‌کند که یک کلاینت مشخص Livara از FTS5 استفاده می‌کند.
یک طراحی محلی معمول چهار مرحله دارد:
- دریافت یا بارگیری پیام رمزگذاری‌شده.
- رمزگشایی آن با کلیدهای دستگاه مجاز.
- افزودن محتوای قابل جست‌وجو به نمایهٔ محلی.
- بازگرداندن نتایج از داده‌هایی که در حال حاضر روی آن دستگاه موجودند.
نمایه حساس است. حتی اگر جمله‌های کامل را ذخیره نکند، واژه‌ها و ارجاع‌ها می‌توانند محتوای گفت‌وگو را آشکار کنند. ذخیره‌سازی، پشتیبان‌گیری، رفتار هنگام حذف و کنترل‌های دسترسی آن به همان اندازهٔ پایگاه دادهٔ گفت‌وگو نیازمند توجه‌اند.
آیا جست‌وجوی سمت سرور همیشه یعنی سرور همه‌چیز را می‌خواند؟
خیر. نمایه‌سازی معمول متن آشکار در سرور به سرویس اجازهٔ دسترسی به محتوای نمایه‌شده را می‌دهد، اما تنها طراحی ممکن برای جست‌وجوی راه دور نیست. پژوهش‌های رمزنگاری دربارهٔ رمزگذاری متقارن قابل جست‌وجو روش‌هایی را برای جست‌وجوی داده‌های رمزگذاری‌شدهٔ سپرده‌شده به بیرون، در چارچوب مدل‌های امنیتی تعریف‌شده، شرح می‌دهند.
این روش‌ها فرض‌ها و احتمال نشت اطلاعات خاص خود را دارند. بررسی مفید می‌پرسد سرور از جست‌وجوهای تکراری، رکوردهای منطبق، الگوهای دسترسی و اندازهٔ نتایج چه می‌فهمد. نه «جست‌وجو در فضای ابری انجام می‌شود» و نه «داده‌ها رمزگذاری شده‌اند» به‌تنهایی پاسخ این پرسش‌ها نیست.
| طراحی | فایدهٔ عملی | پرسشی برای بررسی |
|---|---|---|
| نمایهٔ محلی | می‌تواند سابقهٔ موجود را بدون درخواست راه دور جست‌وجو کند | آیا نمایه در حالت ذخیره‌شده رمزگذاری و از پشتیبان‌های ناامن مستثنا می‌شود؟ |
| نمایهٔ متن آشکار در سرور | نمایه‌سازی و جست‌وجوی متمرکز در داده‌های ذخیره‌شده | چه کسانی به محتوا، عبارت‌های جست‌وجو و گزارش‌ها دسترسی دارند؟ |
| طرح جست‌وجوی راه دور رمزگذاری‌شده | می‌تواند جست‌وجوهای مشخصی را روی داده‌های محافظت‌شده پشتیبانی کند | این ساختار چه نشت اطلاعات و فرض‌های اعتمادی را مجاز می‌داند؟ |
| جست‌وجوی ترکیبی عمومی و خصوصی | برخورد متفاوت با محتوای عمومی و خصوصی | آیا دامنهٔ جست‌وجو برای کاربر روشن است؟ |
از این جدول نمی‌توان سرعت را رتبه‌بندی کرد. سخت‌افزار، کیفیت نمایه، حجم پیام‌ها، تأخیر شبکه و پیاده‌سازی همگی اهمیت دارند. برای این مقاله هیچ آزمون مقایسه‌ای زمان‌سنجی انجام نشده است.
چرا ممکن است پیام‌ها در جست‌وجو نباشند
پیش از نتیجه‌گیری دربارهٔ از دست رفتن سابقه، دامنهٔ مشکل را بررسی کنید:
- آیا پیام در خود گفت‌وگو دیده می‌شود؟ اگر نه، جست‌وجو شاید بازتابِ در دسترس نبودن سابقه باشد، نه خرابی نمایه.
- آیا گفت‌وگو یا حساب درست انتخاب شده است؟ فیلترهای تاریخ، فرستنده و رسانه می‌توانند نتیجه‌ای را که در غیر این صورت معتبر است حذف کنند.
- آیا دستگاه جدید سابقه و مواد لازم برای رمزگشایی را دریافت کرده است؟ بازیابی کلید هویت خودبه‌خود معادل بازیابی همهٔ پیام‌ها نیست.
- آیا نمایه‌سازی تمام شده است؟ ورود حجم زیاد داده و همگام‌سازی قطع‌شده می‌توانند بر پوشش اثر بگذارند.
- آیا جست‌وجو شکل واژه را تشخیص می‌دهد؟ تطبیق عبارت، املا، نشانه‌گذاری و قطعه‌بندی واژه‌ها در زبان‌های مختلف ممکن است متفاوت باشد.
در گفت‌وگویی که کنترلش را در اختیار دارید، از عبارتی آزمایشی، بی‌ضرر و متمایز استفاده کنید. بررسی کنید که پیش و پس از قطع شبکه در جست‌وجو ظاهر می‌شود یا نه. این کار می‌تواند واقعیتی محدود دربارهٔ دسترسی محلی را روشن کند؛ ثابت نمی‌کند که برنامه هنگام آنلاین بودن هرگز داده‌های تله‌متری یا جست‌وجو ارسال نمی‌کند.
دربارهٔ Livara چه می‌توان گفت؟
صفحهٔ امنیت Livara می‌گوید محتوای پیام‌های خصوصی رمزگذاری می‌شود، در حالی که مسیریابی، عضویت، وضعیت تحویل و متن رمز‌شده از همگام‌سازی پشتیبانی می‌کنند. مستندات عمومی آن شواهد کافی برای ادعای یک موتور جست‌وجوی محلی مشخص، جست‌وجوی آفلاین همگانی، نبود کامل تله‌متری جست‌وجو یا اثر اندازه‌گیری‌شده بر باتری نیست.
کانال‌های عمومی مرز حریم خصوصی متفاوتی با گفت‌وگوهای خصوصی دارند. یک سرویس می‌تواند محتوای عمومی را نمایه‌سازی کند، بدون آنکه همان ادعا را دربارهٔ گفت‌وگوهای خصوصی مطرح کند. پیش از محرمانه دانستن نتیجهٔ جست‌وجوی سراسری، مدل تهدید را بخوانید.
پرسش‌هایی که ارزش دارد از ارائه‌دهنده بپرسید
بپرسید کدام پیام‌ها نمایه‌سازی می‌شوند، نمایه کجا قرار دارد، آیا متن جست‌وجو ارسال یا ثبت می‌شود، دستگاه پیوندشده چه چیزی دریافت می‌کند و حذف پیام چه اثری بر نمایه‌ها و پشتیبان‌ها دارد. پاسخ روشن باید کلاینت و نسخه را نام ببرد، نه اینکه به عبارت «جست‌وجوی E2EE» تکیه کند.
جست‌وجو قابلیتی با جریان دادهٔ مخصوص خود است. این جریان را در کنار رمزگذاری پیام ارزیابی کنید، نه با این فرض که رمزگذاری پاسخ همهٔ پرسش‌های مربوط به آن را می‌دهد.
