لا تسأل فقط من يستطيع قراءة رسائلك، بل من يستطيع الربط بين السجلات المحيطة بها، ولأي مدة.
البيانات الوصفية للمراسلة هي معلومات عن الاتصال لا عن نص رسالته: معرّفات الحسابات أو التوقيت أو سجلات الاتصال أو حالة التسليم أو عضوية المجموعات، بحسب التصميم. يستطيع التشفير من طرف إلى طرف إبقاء النص غير مقروء لخدمة التوصيل، بينما تظل بعض هذه المعلومات المحيطة ظاهرة.
فمثلًا، «سأصل في السادسة» محتوى. أما حقيقة أن حسابًا تواصل مع آخر في وقت معيّن فهي بيانات وصفية. وتعتمد الجهة التي تستطيع ملاحظة أي من الحقيقتين على بنية التطبيق والشبكة.
محتوى الرسائل والبيانات الوصفية مختلفان
يحمي التشفير من طرف إلى طرف محتوى المحادثة. وتصف البيانات الوصفية كيف تنقل خدمة المراسلة تلك المحادثة وتديرها: أي حسابات تشارك، ومتى وقع حدث، وهل سُلّمت رسالة، وأي حوار ينبغي أن يتلقاها.
هذا التمييز مهم، لأن تطبيق المراسلة يستطيع تشفير نص الرسائل مع الاحتفاظ بمعلومات تشغيلية. ويعني أيضًا أن عبارات مثل «مشفر» و«خاص» و«عديم المعرفة» ليست مترادفة. وتسأل المراجعة الأمنية المفيدة بدقة عن البيانات المشفرة، ومكان وجود المفاتيح، والمعلومات التي تظل متاحة للخدمة.
ما الذي يحميه التشفير من طرف إلى طرف
في محادثة مشفرة من طرف إلى طرف نُفّذت على نحو صحيح، يشفّر المرسل المحتوى قبل وصوله إلى التخزين، ويفك جهاز مشارك تشفيره. وتنقل الخدمة نصًا مشفرًا بدلًا من محتوى رسالة مقروء.
وبحسب المنتج، قد يشمل E2EE:
- نص الرسائل وتعديلاتها
- التعليقات المصاحبة والمرفقات
- الملاحظات الصوتية وغيرها من الوسائط المرفوعة
- التفاعلات أو الردود عندما تكون جزءًا من الحمولة المشفرة
التغطية ليست تلقائية. فقد يشفّر منتج الرسائل المباشرة لكنه يستخدم نموذجًا مختلفًا للمجموعات أو القنوات أو النسخ الاحتياطية أو معاينات الروابط أو المكالمات. اقرأ وثائق أمان المنتج بدلًا من افتراض أن رمز قفل واحد ينطبق على كل ميزة.
ما البيانات الوصفية التي قد تظل ظاهرة؟
تحتاج خدمة المراسلة إلى بعض المعلومات لتوجيه الرسائل وفرض الوصول ومزامنة الأجهزة ومنع إساءة الاستخدام. وقد تشمل هذه البيانات التشغيلية:
| فئة البيانات | سبب محتمل لمعالجة الخدمة لها |
|---|---|
| المشاركون ومعرّفات الحوارات | توجيه حدث إلى الحسابات والمحادثة الصحيحة |
| الطوابع الزمنية والأرقام التسلسلية | ترتيب الرسائل واسترجاع التحديثات بعد انقطاع الاتصال |
| حالة التسليم والقراءة | مزامنة حالة الرسالة بين الأجهزة |
| العضوية والأدوار | فرض الوصول إلى المجموعات والقنوات |
| حجم النص المشفر والبيانات الوصفية للوسائط | تخزين المحتوى المشفر وتوصيله على نحو صحيح |
| معلومات الشبكة | إنشاء الاتصالات وتشغيل البنية التحتية والتحقيق في إساءة الاستخدام |
لا يعني ذلك أن كل خدمة تجمع البيانات نفسها أو تحتفظ بها للمدة نفسها. بل يعني أن المقارنة الجادة للخصوصية ينبغي أن تفحص الجمع والاحتفاظ وضوابط الوصول والحذف، لا خوارزمية التشفير وحدها.
لماذا تستحق البيانات الوصفية الاهتمام
يمكن للبيانات الوصفية كشف أنماط حتى عندما يظل محتوى الرسائل غير مقروء. فقد يحمل التواصل المتكرر بين حسابين أو التغير المفاجئ في النشاط أو العضوية في مجموعة بعينها سياقًا خاصًا به.
يعتمد الخطر العملي على البيانات المجمعة، ومدة الاحتفاظ بها، وما إذا كانت مرتبطة بهوية في العالم الحقيقي، ومن يستطيع الوصول إليها. فالسجل التشغيلي قصير العمر يختلف عن ملف إعلاني دائم. وينبغي للخدمة الشفافة شرح هذا الفرق في وثائق الخصوصية والأمان.
أسئلة تُطرح قبل اختيار تطبيق مراسلة
استخدم هذه الأسئلة عند تقييم أي منصة مراسلة:
- ما أنواع المحادثات المشفرة من طرف إلى طرف؟
- هل تُشفّر المرفقات قبل رفعها؟
- أين تُنشأ مفاتيح الهوية الخاصة وتُخزّن؟
- هل يستطيع جهاز آخر استعادة المفاتيح دون سر استعادة منفصل؟
- ما بيانات التوجيه والعضوية والطوابع الزمنية والتسليم التي يحتفظ بها الخادم؟
- هل تُحمى النسخ الاحتياطية بمفتاح غير متاح للخدمة؟
- هل يستطيع المشاركون التحقق من بصمات المفاتيح العامة بعد تغيّر مفتاح؟
- هل تميّز ادعاءات الأمان بين المحادثات المباشرة والمجموعات والقنوات والمكالمات؟
- كيف تتعامل المنصة مع حذف الحساب والبيانات المحتفظ بها؟
- هل تصف سياسة الخصوصية التحليلات والإعلانات وخدمات الأطراف الثالثة؟
الإجابات المحددة أكثر قيمة من الوعود العامة. إذا عجزت الخدمة عن وصف حد الثقة لديها، فلن يستطيع المستخدمون اتخاذ قرار مستنير بشأنها.
من يستطيع ملاحظة أي جزء من المحادثة؟
لا تجمع كل المراقبين في جهة واحدة ترى كل شيء. ويمكن البدء بهذا التقريب المفيد:
| المراقب | ما قد يكون ظاهرًا له | حد مهم |
|---|---|---|
| مزوّد الإنترنت أو الشبكة المحلية | وجهات الاتصال والتوقيت وحجم حركة البيانات | المحتوى المحمي على نحو صحيح ليس مقروءًا تلقائيًا؛ وتختلف الحقول الظاهرة بحسب النقل والتوجيه |
| خدمة المراسلة | معلومات الحساب والتسليم والعضوية التي يتطلبها تصميمها | قد لا تتلقى محتوى E2EE واضحًا، وقد يختلف الاحتفاظ عن المعالجة العابرة |
| مزوّد الإشعارات الفورية أو الاستضافة | المعلومات التي يحتاجها تكامل الإشعارات أو الاستضافة لدى الخدمة | يعتمد انكشاف الحمولة والمعرّفات على التنفيذ |
| المشاركون الآخرون | الرسائل المفكوك تشفيرها والمعلومات المعروضة في المحادثة | قد ينسخون ما يتلقونه أو يفصحون عنه |
| شخص يسيطر على جهاز طرفي | البيانات المتاحة لذلك الجهاز أو الجلسة | تشفير الشبكة لا يصلح اختراق الجهاز الطرفي |
هذا الجدول إطار، لا قياس لتطبيق محدد. فمزوّد الشبكة لا يرى بالضرورة سجلات الحساب نفسها التي يراها تطبيق المراسلة، ومزوّد التطبيق لا يحتفظ بالضرورة بكل ما يعالجه.
تتعامل إرشادات الخصوصية لمجلس بنية الإنترنت IAB في RFC 6973 مع الربط وتحديد الهوية وتقليل البيانات بوصفها شواغل خصوصية منفصلة. ويمكن لمعرّف ثابت ربط الأنشطة بمرور الوقت حتى إن لم يكن اسمًا قانونيًا. وقد يكشف الجمع بين سجلات مصادر عدة أكثر مما يكشفه أي سجل منفرد.
حدود البيانات الوصفية الموثّقة في Livara
تصف وثائق أمان Livara المحتوى المباشر المشفر ومحتوى المجموعات الخاصة المتوافقة، بينما يخضع التوجيه والعضوية والتوقيت وأحجام النصوص المشفرة ورموز الإشعارات الفورية وسجلات الأمان لمعالجة منفصلة. ويمكن للخادم قراءة القنوات العامة؛ ولا ينبغي الخلط بين النص المشفر للمجموعات الخاصة والنص الواضح للقنوات العامة.
لا يثبت وجود مكوّن تشفيري في الوثائق أنه مستخدم في كل مسار حي. فمثلًا، لا يوصف المكوّن الموثّق LSS1 بأنه موصول بمسار إرسال الرسائل المعتاد. ويجب ألا يُستخدم للادعاء بأن مراسلة Livara المعتادة تخفي البيانات الوصفية للمرسل. راجع وثائق الأمان الحالية ومعلومات الخصوصية لمعرفة النطاق الفعلي وادعاءات الاحتفاظ.
لم يقس هذا المقال باستقلالية حركة بيانات Livara في بيئة الإنتاج أو احتفاظ خوادمها. ولا تثبت ادعاءاتها عن تشفير المحتوى أنها تجمع أقل قدر من البيانات الوصفية بين الخدمات المنافسة.
طرق عملية لتقليل الانكشاف
التشفير جزء من أمان الحساب. ويمكن للمستخدمين أيضًا تقليل الانكشاف باتخاذ خطوات ملموسة:
- شارك فقط تفاصيل الملف الشخصي ومعرّفات الحساب اللازمة للمحادثة؛ فقد يربط تكرار استخدام اسم علني أو صورة شخصية بين حسابات منفصلة.
- ارفض أذونات جهات الاتصال أو الموقع غير الضرورية، وتحقّق بصورة منفصلة من حذف البيانات التي تمت مزامنتها سابقًا.
- استخدم بيانات اعتماد فريدة للحساب حيثما ينطبق ذلك، واحمِ الوصول إلى الجهاز نفسه.
- خزّن عبارة الاستعادة في مكان منفصل عن الجهاز المسجّل دخوله.
- قارن بصمات المفاتيح عبر قناة موثوقة أخرى بعد تغيير غير متوقع في الهوية.
- راجع عضوية المجموعة قبل مشاركة محتوى حساس.
- أبقِ المتصفح ونظام التشغيل وتطبيق المراسلة محدّثة.
- تعامل مع معاينات الإشعارات ولقطات الشاشة والوسائط المصدّرة بوصفها نسخًا خارج المحادثة المشفرة.
تحمي العناية بأمان الجهاز جزءًا من المشكلة يختلف عن تقليل البيانات الوصفية. وهي لا تجعل سجلات المزوّد تختفي. وبالمثل، لا يؤدي حذف فقاعة رسالة أو اختيار مؤقت انتهاء بالضرورة إلى حذف سجلات التوجيه أو النسخ الاحتياطية أو نسخة مشارك آخر.
الطريقة المفيدة لقراءة ادعاءات الخصوصية
يسمّي ادعاء الخصوصية الجدير بالثقة البيانات المحمية والآلية والحدود. «يُشفّر محتوى الرسائل المباشرة على أجهزة المشاركين» عبارة قابلة للتحقق. أما «خاص تمامًا» فليست كذلك.
عند مقارنة تطبيقات المراسلة، افصل بين أربعة أسئلة: من يستطيع قراءة المحتوى، وما البيانات الوصفية التي تعالجها الخدمة، وكيف تعمل استعادة الحساب، وماذا يحدث على كل جهاز. ينتج هذا الإطار قرارًا أدق من اختيار منتج بناءً على شعار وحده.
هل تخفي الشبكة الخاصة الافتراضية VPN بيانات المراسلة الوصفية؟
تغيّر شبكة VPN مشغّل الشبكة الذي يستطيع ملاحظة أجزاء من الاتصال؛ لكنها لا تزيل تلقائيًا سجلات الحساب أو التسليم لدى تطبيق المراسلة. يظل تسجيل الدخول إلى الحساب نفسه يعرّف ذلك الحساب للخدمة. قيّم مزوّد VPN وتصميم توجيه الرسائل وسياسة احتفاظ التطبيق كلًا على حدة، بدلًا من اعتبار تغيير عنوان IP إخفاءً كاملًا للهوية.
اسأل عن الاحتفاظ، لا الجمع فقط
لكل حقل ذي صلة، اسأل ما إذا كان يُعالج بصورة عابرة، أو يُكتب في سجل، أو يُحتفظ به في نسخة احتياطية، أو يُشارك مع مزوّد آخر. ثم اسأل كم يبقى، وهل للحذف استثناءات. إذا لم تذكر الوثائق ذلك، فسجّل المدة بأنها غير معروفة. تشرح عبارة «مطلوب للتشغيل» غرضًا محتملًا؛ لكنها لا تحدد وحدها حدًا للاحتفاظ.
