تطبیق کلید یک بررسی مهم است؛ نه گواهی سلامت دستگاه یا صداقت همهٔ پیام‌های مخاطب.
شماره امنیتی یا اثر انگشت کلید به شما کمک می‌کند کلیدهای ارتباط رمزنگاری‌شده را با مخاطب تطبیق دهید. این بررسی برای کاهش خطر جایگزینی کلید مفید است، اما گواهی «هیچ‌کس نمی‌تواند پیام را بخواند» نیست: دستگاه آلوده، مخاطب نامطمئن یا نسخهٔ ذخیره‌شده همچنان می‌تواند محتوا را افشا کند.
روش نمایش و محاسبهٔ اثر انگشت بین پیام‌رسان‌ها فرق دارد. دستور همان برنامه را دنبال کنید؛ در بعضی برنامه‌ها یک شمارهٔ مشترک گفتگو و در بعضی دیگر اثر انگشت هر دستگاه یا هویت نمایش داده می‌شود.
شماره امنیتی چه چیزی را ثابت نمی‌کند؟
| بررسی | نتیجهٔ قابل انتظار | چیزی که ثابت نمی‌شود |
|---|---|---|
| مقایسهٔ صحیح کلید با فرد شناخته‌شده | کلید مشاهده‌شده با کلید مورد انتظار تطبیق دارد | سالم‌بودن دستگاه او |
| تأیید شماره یا QR | یک کنترل احراز کلید انجام شده است | درست‌بودن هر ادعا یا درخواست پول |
| نبودن هشدار | برنامه تغییر گزارش‌شده‌ای نشان نمی‌دهد | نبودن هر نوع شنود یا بدافزار |
اگر نمی‌دانید شخص مقابل چه کسی است، مقایسه با همان شخص ناشناس هویت واقعی او را آشکار نمی‌کند. برای آشنایی با لایه‌های دیگر، مدل تهدید چت را ببینید.
چطور کلید را با مخاطب مقایسه کنیم؟
- از داخل گفت‌وگو، صفحهٔ تأیید کلید یا شماره امنیتی را طبق راهنمای پیام‌رسان باز کنید.
- با فردی که می‌شناسید، ترجیحاً حضوری یا از یک مسیر مستقلِ از قبل مورد اعتماد، مقایسه کنید.
- همهٔ بخش‌های لازم را بررسی کنید، نه فقط چند رقم اول. اگر برنامه QR رسمی ارائه می‌کند، از همان جریان استفاده کنید.
- در صورت تطبیق، اگر برنامه گزینهٔ ثبت تأیید دارد، آن را ثبت کنید.
- اگر تطبیق انجام نشد، ارسال محتوای حساس را متوقف کنید و علت را بررسی کنید.
تصویر مفهومی است؛ اعداد ساختگی‌اند و تطبیق معتبر یا رابط واقعی پیام‌رسان را نشان نمی‌دهند.
فرستادن تصویر شماره در همان گفت‌وگویی که به احراز آن شک دارید، بررسی مستقلی نیست. تماس یا حساب دوم نیز فقط زمانی مفید است که واقعاً به هویت و امنیت آن مسیر اعتماد داشته باشید؛ یک شمارهٔ تازه که فرستنده معرفی کرده کافی نیست.
اگر شماره تغییر کرد چه کنیم؟
تغییر دستگاه، نصب مجدد یا تغییر کلید می‌تواند باعث هشدار شود. رفتار دقیق به برنامه و نحوهٔ بازیابی هویت بستگی دارد؛ هر تعویض گوشی الزاماً کلید را عوض نمی‌کند و هر هشدار هم حمله نیست.
از مخاطب در مسیر مستقل بپرسید چه تغییری کرده، نسخه‌ها را به‌روز کنید و سپس شمارهٔ فعلی را دوباره بسنجید. برای گفتگوهای حساس، توضیح شفاهی دربارهٔ تعویض گوشی را جای مقایسهٔ کلید نگذارید. اگر اختلاف باقی ماند، بدون پاک‌کردن عجولانهٔ داده‌ها از پشتیبانی رسمی کمک بگیرید.
تأیید دوباره، پیام‌های احتمالاً افشاشده را پس نمی‌گیرد. امنیت پس از نفوذ هم مشروط به رفع دسترسی مهاجم و رسیدن ورودی رمزنگاری تازه است؛ هر حرکت زنجیرهٔ کلید به معنی پایان نفوذ نیست.
شفافیت کلید با مقایسهٔ دستی چه تفاوتی دارد؟
شفافیت کلید برای آشکارکردن ناسازگاری در نگاشت شناسه‌ها به کلیدها طراحی می‌شود. آن را نباید صرفاً «اعتماد دوباره به همان سرور» توصیف کرد، و نباید هم از آن تأیید هویت انسانی یا سلامت دستگاه نتیجه گرفت.
طبق راهنمای رسمی Signal برای Automatic Key Verification، این قابلیت بررسی اضافه‌ای کنار شماره امنیتی است و دسترس‌پذیری آن به شرایطی مانند شناخته‌شدن شمارهٔ تماس بستگی دارد. نبودن یا تغییر وضعیت آن، به‌تنهایی نشانهٔ هک نیست. اگر در دسترس نباشد، Signal مقایسهٔ شماره یا QR را از مسیر مورد اعتماد پیشنهاد می‌کند.
بنابراین ادعای «مقایسهٔ دستی تنها دفاع ممکن است» دقیق نیست. ابزارهای خودکار و بررسی کاربر می‌توانند نقش‌های مکمل داشته باشند؛ پوشش واقعی هر محصول را بخوانید.
دربارهٔ لیوارا چه چیزی را بررسی کنیم؟
مستندات امنیتی لیوارا مقایسهٔ اثر انگشت کلید از کانال دیگری را توضیح می‌دهد. در نسخهٔ نصب‌شده، محل کنترل، داده‌ای که مقایسه می‌شود و واکنش برنامه به تغییر کلید را بررسی کنید. این راهنما مسیر رابط کاربری یا وجود QR را برای همهٔ نسخه‌های لیوارا تأیید نمی‌کند.
همچنین مقایسهٔ کلید چت جای بررسی منبع نصب برنامه را نمی‌گیرد. فایل APK و هش مرجع باید از مسیر مورد اعتماد باشند؛ تطبیق هش، صرفاً برابری فایل با مرجع را نشان می‌دهد.
پرسش‌های پرتکرار
آیا QR همیشه امن‌تر از خواندن اعداد است؟
QR می‌تواند خطای مقایسهٔ دستی را کم کند، اما باید کدِ جریان رسمی همان برنامه باشد. امنیت به دادهٔ مقایسه‌شده و اعتماد به مخاطب و مسیر بستگی دارد، نه فقط به شکل QR.
اگر شماره درست بود، درخواست پول معتبر است؟
خیر. تأیید کلید، صحت ادعای تجاری یا مالی را ثابت نمی‌کند. درخواست حساس را مستقل بررسی کنید.
هشدار تغییر یعنی گفتگو قبلاً شنود شده است؟
نه لزوماً. هشدار دلیل بررسی است، نه مدرک قطعی افشا. علت تغییر و وضعیت فعلی را بدون ارسال اطلاعات حساس روشن کنید.
