مدل تهدید خوب، خطر مشخص را به اقدام قابل‌بررسی وصل می‌کند؛ نه به طولانی‌ترین فهرست ویژگی‌ها.
مدل تهدید پیام‌رسان یعنی مشخص کنید چه اطلاعاتی برایتان مهم است، چه کسی ممکن است به آن دسترسی پیدا کند و چه اقدام‌هایی متناسب با خطر و شرایط شماست. تهدید یک خانواده، خبرنگار یا کارمند روی گوشی سازمانی الزاماً یکسان نیست. این راهنما یک چارچوب ساده برای نوشتن برنامهٔ شخصی شماست، نه رتبه‌بندی قطعی پیام‌رسان‌ها.
نکات کلیدی
- مدل تهدید سه یا چهار جمله است، نه یک محصول. یعنی بنویسید از چه کسی، از چه چیزی و با چقدر تلاش می‌خواهید محافظت کنید؛ بدون این جمله‌ها، انتخاب پیام‌رسان فقط جمع کردن فهرست ویژگی‌ها است.
- چت شما چهار حلقه دارد: دستگاه خودتان، شبکه، سرور پیام‌رسان و دستگاه طرف مقابل. این چهار سطح نقطهٔ شروع‌اند؛ بکاپ‌ها، حساب‌ها و سرویس‌های متصل را هم جدا بررسی کنید.
- رمزنگاری سرتاسری از محتوا در برابر واسطه‌ها محافظت می‌کند؛ امنیت دستگاه، کلیدها، بکاپ و رفتار گیرنده همچنان مهم‌اند.
- تهدید را بر اساس شرایط خودتان بسنجید: دسترسی فیزیکی، پیش‌نمایش اعلان، فیشینگ، بکاپ و دستگاه‌های متصل نمونه‌هایی برای بررسی‌اند، نه یک رتبه‌بندی آماری.
- فراداده جدا از متن است. اینکه با چه کسی و چه زمانی حرف زده‌اید، حتی با متن کاملاً رمزنگاری‌شده هم باقی می‌ماند و باید جداگانه درباره‌اش تصمیم بگیرید.
مدل تهدید چیست و چرا برای انتخاب پیام‌رسان مهم است؟
مدل تهدید توصیف کوتاهی است از اینکه «از چه کسی، از چه چیزی و با چه مقدار تلاش می‌خواهید محافظت کنید». تا وقتی این سه بخش روشن نباشد، مقایسهٔ پیام‌رسان‌ها فقط فهرست بلندتری از ویژگی‌ها می‌شود و هیچ‌وقت نمی‌فهمید کدام ویژگی به کار شما می‌آید.
بنیاد مرزهای الکترونیکی (EFF) در راهنمای خود با نام Security Planning (Threat Modeling) همین را می‌گوید: تلاش برای محافظت در برابر همهٔ تهدیدهای ممکن و در همهٔ لحظه‌ها به سرخوردگی می‌رسد، چون امنیت یک فرایند است نه یک خرید. برای تیم‌های فنی هم پروژهٔ مدل‌سازی تهدید OWASP چارچوبی مشابه می‌سازد و کتابخانهٔ مدل تهدید در راهنمای توسعه‌دهندگان OWASP نمونه‌های آمادهٔ زیادی دارد که می‌توان از آن‌ها الگو گرفت.
یک نکتهٔ عملی: مدل تهدید سند ثابت نیست. عوض شدن شغل، سفر کاری، یا اضافه شدن یک نفر به گروه خانوادگی می‌تواند آن را کاملاً جابه‌جا کند. هر بار که این اتفاق می‌افتد، همان چهار جمله را دوباره بنویسید.
چه کسی پیام‌های من را می‌خواند؟ زنجیره را به چهار حلقه بشکن
پاسخ کوتاه این است: هر پیام از چهار حلقه عبور می‌کند — دستگاه شما، شبکه، سرور پیام‌رسان و دستگاه مخاطب — و نسخه‌ها یا حساب‌های متصل هم می‌توانند مسیر دسترسی ایجاد کنند. پس پرسش درست این نیست که «کدام پیام‌رسان امن‌تر است»، بلکه این است که «در وضعیت من، کدام حلقه ضعیف‌تر است».
حلقهٔ اول: دستگاه خودتان
هر چیزی که روی صفحهٔ گوشی شما دیده می‌شود، از رمزنگاری عبور کرده و باز شده است. اگر گوشی بی‌قفل باشد، اگر پیش‌نمایش اعلان روی صفحهٔ قفل فعال باشد، یا اگر کسی رمز چهاررقمی شما را بداند، رمزنگاری مسیر پیام مانع خواندن محتوای قابل‌دسترسی روی همان دستگاه نمی‌شود.
حلقهٔ دوم: شبکه
ناظر شبکه ممکن است مقصد اتصال، زمان و حجم ترافیک را ببیند؛ یک سرویس DNS لزوماً همهٔ مسیر یا همهٔ بسته‌های پیام را نمی‌بیند. با رمزنگاری سرتاسری آنچه می‌بینند دادهٔ رمزشده است نه متن؛ ولی رد و بدل شدن پیام و حجم آن معمولاً پنهان نمی‌ماند.
حلقهٔ سوم: سرور پیام‌رسان
سرور نقطهٔ همگام‌سازی دستگاه‌ها است. با رمزنگاری سرتاسری، سرور متن را نمی‌خواند، اما همچنان فرادادهٔ مسیریابی را می‌بیند و می‌تواند نگه دارد. همین‌جا است که تفاوت میان «رمزنگاری‌شده» و «خصوصی» روشن می‌شود.
حلقهٔ چهارم: دستگاه طرف مقابل
آخرین حلقه از کنترل شما بیرون است. مخاطب می‌تواند اسکرین‌شات بگیرد، پیام را فوروارد کند، یا گوشی‌اش آلوده باشد. رمزنگاری سرتاسری این حلقه را به «اعتماد به مخاطب» کاهش می‌دهد، نه بیشتر.
جمع‌بندی: رمزنگاری سرتاسری دامنهٔ دسترسی به محتوا را محدود می‌کند، اما دستگاه‌ها، مدیریت کلید و مخاطبان مجاز همچنان بخشی از مدل تهدیدند.
کدام تهدیدها را در شرایط خود بررسی کنیم؟
گوشی بی‌قفل، دسترسی به حساب، پیش‌نمایش اعلان و بکاپ نمونه‌های قابل‌بررسی‌اند. برای فردی در معرض هدف‌گیری حرفه‌ای، بدافزار پیشرفته یا فشار فیزیکی نیز می‌تواند مهم باشد؛ خطر را بدون شناخت شرایط کوچک نشمارید.
پشتیبان‌گیری یکی از مسیرهای جداگانهٔ دسترسی است. اگر پیام‌رسان نسخهٔ پشتیبان را در فضای ابری نگه دارد و آن نسخه سرتاسری رمزنگاری نشده باشد، رمزنگاری روی گوشی فقط تا لبهٔ ابر کار می‌کند؛ یعنی درِ درستی را قفل کرده‌اید اما کلید را کنار همان در گذاشته‌اید. راهنمای پشتیبان‌گیری امن از چت‌های رمزنگاری‌شده به بررسی همین مسیر کمک می‌کند.
تهدید دوم، آدم‌های نزدیک است: همکار، هم‌خانه، یا کسی که گوشی را برای «یک لحظه» قرض می‌گیرد. تهدید سوم، حساب ورود است؛ اگر ورود با ایمیل باشد و آن ایمیل محافظت ضعیفی داشته باشد، کل زنجیره از ضعیف‌ترین حلقه باز می‌شود. هیچ‌کدام از این‌ها با رمزنگاری قوی‌تر حل نمی‌شود.
حفاظت از چت در برابر هکر: کدام حمله‌ها واقعاً اتفاق می‌افتند؟
پاسخ کوتاه: حمله‌های رایج به چت، شکستن ریاضیات رمزنگاری نیست؛ فیشینگ، بدافزار، دزدیدن کد ورود و حمله به خود دستگاه است. مهاجم عملاً به‌جای شکستن قفل، دنبال کلید می‌گردد.
به همین دلیل، رفتار ورود به حساب به‌اندازهٔ طول کلید مهم است. لیوارا برای احراز هویت از SRP (اثبات رمز با دانش صفر) استفاده می‌کند: دستگاه شما دانش رمز را اثبات می‌کند بدون اینکه خود رمز عبور روی شبکه فرستاده شود. نتیجهٔ عملی این است که ضبط کردن ترافیک ورود، رمز عبور را لو نمی‌دهد. محدودیت را هم باید صریح گفت: SRP جلوی صفحهٔ جعلی‌ای که کاربر خودش رمز را در آن تایپ می‌کند را نمی‌گیرد؛ آن‌جا دیگر مسئلهٔ ریاضی نیست، مسئلهٔ دقت کاربر است.
سطح حملهٔ دوم، خودِ اپلیکیشن است. یک نسخهٔ دستکاری‌شده از APK می‌تواند هر رمزنگاری‌ای را دور بزند. لیوارا چک‌سام SHA-256 هر انتشار را منتشر می‌کند تا بتوانید فایل دانلودشده را با مرجع مورد اعتماد مقایسه کنید؛ آزمایشگاه اثبات همین کار را در مرورگر انجام می‌دهد. اگر می‌خواهید بدانید از هر پیام‌رسان دیگری چه باید پرسید، فهرست پرسش‌هایی که پیش از انتخاب پیام‌رسان امن باید بپرسید نقطهٔ شروع خوبی است.
رمزنگاری سرتاسری چه چیزی را پوشش می‌دهد و چه چیزی را نه؟
پاسخ کوتاه: رمزنگاری سرتاسری محتوای پیام را از دستگاه شما تا دستگاه مخاطب می‌بندد، طوری که سرور فقط دادهٔ رمزشده را می‌بیند؛ اما از نام این قابلیت نمی‌توان دربارهٔ همهٔ فراداده‌ها، بکاپ‌ها، اسکرین‌شات‌ها یا کانال‌های عمومی نتیجه گرفت؛ هرکدام کنترل جداگانه می‌خواهند.
برای یک محصول مشخص، به‌جای استنتاج از نام الگوریتم، جدول پوشش قابلیت‌ها را بخوانید. صفحهٔ امنیت لیوارا و مدل تهدید آن دربارهٔ چت، کانال، تماس، فراداده و بازیابی توضیح می‌دهند. این‌ها ادعاهای منتشرشدهٔ سازنده‌اند و جای آزمون مستقل را نمی‌گیرند. به‌خصوص وضعیت ضبط تماس و تفاوت بازیابی هویت با تاریخچه را جدا بررسی کنید.
فراداده حتی وقتی متن رمزنگاری شده باشد چه چیزی را لو می‌دهد؟
پاسخ کوتاه: فراداده می‌گوید چه کسی با چه کسی، چه زمانی و با چه حجمی حرف زده است — و این اطلاعات با رمزگذاری متن از بین نمی‌رود.
در لیوارا، فرادادهٔ مسیریابی استاندارد (فرستنده، مقصد، زمان تحویل) برای همگام‌سازی بی‌وقفهٔ دستگاه‌ها نگه داشته می‌شود. این یک محدودیت صریح است، نه جزئیاتی که بشود نادیده گرفت. حتی بدون خواندن متن، نمودار «چه کسی با چه کسی» می‌تواند حساس باشد: پزشک و بیمار، وکیل و موکل، یا دو طرف یک مذاکرهٔ کاری. توضیح کامل‌تر در فرادادهٔ پیام‌رسانی چه چیزی را لو می‌دهد آمده است.
اگر مدل تهدید شما شامل «کسی که الگوی ارتباط من را می‌بیند» می‌شود، هیچ پیام‌رسان سرتاسری به‌تنهایی جواب این بخش نیست؛ باید دربارهٔ اینکه با چه کسی و از کجا حرف می‌زنید هم فکر کنید.
در پنج دقیقه مدل تهدید خودت را بنویس
پاسخ کوتاه: چهار پرسش را جواب بدهید — از چه کسی می‌ترسم، آن فرد چه می‌خواهد، چقدر توان دارد، و اگر پیام لو برود چه اتفاقی می‌افتد — و بعد کم‌هزینه‌ترین اقدام مؤثر را انتخاب کنید، نه برعکس.
- تهدیدکننده کیست؟ نام ببرید: همکار، شریک سابق، سارق، شرکت، دولت.
- چه چیزی ارزش محافظت دارد؟ متن گفت‌وگو، فایل‌ها، یا خودِ الگوی ارتباط.
- آن فرد چقدر توان دارد؟ دسترسی فیزیکی به گوشی؟ دسترسی به حساب؟ منابع گسترده؟
- اگر لو برود چه اتفاقی می‌افتد؟ آبرو، شغل، امنیت جسمی، یا فقط خجالت.
- با این جواب‌ها، کم‌هزینه‌ترین اقدام مؤثر را انتخاب کنید.
اگر تهدید شما ناظر همان وای‌فای است، اتصال معتبر TLS و رمزنگاری سرتاسریِ احراز‌شده مهم‌اند؛ برای دسترسی فیزیکی، قفل دستگاه اولویت دیگری دارد. چطور یک چت را با شماره‌های امنیتی تأیید کنیم همین کار را نشان می‌دهد. و اگر می‌خواهید بدانید در یک پیام‌رسان مشخص چه کسی چه چیزی را می‌بیند، مدل تهدید منتشرشدهٔ لیوارا همان را بدون شعار توضیح می‌دهد.
نمونهٔ کوتاه یک مدل تهدید
«فایل‌های کاری روی گوشی من حساس‌اند. خطر اصلی فعلی، دسترسی همکار به گوشی باز و نسخه‌های ذخیره‌شده در گالری است. این هفته قفل خودکار را کوتاه می‌کنم، پیش‌نمایش اعلان را محدود می‌کنم و پوشه‌های بکاپ را بررسی می‌کنم. بعد با یک فایل آزمایشی نتیجه را می‌سنجم.»
این فقط مثال است؛ اگر فردی کنترل‌گر به دستگاه شما دسترسی دارد، تغییر ناگهانی تنظیمات ممکن است جلب توجه کند. برای برنامه‌ریزی از دستگاهی امن و کمک فرد مورد اعتماد استفاده کنید و ایمنی جسمی را در اولویت بگذارید.
پرسش‌های پرتکرار
«مدل تهدید» را در یک جمله چطور تعریف کنم؟
یعنی روشن کنید از چه کسی، از چه چیزی و با چقدر تلاش می‌خواهید محافظت کنید. همین جمله تعیین می‌کند کدام ویژگی امنیتی ارزش هزینه دارد و کدام فقط پیچیدگی اضافه می‌کند.
اگر رمزنگاری سرتاسری دارم، باز هم باید نگران هکر باشم؟
بله، اما نه به آن شکلی که فکر می‌کنید: مهاجم به‌جای شکستن قفل، سراغ دستگاه، فیشینگ و کد ورود می‌رود. پس پرسش درست این است: گوشی من قفل است، پشتیبان ابری‌ام رمزنگاری شده، حساب ایمیلم محافظت دارد؟
آیا کانال‌های عمومی هم رمزنگاری سرتاسری دارند؟
نه؛ کانال یک سطح پخش عمومی و خواندنی است تا رسیدگی به گزارش‌ها و حذف محتوای سوءاستفاده‌گرانه ممکن باشد. طبق مستندات لیوارا، چت مستقیم و گروه خصوصیِ سازگار با وضعیت E2EE فعال سرتاسری رمزنگاری می‌شوند؛ گروه قدیمی ناسازگار می‌تواند آشکارا خارج از E2EE بماند. وضعیت همان گفتگو را بررسی کنید. کنترل عضویت گروه نیز همچنان با سرور است.
چطور بفهمم نسخهٔ اندرویدی که نصب کرده‌ام دستکاری نشده؟
هش فایل APK دانلودشده را با چک‌سام همان نسخه از یک منبع مورد اعتماد مقایسه کنید؛ آزمایشگاه اثبات برای بررسی فایل در مرورگر طراحی شده است. تطبیق هش فقط برابری با مرجع را نشان می‌دهد؛ اگر مهاجم فایل و هش مرجع را با هم عوض کند، تطبیق کافی نیست. یک APK دستکاری‌شده می‌تواند رمزنگاری را دور بزند، پس بررسی یکپارچگی برنامه به‌اندازهٔ خود رمزنگاری مهم است.
