顶级安全专家反驳卫报报道：WhatsApp没有后门

BI中文站 1月14日报道

Facebook 旗下的消息平台WhatsApp是市面上安全程度相对较高的消息应用之一。

WhatsApp在今年早些时候重新设计了后台，让用户们通过这项服务发出的每一条消息都是安全的，即便是WhatsApp也无法看到消息的内容。WhatsApp将这种安全技术称作端到端加密。

但是卫报周五发表了一篇报道，对WhatsApp的安全机制提出质疑，报道指出WhatsApp应用中存在一个“安全漏洞”或“后门”，政府部门可以通过这个漏洞或后门窥探用户的隐私信息。

但是不用担心。WhatsApp应用中并不存在后门，就像联邦调查局希望 苹果 在iPhone中预设的那种后门。

Open Whisper Systems的创始人莫克西·马林斯派克（Moxie Marlinspike）曾经参与设计WhatsApp的安全协议，他在本周五发表了一篇洋洋洒洒、说理细致的博客文章，对卫报提出的质疑进行了反驳。

密码学是一门专注于细节的、极其复杂的学科，概述性的文字通常都是错误的，但是关键是：消息收发系统必须知道用户的消息确实发到了他想要传递消息的对象手中。

但是WhatsApp认为，如果一名用户改变了他的安全密钥，它就可以向用户发出警示信息，而不是像某些消息应用那样将改变安全密钥的用户完全拦截，它只会发出一条如图所示的警示信息。

正是因为这样的设定，导致卫报对WhatsApp的安全性提出了质疑。卫报怀疑政府部门也许可以通过“中间人”攻击劫持一名用户本想发给另一名用户的消息。

马林斯派克解释说：“大多数端到端加密通讯系统都有一些类似于这种验证方式的设置。”

中间人攻击（Man-in-the-Middle Attack，简称“MITM攻击”）是一种“间接”的入侵攻击，这种攻击模式是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为“中间人”。然后入侵者把这台计算机模拟成一台或两台原始计算机，使“中间人”能够与原始计算机建立活动连接并允许其读取或修改传递的信息，然而两个原始计算机用户却认为他们是在互相通信。通常，这种“拦截数据——修改数据——发送数据”的过程就被称为“会话劫持”（Session Hijack）。

马里斯派克说：“中间人攻击特别适合用来对付公共密钥密码学，而不仅仅是WhatsApp。”

实际上，WhatsApp根据其可用性做了一项安全选择，因为它有10亿用户，关闭用户之间的会话可能会引起用户的不满。更糟的是，它可能会让整个系统变得更不安全。密码学家必须时时刻刻权衡利弊。

马林斯派克说：“考虑到WhatsApp用户群的庞大规模和影响范围，我们感觉他们选择这种通知而非完全拦截的方式是恰当的。从透明和密码学的角度来说，这样做保证了每一位用户的体验和用户通讯的隐私。如果选择拦截的方式，有时候可能会让事情变得更糟糕。那样会将信息泄露给服务器，让服务器端知道谁开启了这项功能而谁没有开启它，这实际上就是告诉服务器谁有可能被用‘中间人攻击’的方式攻破。在这方面，WhatsApp可是非常慎重的。”

如果你担心通讯内容的隐私受到侵害，WhatsApp提供的解决方案仍然比其他可替代方案比如电报的安全性更优秀。然而，如果你特别在意安全性而对可用性的要求比较低，那么不妨选择Open Whisper Systems的Signal消息应用，这也是斯诺登（Edward Snowden）最喜爱的消息应用。（编译/林靖东）