Vrienden vinden in een berichtenapp en het adresboek privé houden zijn niet één en hetzelfde probleem. De app moet vaststellen welke identificatoren bij de dienst zijn aangesloten, maar de manier waarop die vergelijking gebeurt bepaalt welke informatie de dienst krijgt. Het hashen van een telefoonnummer garandeert op zichzelf niet dat het nummer niet kan worden geïdentificeerd.
Waarom kan een gehasht nummer worden geïdentificeerd?
Een hashfunctie zet invoer om in een waarde met een vaste lengte. De ruimte van telefoonnummers is echter beperkt en gestructureerd. Een aanvaller kan mogelijke nummers genereren, hun hashes berekenen en naar overeenkomsten zoeken. Dat is niet ‘de hash ontsleutelen’, maar het uitproberen van voorspelbare invoer.
Signal beschrijft precies deze beperking van identificatoren met weinig variatie in zijn uitleg over het probleem van het privé vinden van contacten. Hetzelfde artikel introduceert een ontwerp op basis van een vertrouwde uitvoeringsomgeving. Dit historische voorbeeld mag niet naar alle berichtenapps worden doorgetrokken zonder de versie en recente documentatie te controleren.
‘De server ziet alleen hashes’ is dus geen volledig antwoord op de privacyvraag. Het moet duidelijk zijn wie de overeenkomsten kan berekenen, welke verzoeken worden vastgelegd en hoelang de gegevens bewaard blijven.
Wat staat de contactmachtiging toe?
De machtiging om contacten te lezen geeft de app toegang tot adresboekgegevens; ze zegt op zichzelf niet of de app die gegevens uploadt. Naam, nummer, e-mailadres en contactnotities kunnen gevoelig zijn, vooral wanneer ze informatie bevatten over mensen die de dienst helemaal niet gebruiken.
De Android-documentatie over Contacts Provider maakt onderscheid tussen het breed uitlezen van het adresboek en het selecteren van één contact via de systeeminterface. De omvang van de toegang hangt af van de implementatie en de versie van het besturingssysteem.
| Methode om contacten te vinden | Mogelijk voordeel | Wat moet worden gecontroleerd |
|---|---|---|
| Een gebruikersnaam of uitnodigingslink delen | Vereist mogelijk niet dat het hele adresboek wordt gelezen | Doorzoekbaarheid van de identificator en de mogelijkheid voor anderen om het account te vinden |
| Enkele contacten selecteren | De app krijgt minder gegevens | Ontvangt de app uitsluitend de geselecteerde items? |
| Een lijst met nummers of hashes uploaden | Eenvoudigere vergelijking met geregistreerde gebruikers | Mogelijkheid om nummers te raden, verzoeken vast te leggen en de lijst te bewaren |
| Speciaal protocol voor het privé vinden van contacten | Kan blootstelling binnen een dreigingsmodel beperken | Vertrouwensaannames, beperkingen en bewijs van onafhankelijke beoordeling |
Wat bewijst berichtversleuteling niet over het adresboek?
End-to-endversleuteling kan de gespreksinhoud voor de server verbergen, maar zegt op zichzelf niets over contactmachtigingen, zoekverzoeken naar gebruikers of het vastleggen van relaties. Zelfs zonder adresboek kan routeringsinformatie een deel van de communicatierelaties zichtbaar maken.
Livara beschrijft op zijn beveiligingspagina het opslaan en verwerken van operationele informatie zoals groepslidmaatschap, tijdgegevens en routering. Uit dat document valt niet af te leiden dat het adresboek met een specifieke methode wordt gehasht, dat geen enkele geschiedenis wordt bewaard of dat het relatienetwerk volledig verborgen is. Voor zulke beweringen is een aparte uitleg nodig over het vinden van contacten.
Stel deze vijf vragen voordat u toestemming geeft
- Kan ik ook zonder contactmachtiging chatten via een gebruikersnaam of een directe uitnodiging?
- Welke velden verlaten precies het apparaat: alleen het nummer, of ook de naam en andere details?
- Hoe wordt informatie over mensen die niet zijn aangemeld gebruikt en verwijderd?
- Stopt het intrekken van de machtiging alleen toekomstige toegang, of bestaat er ook een manier om al verzonden gegevens te verwijderen?
- Komen de technische uitleg en het beleid voor gegevensbewaring overeen met de huidige appversie?
Controleer de appmachtiging in de systeeminstellingen en beperk onnodige toegang als u vrienden niet automatisch hoeft te vinden. De namen van opties verschillen per telefoon. Stel het intrekken van de machtiging niet gelijk aan het wissen van al geüploade informatie.
Contactprivacy wordt bepaald door dataminimalisatie en duidelijkheid over het pad dat gegevens afleggen, niet alleen doordat het woord ‘hash’ naast een telefoonnummer staat.
