Znajdowanie znajomych w komunikatorze i zachowanie prywatności książki adresowej to nie ten sam problem. Aplikacja musi ustalić, które identyfikatory należą do użytkowników usługi, ale sposób dopasowania decyduje o tym, jakie informacje otrzymuje usługodawca. Samo haszowanie numeru telefonu nie gwarantuje, że numeru nie da się zidentyfikować.
Dlaczego można rozpoznać zahaszowany numer?
Funkcja skrótu przekształca dane wejściowe w wartość o stałej długości. Przestrzeń numerów telefonów jest jednak ograniczona i uporządkowana. Napastnik może wygenerować prawdopodobne numery, obliczyć ich skróty i szukać dopasowań. Nie jest to „odszyfrowywanie skrótu”, lecz sprawdzanie możliwych do odgadnięcia danych wejściowych.
Signal w opisie problemu prywatnego wyszukiwania kontaktów wyjaśnia właśnie to ograniczenie identyfikatorów o małej różnorodności. Ten sam tekst przedstawia projekt oparty na zaufanym środowisku wykonawczym. Tego historycznego przykładu nie należy uogólniać na wszystkie komunikatory bez sprawdzenia wersji i nowszej dokumentacji.
Zdanie „serwer widzi tylko skróty” nie jest więc pełną odpowiedzią na pytanie o prywatność. Trzeba wiedzieć, kto może obliczać dopasowania, jakie żądania są rejestrowane i jak długo dane są przechowywane.
Na co pozwala uprawnienie do kontaktów?
Uprawnienie do odczytu kontaktów daje aplikacji dostęp do danych książki adresowej; samo nie określa, czy aplikacja te dane przesyła. Nazwa, numer, adres e-mail i notatki kontaktu mogą być wrażliwe, zwłaszcza gdy zawierają informacje o osobach, które w ogóle nie korzystają z usługi.
Dokumentacja Contacts Provider Androida rozróżnia szeroki odczyt książki adresowej i wybranie jednego kontaktu przez interfejs systemowy. Zakres dostępu zależy od implementacji i wersji systemu operacyjnego.
| Sposób znajdowania kontaktu | Możliwa korzyść | Co należy sprawdzić |
|---|---|---|
| Udostępnienie nazwy użytkownika lub linku zaproszenia | Może nie wymagać odczytu całej książki adresowej | Możliwość wyszukania identyfikatora i znalezienia konta przez inne osoby |
| Wybranie kilku kontaktów | Aplikacja otrzymuje mniej danych | Czy aplikacja otrzymuje wyłącznie wybrane pozycje? |
| Przesłanie listy numerów lub skrótów | Łatwiejsze dopasowanie do zarejestrowanych użytkowników | Możliwość odgadnięcia numerów, rejestrowanie żądań i przechowywanie listy |
| Specjalny protokół prywatnego wyszukiwania | Może ograniczać ujawnianie danych w określonym modelu zagrożeń | Założenia dotyczące zaufania, ograniczenia i dowody niezależnego przeglądu |
Czego szyfrowanie wiadomości nie dowodzi o książce adresowej?
Szyfrowanie end-to-end może ukrywać treść rozmowy przed serwerem, ale samo nie mówi nic o uprawnieniu do kontaktów, żądaniach wyszukiwania użytkowników czy rejestrowaniu powiązań. Nawet bez książki adresowej informacje routingu mogą ujawniać część relacji komunikacyjnych.
Livara na stronie bezpieczeństwa opisuje przechowywanie i przetwarzanie informacji operacyjnych, takich jak członkostwo w grupach, czas i routing. Z tego dokumentu nie można wywnioskować, że książka adresowa jest haszowana określoną metodą, że nie zachowuje się żadnych zapisów ani że graf powiązań jest całkowicie ukryty. Takie twierdzenia wymagają osobnego wyjaśnienia mechanizmu wyszukiwania kontaktów.
Zanim udzielisz uprawnienia, zadaj te pięć pytań
- Czy bez uprawnienia do kontaktów mogę rozmawiać za pomocą nazwy użytkownika lub bezpośredniego zaproszenia?
- Które dokładnie pola opuszczają urządzenie: tylko numer czy także nazwa i inne szczegóły?
- Jak wykorzystuje się i usuwa informacje o osobach niezarejestrowanych?
- Czy cofnięcie uprawnienia wyłącznie blokuje przyszły dostęp, czy istnieje też sposób usunięcia wcześniej przesłanych danych?
- Czy opis techniczny i polityka przechowywania danych odpowiadają obecnej wersji aplikacji?
Przejrzyj uprawnienia aplikacji w ustawieniach systemowych i ogranicz zbędny dostęp, jeśli nie potrzebujesz automatycznego znajdowania znajomych. Nazwy opcji różnią się między telefonami. Nie utożsamiaj cofnięcia uprawnienia z usunięciem wcześniej przesłanych informacji.
Prywatność kontaktów ocenia się przez minimalizację danych i przejrzystość ich przepływu, a nie samą obecność słowa „skrót” obok numeru telefonu.
