שאלו לא רק מי יכול לקרוא את ההודעות שלכם, אלא גם מי יכול לקשר בין הרשומות שסביבן — ולכמה זמן.
מטא־נתונים של הודעות הם מידע על תקשורת, ולא על הטקסט שלה: מזהי חשבונות, תזמון, רשומות חיבור, מצב מסירה או חברות בקבוצה, בהתאם לתכנון. הצפנה מקצה לקצה יכולה להשאיר את הטקסט בלתי קריא לשירות המסירה, בעוד שחלק מהמידע שסביבו נשאר גלוי.
לדוגמה, "אגיע בשש" הוא תוכן. העובדה שחשבון אחד פנה לאחר בזמן מסוים היא מטא־נתונים. מי יכול לצפות בכל אחת מהעובדות תלוי בארכיטקטורת האפליקציה והרשת.
תוכן הודעות ומטא־נתונים הם דברים שונים
הצפנה מקצה לקצה מגינה על תוכן השיחה. מטא־נתונים מתארים כיצד שירות ההודעות מעביר ומנהל אותה: אילו חשבונות משתתפים, מתי התרחש אירוע, האם הודעה נמסרה ואיזה דיאלוג צריך לקבל אותה.
ההבחנה חשובה מפני שמסנג'ר יכול להצפין טקסט הודעות ובכל זאת לשמור מידע תפעולי. פירושה גם שביטויים כמו "מוצפן", "פרטי" ו"אפס ידע" אינם ניתנים להחלפה זה בזה. בדיקת אבטחה מועילה שואלת בדיוק אילו נתונים מוצפנים, היכן המפתחות נמצאים ואיזה מידע נשאר זמין לשירות.
על מה מגינה הצפנה מקצה לקצה
בשיחה מוצפנת מקצה לקצה שמומשה נכון, השולח מצפין תוכן לפני שהוא מגיע לאחסון, ומכשיר של משתתף מפענח אותו. השירות מעביר טקסט מוצפן במקום תוכן הודעות קריא.
בהתאם למוצר, E2EE עשוי לכסות:
- טקסט הודעות ועריכות
- כיתובים וקבצים מצורפים
- הודעות קוליות ומדיה אחרת שהועלתה
- תגובות או תשובות כאשר הן חלק מהמטען המוצפן
הכיסוי אינו אוטומטי. מוצר עשוי להצפין הודעות ישירות אך להשתמש במודל אחר לקבוצות, לערוצים, לגיבויים, לתצוגות מקדימות של קישורים או לשיחות. קראו את תיעוד האבטחה של המוצר במקום להניח שסמל מנעול אחד חל על כל תכונה.
אילו מטא־נתונים עשויים להישאר גלויים?
שירות הודעות זקוק למידע מסוים כדי לנתב הודעות, לאכוף גישה, לסנכרן מכשירים ולמנוע שימוש לרעה. הנתונים התפעוליים האלה עשויים לכלול:
| קטגוריית נתונים | מדוע שירות עשוי לעבד אותה |
|---|---|
| משתתפים ומזהי דיאלוגים | ניתוב אירוע לחשבונות ולשיחה הנכונים |
| חותמות זמן ומספרי רצף | סידור הודעות ואחזור עדכונים לאחר ניתוק |
| מצב מסירה וקריאה | סנכרון מצב ההודעה בין מכשירים |
| חברות ותפקידים | אכיפת גישה לקבוצות ולערוצים |
| גודל טקסט מוצפן ומטא־נתונים של מדיה | אחסון ומסירה נכונים של תוכן מוצפן |
| מידע רשת | יצירת חיבורים, הפעלת תשתית וחקירת שימוש לרעה |
אין פירוש הדבר שכל שירות אוסף אותם נתונים או שומר אותם לאותה תקופה. המשמעות היא שהשוואת פרטיות רצינית צריכה לבדוק איסוף, משך שמירה, בקרות גישה ומחיקה — לא רק את אלגוריתם ההצפנה.
מדוע מטא־נתונים ראויים לתשומת לב
מטא־נתונים יכולים לחשוף דפוסים גם כאשר תוכן ההודעות אינו קריא. תקשורת תכופה בין שני חשבונות, שינוי פתאומי בפעילות או חברות בקבוצה מסוימת עשויים לשאת הקשר משל עצמם.
הסיכון המעשי תלוי בנתונים שנאספים, במשך שמירתם, בשאלה אם הם קשורים לזהות בעולם האמיתי ובמי שיכול לגשת אליהם. רשומה תפעולית קצרת חיים שונה מפרופיל פרסום קבוע. שירות שקוף צריך להסביר את ההבדל הזה בתיעוד הפרטיות והאבטחה שלו.
שאלות שכדאי לשאול לפני בחירת מסנג'ר
השתמשו בשאלות האלה בעת הערכת כל פלטפורמת הודעות:
- אילו סוגי שיחות מוצפנים מקצה לקצה?
- האם קבצים מצורפים מוצפנים לפני העלאה?
- היכן נוצרים ונשמרים מפתחות זהות פרטיים?
- האם מכשיר אחר יכול לשחזר מפתחות ללא סוד שחזור נפרד?
- אילו נתוני ניתוב, חברות, חותמות זמן ומסירה השרת שומר?
- האם גיבויים מוגנים במפתח שאינו זמין לשירות?
- האם משתתפים יכולים לאמת טביעות אצבע של מפתחות ציבוריים לאחר שינוי מפתח?
- האם טענות האבטחה מבחינות בין צ'אטים ישירים, קבוצות, ערוצים ושיחות?
- כיצד הפלטפורמה מטפלת במחיקת חשבון ובנתונים שנשמרו?
- האם מדיניות הפרטיות מתארת אנליטיקה, פרסום ושירותי צד שלישי?
תשובות ספציפיות חשובות יותר מהבטחות רחבות. אם שירות אינו מסוגל לתאר את גבול האמון שלו, משתמשים אינם יכולים לקבל החלטה מושכלת לגביו.
מי יכול לצפות באיזה חלק של השיחה?
אל תאחדו את כל הצופים לגורם יחיד שרואה הכול. קירוב ראשוני מועיל הוא:
| צופה | מה עשוי להיות גלוי | גבול חשוב |
|---|---|---|
| ספק אינטרנט או רשת מקומית | יעדי חיבור, תזמון ונפח תעבורה | תוכן הודעות שמוגן נכון אינו קריא אוטומטית; השדות הגלויים משתנים בהתאם לתעבורה ולניתוב |
| שירות ההודעות | מידע חשבון, מסירה וחברות הנדרש לפי התכנון שלו | ייתכן שאינו מקבל תוכן E2EE גלוי, ושמירה יכולה להיות שונה מעיבוד חולף |
| ספק התראות דחיפה או אירוח | מידע הנדרש לשילוב ההתראות או האירוח של השירות | חשיפת המטען והמזהים תלויה במימוש |
| משתתפים אחרים | הודעות מפוענחות ומידע המוצג בשיחה | הם עשויים להעתיק או לחשוף את מה שקיבלו |
| מי ששולט במכשיר קצה | נתונים הנגישים למכשיר או להפעלה האלה | הצפנת רשת אינה מתקנת פריצה למכשיר קצה |
הטבלה הזו היא מסגרת חשיבה, לא מדידה של אפליקציה מסוימת. ספק רשת אינו רואה בהכרח את אותן רשומות ברמת החשבון כמו המסנג'ר, וספק אפליקציה אינו שומר בהכרח כל דבר שהוא מעבד.
הנחיות הפרטיות של IAB ב־RFC 6973 מתייחסות לקישור בין פעילויות, לזיהוי ולמזעור נתונים כאל סוגיות פרטיות נפרדות. מזהה מתמשך יכול לקשר פעילויות לאורך זמן גם כשאינו שם רשמי. שילוב רשומות מכמה מקורות עשוי לחשוף יותר מכל רשומה בפני עצמה.
גבול המטא־נתונים המתועד של Livara
תיעוד האבטחה של Livara מתאר תוכן ישיר מוצפן ותוכן מוצפן בקבוצות פרטיות תואמות, בעוד שניתוב, חברות, תזמון, גדלי טקסט מוצפן, אסימוני דחיפה ורשומות אבטחה מטופלים בנפרד. ערוצים ציבוריים קריאים לשרת; אין לבלבל בין הטקסט המוצפן של קבוצה פרטית לבין הטקסט הגלוי של ערוץ ציבורי.
קיומו של רכיב קריפטוגרפי בתיעוד אינו מוכיח שהוא משמש בכל נתיב פעיל. לדוגמה, רכיב LSS1 המתועד אינו מתואר כמשולב בשליחת הודעות רגילה. אין להשתמש בו כדי לטעון שתקשורת רגילה ב־Livara מסתירה מטא־נתונים של השולח. עיינו בתיעוד האבטחה ובמידע הפרטיות העדכניים כדי להבין את ההיקף בפועל ואת טענות השמירה.
מאמר זה לא מדד באופן עצמאי את תעבורת הייצור של Livara או את שמירת הנתונים בשרת שלה. הטענות על הצפנת תוכן אינן מוכיחות שהיא אוספת פחות מטא־נתונים מכל השירותים המתחרים.
דרכים מעשיות לצמצום החשיפה
הצפנה היא חלק אחד מאבטחת החשבון. משתמשים יכולים גם לצמצם חשיפה בכמה צעדים קונקרטיים:
- שתפו רק את פרטי הפרופיל ומזהי החשבון הדרושים לשיחה; שימוש חוזר בשם ציבורי או בתמונת פרופיל עשוי לקשר בין חשבונות נפרדים.
- סרבו להרשאות לא נחוצות לאנשי קשר או למיקום, ובדקו בנפרד את מחיקתם של נתונים שסונכרנו בעבר.
- השתמשו בפרטי גישה ייחודיים לחשבון כשמתאים, והגנו על הגישה למכשיר עצמו.
- שמרו את ביטוי השחזור במקום נפרד מהמכשיר המחובר לחשבון.
- השוו טביעות אצבע של מפתחות דרך ערוץ מהימן אחר אחרי שינוי זהות בלתי צפוי.
- בדקו את הרכב הקבוצה לפני שיתוף תוכן רגיש.
- שמרו את הדפדפן, מערכת ההפעלה ולקוח ההודעות מעודכנים.
- התייחסו לתצוגות מקדימות בהתראות, לצילומי מסך ולמדיה שיוצאה כאל עותקים מחוץ לשיחה המוצפנת.
היגיינת מכשיר מגינה על חלק אחר של הבעיה מאשר מזעור מטא־נתונים. היא אינה גורמת ליומני הספק להיעלם. בדומה לכך, מחיקת בועת הודעה או בחירת טיימר תפוגה אינן מוחקות בהכרח רשומות ניתוב, גיבויים או עותק של משתתף אחר.
הדרך המועילה לקרוא טענות פרטיות
טענת פרטיות אמינה מציינת את הנתונים המוגנים, את המנגנון ואת המגבלות. "תוכן הודעות ישירות מוצפן במכשירי המשתתפים" הוא דבר שניתן לבדיקה. "פרטי לחלוטין" אינו כזה.
בהשוואת אפליקציות הודעות, הפרידו בין ארבע שאלות: מי יכול לקרוא תוכן, אילו מטא־נתונים השירות מעבד, כיצד שחזור החשבון פועל ומה קורה בכל מכשיר. המסגרת הזו מובילה להחלטה מדויקת יותר מאשר בחירת מוצר לפי סיסמה בלבד.
האם VPN מסתיר מטא־נתונים של הודעות?
VPN משנה איזה מפעיל רשת יכול לצפות בחלקים מהחיבור; הוא אינו מסיר אוטומטית את רשומות החשבון או המסירה של המסנג'ר. כניסה לאותו חשבון עדיין מזהה את החשבון בפני השירות. העריכו בנפרד את ספק ה־VPN, את תכנון ניתוב ההודעות ואת מדיניות השמירה של האפליקציה, במקום להתייחס לכתובת IP שונה כאנונימיות מלאה.
שאלו על משך השמירה, לא רק על האיסוף
עבור כל שדה רלוונטי, שאלו אם הוא מעובד באופן חולף, נכתב ליומן, נשמר בגיבוי או משותף עם ספק אחר. לאחר מכן שאלו כמה זמן הוא נשאר ואם למחיקה יש חריגים. אם התיעוד אינו אומר, רשמו את המשך כלא ידוע. "נחוץ לתפעול" מסביר מטרה אפשרית; הוא אינו מגדיר כשלעצמו מגבלת שמירה.
