เมทาดาทาของข้อความ: ใครเห็นอะไรนอกเหนือจากเนื้อความ?

เมทาดาทาของข้อความคือข้อมูลเกี่ยวกับการสื่อสาร ไม่ใช่ข้อความที่สนทนา เช่น ตัวระบุบัญชี เวลา บันทึกการเชื่อมต่อ สถานะนำส่ง หรือสมาชิกกลุ่ม ทั้งนี้ขึ้นอยู่กับการออกแบบ การเข้ารหัสจากต้นทางถึงปลายทางสามารถทำให้บริการนำส่งอ่านข้อความไม่ได้ ขณะที่ข้อมูลแวดล้อมบางส่วนยังมองเห็นได้

ตัวอย่างเช่น “ฉันจะไปถึงตอนหกโมง” คือเนื้อหา ส่วนข้อเท็จจริงที่บัญชีหนึ่งติดต่ออีกบัญชีหนึ่งในเวลาหนึ่งคือเมทาดาทา ใครมองเห็นข้อเท็จจริงใดได้ขึ้นอยู่กับสถาปัตยกรรมของแอปและเครือข่าย

เนื้อหาข้อความกับเมทาดาทาแตกต่างกัน

การเข้ารหัสจากต้นทางถึงปลายทางปกป้องเนื้อหาบทสนทนา เมทาดาทาอธิบายว่าบริการส่งข้อความเคลื่อนย้ายและจัดการบทสนทนานั้นอย่างไร เช่น บัญชีใดร่วมสนทนา เหตุการณ์เกิดเมื่อใด ส่งข้อความถึงแล้วหรือไม่ และบทสนทนาใดควรได้รับข้อความ

ความแตกต่างนี้สำคัญ เพราะแอปอาจเข้ารหัสตัวข้อความแต่ยังเก็บข้อมูลการดำเนินงาน นอกจากนี้ยังหมายความว่าคำอย่าง “เข้ารหัส” “เป็นส่วนตัว” และ “ความรู้เป็นศูนย์” ไม่ได้ใช้แทนกันได้ การทบทวนความปลอดภัยที่มีประโยชน์จะถามให้ชัดว่าข้อมูลใดเข้ารหัส กุญแจอยู่ที่ไหน และข้อมูลใดยังเข้าถึงได้โดยบริการ

การเข้ารหัสจากต้นทางถึงปลายทางปกป้องอะไร

ในบทสนทนาที่ใช้การเข้ารหัสจากต้นทางถึงปลายทางอย่างถูกต้อง ผู้ส่งเข้ารหัสเนื้อหาก่อนถึงพื้นที่จัดเก็บ และอุปกรณ์ผู้ร่วมสนทนาถอดรหัส บริการขนส่งข้อความเข้ารหัสแทนเนื้อหาที่อ่านได้

ขึ้นอยู่กับผลิตภัณฑ์ E2EE อาจครอบคลุม:

• เนื้อความและการแก้ไขข้อความ
• คำบรรยายและไฟล์แนบ
• บันทึกเสียงและสื่ออื่นที่อัปโหลด
• ปฏิกิริยาหรือคำตอบเมื่อเป็นส่วนหนึ่งของข้อมูลที่เข้ารหัส

ความครอบคลุมไม่ได้เกิดขึ้นโดยอัตโนมัติ ผลิตภัณฑ์อาจเข้ารหัสข้อความโดยตรงแต่ใช้รูปแบบอื่นกับกลุ่ม ช่อง ข้อมูลสำรอง ตัวอย่างลิงก์ หรือการโทร อ่านเอกสารความปลอดภัยของผลิตภัณฑ์ แทนการคิดว่ารูปแม่กุญแจหนึ่งรูปใช้กับทุกคุณสมบัติ

เมทาดาทาใดอาจยังมองเห็นได้?

บริการส่งข้อความต้องใช้ข้อมูลบางอย่างเพื่อส่งต่อข้อความ บังคับใช้สิทธิ์เข้าถึง ซิงค์อุปกรณ์ และป้องกันการใช้งานในทางที่ผิด ข้อมูลการดำเนินงานเหล่านี้อาจรวมถึง:

หมวดข้อมูล	เหตุผลที่บริการอาจประมวลผล
ผู้ร่วมสนทนาและตัวระบุบทสนทนา	ส่งเหตุการณ์ไปยังบัญชีและบทสนทนาที่ถูกต้อง
เวลาและหมายเลขลำดับ	จัดลำดับข้อความและเรียกคืนการอัปเดตหลังการเชื่อมต่อหลุด
สถานะนำส่งและอ่าน	ซิงค์สถานะข้อความระหว่างอุปกรณ์
สมาชิกและบทบาท	บังคับใช้สิทธิ์เข้าถึงกลุ่มและช่อง
ขนาดข้อความเข้ารหัสและเมทาดาทาสื่อ	จัดเก็บและนำส่งเนื้อหาที่เข้ารหัสอย่างถูกต้อง
ข้อมูลเครือข่าย	สร้างการเชื่อมต่อ ดำเนินโครงสร้างพื้นฐาน และสืบสวนการใช้งานในทางที่ผิด

ไม่ได้หมายความว่าทุกบริการเก็บข้อมูลเหมือนกันหรือเก็บนานเท่ากัน แต่หมายความว่าการเปรียบเทียบความเป็นส่วนตัวอย่างจริงจังควรตรวจการเก็บรวบรวม ระยะเวลาเก็บ การควบคุมสิทธิ์ และการลบ ไม่ใช่เพียงอัลกอริทึมเข้ารหัส

เหตุใดจึงควรใส่ใจเมทาดาทา

เมทาดาทาอาจเผยรูปแบบแม้เนื้อหาข้อความยังอ่านไม่ได้ การติดต่อบ่อยระหว่างสองบัญชี การเปลี่ยนกิจกรรมอย่างฉับพลัน หรือสมาชิกภาพในกลุ่มหนึ่ง อาจมีบริบทในตัวเอง

ความเสี่ยงจริงขึ้นอยู่กับข้อมูลที่เก็บ ระยะเวลาที่เก็บ การเชื่อมโยงกับตัวตนในโลกจริง และผู้ที่เข้าถึงได้ บันทึกการดำเนินงานอายุสั้นต่างจากโปรไฟล์โฆษณาถาวร บริการที่โปร่งใสควรอธิบายความแตกต่างในเอกสารความเป็นส่วนตัวและความปลอดภัย

คำถามที่ควรถามก่อนเลือกแอปส่งข้อความ

ใช้คำถามเหล่านี้เมื่อประเมินแพลตฟอร์มส่งข้อความใด ๆ:

1. บทสนทนาประเภทใดเข้ารหัสจากต้นทางถึงปลายทาง?
2. ไฟล์แนบเข้ารหัสก่อนอัปโหลดหรือไม่?
3. กุญแจตัวตนส่วนตัวสร้างและเก็บที่ใด?
4. อุปกรณ์อื่นกู้คืนกุญแจได้โดยไม่ใช้ข้อมูลลับสำหรับกู้คืนแยกต่างหากหรือไม่?
5. เซิร์ฟเวอร์เก็บข้อมูลการส่งต่อ สมาชิก เวลา และการนำส่งอะไรบ้าง?
6. ข้อมูลสำรองปกป้องด้วยกุญแจที่บริการเข้าถึงไม่ได้หรือไม่?
7. ผู้ร่วมสนทนาตรวจสอบลายนิ้วมือดิจิทัลของกุญแจสาธารณะหลังเปลี่ยนกุญแจได้หรือไม่?
8. คำกล่าวความปลอดภัยแยกแชตโดยตรง กลุ่ม ช่อง และการโทรหรือไม่?
9. แพลตฟอร์มจัดการการลบบัญชีและข้อมูลที่เก็บไว้อย่างไร?
10. นโยบายความเป็นส่วนตัวอธิบายการวิเคราะห์ โฆษณา และบริการบุคคลที่สามหรือไม่?

คำตอบที่เฉพาะเจาะจงมีค่ากว่าคำสัญญากว้าง ๆ หากบริการอธิบายขอบเขตความไว้วางใจไม่ได้ ผู้ใช้ก็ไม่สามารถตัดสินใจเกี่ยวกับมันอย่างมีข้อมูล

ใครมองเห็นส่วนใดของบทสนทนาได้?

อย่ารวมผู้สังเกตการณ์ทั้งหมดเป็นฝ่ายเดียวที่เห็นทุกอย่าง กรอบเบื้องต้นที่มีประโยชน์คือ:

ผู้สังเกตการณ์	สิ่งที่อาจมองเห็น	ขอบเขตสำคัญ
ผู้ให้บริการอินเทอร์เน็ตหรือเครือข่ายท้องถิ่น	ปลายทางการเชื่อมต่อ เวลา และปริมาณทราฟฟิก	เนื้อหาข้อความที่ปกป้องถูกต้องไม่ได้อ่านได้โดยอัตโนมัติ ฟิลด์ที่เห็นต่างกันตามวิธีรับส่งและการกำหนดเส้นทาง
บริการส่งข้อความ	ข้อมูลบัญชี การนำส่ง และสมาชิกที่การออกแบบต้องใช้	อาจไม่ได้รับเนื้อหา E2EE ที่อ่านได้ และการเก็บค้างอาจต่างจากการประมวลผลชั่วคราว
ผู้ให้บริการพุชหรือโฮสติ้ง	ข้อมูลที่ส่วนเชื่อมต่อการแจ้งเตือนหรือโฮสติ้งของบริการต้องใช้	การเปิดเผยข้อมูลที่ส่งและตัวระบุขึ้นอยู่กับการนำไปใช้
ผู้ร่วมสนทนาคนอื่น	ข้อความที่ถอดรหัสแล้วและข้อมูลที่แสดงในบทสนทนา	อาจคัดลอกหรือเปิดเผยสิ่งที่ได้รับ
ผู้ควบคุมอุปกรณ์ปลายทาง	ข้อมูลที่อุปกรณ์หรือเซสชันนั้นเข้าถึงได้	การเข้ารหัสเครือข่ายซ่อมการถูกเจาะของอุปกรณ์ปลายทางไม่ได้

ตารางนี้เป็นกรอบพิจารณา ไม่ใช่การวัดแอปเฉพาะ ผู้ให้บริการเครือข่ายไม่จำเป็นต้องเห็นบันทึกระดับบัญชีแบบเดียวกับแอปส่งข้อความ และผู้ให้บริการแอปไม่จำเป็นต้องเก็บทุกสิ่งที่ประมวลผล

แนวทางความเป็นส่วนตัวของ IAB ใน RFC 6973 มองการเชื่อมโยงกิจกรรม การระบุตัวตน และการลดข้อมูลให้เหลือน้อยที่สุดเป็นประเด็นความเป็นส่วนตัวคนละด้าน ตัวระบุที่คงอยู่อาจเชื่อมกิจกรรมข้ามเวลาได้แม้ไม่ใช่ชื่อตามกฎหมาย การรวมบันทึกจากหลายแหล่งอาจเผยมากกว่าบันทึกใดบันทึกหนึ่ง

ขอบเขตเมทาดาทาของ Livara ตามเอกสาร

เอกสารความปลอดภัยของ Livara อธิบายเนื้อหาโดยตรงและเนื้อหากลุ่มส่วนตัวที่เข้ากันได้ซึ่งเข้ารหัสไว้ ขณะที่ข้อมูลการส่งต่อ สมาชิก เวลา ขนาดข้อความเข้ารหัส โทเคนพุช และบันทึกความปลอดภัยจัดการแยกกัน ช่องสาธารณะเป็นสิ่งที่เซิร์ฟเวอร์อ่านได้ จึงไม่ควรสับสนข้อความเข้ารหัสของกลุ่มส่วนตัวกับข้อความที่อ่านได้ของช่องสาธารณะ

การมีส่วนประกอบเข้ารหัสในเอกสารไม่ได้พิสูจน์ว่ามันถูกใช้ในทุกเส้นทางการทำงานจริง ตัวอย่างเช่น ส่วนประกอบ LSS1 ที่มีเอกสารไม่ได้ระบุว่าเชื่อมเข้ากับการส่งข้อความตามปกติ จึงห้ามใช้เป็นเหตุอ้างว่าการส่งข้อความ Livara ตามปกติซ่อนเมทาดาทาผู้ส่ง ดูเอกสารความปลอดภัยและข้อมูลความเป็นส่วนตัวปัจจุบันสำหรับขอบเขตจริงและคำกล่าวเรื่องการเก็บรักษา

บทความนี้ไม่ได้วัดทราฟฟิกของระบบใช้งานจริงหรือการเก็บข้อมูลบนเซิร์ฟเวอร์ของ Livara อย่างอิสระ คำกล่าวเรื่องเข้ารหัสเนื้อหาไม่ได้ยืนยันว่าเก็บเมทาดาทาน้อยที่สุดในบรรดาคู่แข่ง

วิธีลดการเปิดเผยในทางปฏิบัติ

การเข้ารหัสเป็นส่วนหนึ่งของความปลอดภัยบัญชี ผู้ใช้ลดการเปิดเผยได้ด้วยขั้นตอนที่ชัดเจนเพิ่มเติม:

• แชร์เฉพาะรายละเอียดโปรไฟล์และตัวระบุบัญชีที่จำเป็นสำหรับบทสนทนา การใช้ชื่อสาธารณะหรืออวตารซ้ำอาจเชื่อมบัญชีที่แยกกันได้
• ปฏิเสธสิทธิ์ผู้ติดต่อหรือตำแหน่งที่ไม่จำเป็น และตรวจเรื่องลบข้อมูลที่เคยซิงค์ไว้แยกต่างหาก
• ใช้ข้อมูลรับรองบัญชีที่ไม่ซ้ำตามความเหมาะสม และปกป้องการเข้าถึงตัวอุปกรณ์
• เก็บวลีกู้คืนไว้แยกจากอุปกรณ์ที่เข้าสู่ระบบอยู่
• เปรียบเทียบลายนิ้วมือดิจิทัลของกุญแจผ่านช่องทางที่เชื่อถืออีกทางหลังตัวตนเปลี่ยนโดยไม่คาดหมาย
• ตรวจสมาชิกกลุ่มก่อนแบ่งปันเนื้อหาที่ละเอียดอ่อน
• อัปเดตเบราว์เซอร์ ระบบปฏิบัติการ และไคลเอนต์ส่งข้อความเสมอ
• มองตัวอย่างข้อความในการแจ้งเตือน ภาพหน้าจอ และสื่อที่ส่งออกเป็นสำเนานอกบทสนทนาที่เข้ารหัส

การดูแลความปลอดภัยอุปกรณ์ปกป้องคนละส่วนของปัญหากับการลดเมทาดาทา ไม่ได้ทำให้บันทึกผู้ให้บริการหายไป เช่นเดียวกัน การลบบับเบิลข้อความหรือตั้งเวลาหมดอายุไม่ได้ลบบันทึกส่งต่อ ข้อมูลสำรอง หรือสำเนาของผู้ร่วมสนทนาอื่นเสมอไป

วิธีอ่านคำกล่าวความเป็นส่วนตัวอย่างมีประโยชน์

คำกล่าวความเป็นส่วนตัวที่น่าเชื่อถือระบุข้อมูลที่ปกป้อง กลไก และข้อจำกัด “เนื้อหาข้อความโดยตรงเข้ารหัสบนอุปกรณ์ผู้ร่วมสนทนา” เป็นสิ่งที่ตรวจสอบได้ แต่ “เป็นส่วนตัวอย่างสมบูรณ์” ไม่ใช่

เมื่อเปรียบเทียบแอปส่งข้อความ ให้แยกสี่คำถาม: ใครอ่านเนื้อหาได้ บริการประมวลผลเมทาดาทาใด การกู้คืนบัญชีทำงานอย่างไร และเกิดอะไรบนแต่ละอุปกรณ์ กรอบนี้ช่วยให้ตัดสินใจแม่นยำกว่าการเลือกจากคำขวัญเพียงอย่างเดียว

VPN ซ่อนเมทาดาทาของข้อความหรือไม่?

VPN เปลี่ยนว่าผู้ให้บริการเครือข่ายรายใดมองเห็นบางส่วนของการเชื่อมต่อได้ ไม่ได้ลบบันทึกบัญชีหรือการนำส่งของแอปส่งข้อความโดยอัตโนมัติ การเข้าสู่บัญชีเดิมยังระบุบัญชีนั้นต่อบริการอยู่ ประเมินผู้ให้บริการ VPN การออกแบบเส้นทางข้อความ และนโยบายเก็บข้อมูลของแอปแยกกัน แทนการถือว่าการเปลี่ยน IP คือการไม่ระบุตัวตนโดยสมบูรณ์

ถามเรื่องระยะเวลาเก็บ ไม่ใช่แค่การรวบรวม

สำหรับทุกฟิลด์ที่เกี่ยวข้อง ให้ถามว่าประมวลผลเพียงชั่วคราว เขียนลงบันทึก เก็บในข้อมูลสำรอง หรือแบ่งปันกับผู้ให้บริการอื่น จากนั้นถามว่าเก็บอยู่นานเท่าใดและการลบมีข้อยกเว้นหรือไม่ หากเอกสารไม่ระบุ ให้บันทึกระยะเวลาเป็น “ไม่ทราบ” คำว่า “จำเป็นต่อการทำงาน” อธิบายจุดประสงค์ที่เป็นไปได้ แต่ไม่ได้กำหนดขีดจำกัดการเก็บรักษาด้วยตัวมันเอง