Đừng chỉ hỏi ai đọc được tin nhắn của bạn, mà còn ai có thể liên kết các bản ghi xung quanh — và trong bao lâu.
Siêu dữ liệu nhắn tin là thông tin về một cuộc liên lạc thay vì nội dung văn bản của tin nhắn: mã định danh tài khoản, thời gian, bản ghi kết nối, trạng thái chuyển tin hoặc thành viên nhóm, tùy thiết kế. Mã hóa đầu cuối có thể khiến dịch vụ chuyển tin không đọc được văn bản trong khi một phần thông tin xung quanh vẫn nhìn thấy được.
Ví dụ, “Tôi sẽ đến lúc sáu giờ” là nội dung. Việc một tài khoản liên hệ tài khoản khác vào một thời điểm cụ thể là siêu dữ liệu. Bên nào quan sát được từng thông tin phụ thuộc kiến trúc ứng dụng và mạng.
Nội dung tin nhắn và siêu dữ liệu là hai thứ khác nhau
Mã hóa đầu cuối bảo vệ nội dung cuộc trò chuyện. Siêu dữ liệu mô tả cách dịch vụ nhắn tin chuyển và quản lý cuộc trò chuyện: tài khoản nào tham gia, sự kiện xảy ra khi nào, tin nhắn đã được chuyển chưa và hộp thoại nào cần nhận nó.
Sự phân biệt này quan trọng vì một ứng dụng nhắn tin có thể mã hóa văn bản mà vẫn giữ thông tin vận hành. Nó cũng có nghĩa những cụm từ như “mã hóa”, “riêng tư” và “không biết dữ liệu” không thể dùng thay nhau. Một đánh giá bảo mật hữu ích hỏi chính xác dữ liệu nào được mã hóa, khóa nằm ở đâu và thông tin nào vẫn khả dụng cho dịch vụ.
Mã hóa đầu cuối bảo vệ những gì
Trong cuộc trò chuyện mã hóa đầu cuối được triển khai đúng, người gửi mã hóa nội dung trước khi nó đến nơi lưu trữ và thiết bị người tham gia giải mã nội dung. Dịch vụ vận chuyển bản mã thay vì nội dung tin nhắn đọc được.
Tùy sản phẩm, E2EE có thể bao gồm:
- Văn bản tin nhắn và các chỉnh sửa
- Chú thích và tệp đính kèm
- Ghi âm giọng nói và nội dung đa phương tiện khác được tải lên
- Phản ứng hoặc trả lời khi chúng nằm trong phần dữ liệu được mã hóa
Phạm vi bảo vệ không tự động bao trùm mọi thứ. Sản phẩm có thể mã hóa tin nhắn trực tiếp nhưng dùng mô hình khác cho nhóm, kênh, sao lưu, bản xem trước liên kết hoặc cuộc gọi. Hãy đọc tài liệu bảo mật sản phẩm thay vì cho rằng một biểu tượng khóa áp dụng cho mọi tính năng.
Siêu dữ liệu nào có thể vẫn nhìn thấy được?
Dịch vụ nhắn tin cần một số thông tin để định tuyến tin nhắn, thực thi quyền truy cập, đồng bộ thiết bị và ngăn lạm dụng. Dữ liệu vận hành đó có thể gồm:
| Nhóm dữ liệu | Vì sao dịch vụ có thể xử lý |
|---|---|
| Người tham gia và mã định danh hội thoại | Định tuyến sự kiện đến đúng tài khoản và cuộc trò chuyện |
| Dấu thời gian và số thứ tự | Sắp xếp tin nhắn và lấy lại cập nhật sau khi mất kết nối |
| Trạng thái chuyển và đọc | Đồng bộ trạng thái tin nhắn giữa các thiết bị |
| Thành viên và vai trò | Thực thi quyền truy cập nhóm và kênh |
| Kích thước bản mã và siêu dữ liệu đa phương tiện | Lưu và chuyển nội dung mã hóa đúng cách |
| Thông tin mạng | Thiết lập kết nối, vận hành hạ tầng và điều tra lạm dụng |
Điều này không có nghĩa mọi dịch vụ đều thu thập cùng dữ liệu hoặc giữ trong cùng thời gian. Nó có nghĩa một so sánh quyền riêng tư nghiêm túc cần xem xét việc thu thập, lưu giữ, kiểm soát truy cập và xóa — không chỉ thuật toán mã hóa.
Vì sao siêu dữ liệu đáng được chú ý
Siêu dữ liệu có thể tiết lộ quy luật ngay cả khi nội dung tin nhắn không đọc được. Liên lạc thường xuyên giữa hai tài khoản, thay đổi hoạt động đột ngột hoặc tư cách thành viên trong một nhóm cụ thể có thể tự mang ý nghĩa bối cảnh.
Rủi ro thực tế phụ thuộc dữ liệu được thu thập, thời gian lưu giữ, việc dữ liệu có gắn với danh tính ngoài đời không và ai được truy cập. Bản ghi vận hành tồn tại ngắn hạn khác với hồ sơ quảng cáo vĩnh viễn. Dịch vụ minh bạch nên giải thích khác biệt đó trong tài liệu riêng tư và bảo mật.
Những câu hỏi cần đặt ra trước khi chọn ứng dụng nhắn tin
Dùng các câu hỏi này khi đánh giá bất kỳ nền tảng nhắn tin nào:
- Những loại cuộc trò chuyện nào được mã hóa đầu cuối?
- Tệp đính kèm có được mã hóa trước khi tải lên không?
- Khóa danh tính riêng được tạo và lưu ở đâu?
- Thiết bị khác có thể khôi phục khóa mà không cần thông tin bí mật khôi phục riêng không?
- Máy chủ giữ lại dữ liệu định tuyến, thành viên, dấu thời gian và chuyển tin nào?
- Bản sao lưu có được bảo vệ bằng khóa mà dịch vụ không thể truy cập không?
- Người tham gia có thể xác minh dấu vân tay khóa công khai sau khi khóa thay đổi không?
- Tuyên bố bảo mật có phân biệt trò chuyện trực tiếp, nhóm, kênh và cuộc gọi không?
- Nền tảng xử lý xóa tài khoản và dữ liệu được giữ lại ra sao?
- Chính sách riêng tư có mô tả phân tích, quảng cáo và dịch vụ bên thứ ba không?
Câu trả lời cụ thể có giá trị hơn lời hứa bao quát. Nếu dịch vụ không mô tả được ranh giới tin cậy, người dùng không thể đưa ra quyết định sáng suốt về nó.
Ai có thể quan sát phần nào của cuộc trò chuyện?
Đừng gộp mọi bên quan sát thành một bên duy nhất nhìn thấy tất cả. Một hình dung ban đầu hữu ích là:
| Bên quan sát | Những gì có thể nhìn thấy | Ranh giới quan trọng |
|---|---|---|
| Nhà cung cấp internet hoặc mạng cục bộ | Đích kết nối, thời gian và lượng lưu lượng | Nội dung tin nhắn được bảo vệ đúng không tự động đọc được; trường dữ liệu nhìn thấy thay đổi theo truyền tải và định tuyến |
| Dịch vụ nhắn tin | Thông tin tài khoản, chuyển tin và thành viên mà thiết kế yêu cầu | Dịch vụ có thể không nhận nội dung E2EE dạng rõ, và lưu giữ có thể khác với xử lý tạm thời |
| Nhà cung cấp thông báo đẩy hoặc lưu trữ hạ tầng | Thông tin cần cho tích hợp thông báo hoặc lưu trữ của dịch vụ | Mức lộ phần dữ liệu và mã định danh phụ thuộc triển khai |
| Người tham gia khác | Tin nhắn đã giải mã và thông tin hiển thị trong cuộc trò chuyện | Họ có thể sao chép hoặc tiết lộ điều nhận được |
| Người kiểm soát thiết bị đầu cuối | Dữ liệu mà thiết bị hoặc phiên đó truy cập được | Mã hóa mạng không khắc phục thiết bị đầu cuối bị xâm nhập |
Bảng này là khung phân tích, không phải kết quả đo một ứng dụng cụ thể. Nhà cung cấp mạng không nhất thiết thấy các bản ghi cấp tài khoản giống ứng dụng nhắn tin, và nhà cung cấp ứng dụng không nhất thiết giữ lại mọi thứ họ xử lý.
Hướng dẫn quyền riêng tư của IAB trong RFC 6973 coi liên kết tương quan, nhận dạng và giảm thiểu dữ liệu là những vấn đề riêng tư riêng biệt. Mã định danh bền vững có thể liên kết hoạt động theo thời gian ngay cả khi nó không phải tên pháp lý. Kết hợp bản ghi từ nhiều nguồn có thể tiết lộ nhiều hơn một bản ghi đơn lẻ.
Ranh giới siêu dữ liệu được Livara ghi trong tài liệu
Tài liệu bảo mật Livara mô tả nội dung trực tiếp và nội dung nhóm riêng tư tương thích được mã hóa, trong khi định tuyến, thành viên, thời gian, kích thước bản mã, mã thông báo đẩy và hồ sơ bảo mật được xử lý riêng. Kênh công khai có nội dung máy chủ đọc được; không nên nhầm bản mã nhóm riêng tư với nội dung dạng rõ của kênh công khai.
Việc một thành phần mật mã xuất hiện trong tài liệu không chứng minh nó được dùng trong mọi luồng đang hoạt động. Chẳng hạn, thành phần LSS1 được ghi trong tài liệu không được mô tả là đã tích hợp vào quá trình gửi tin nhắn thông thường. Không được dựa vào nó để tuyên bố nhắn tin Livara thông thường che giấu siêu dữ liệu người gửi. Hãy tham khảo thông tin bảo mật và quyền riêng tư hiện hành để biết phạm vi thực tế cùng tuyên bố về lưu giữ.
Bài viết này chưa đo lường độc lập lưu lượng vận hành thực tế hoặc việc lưu giữ trên máy chủ của Livara. Các tuyên bố mã hóa nội dung của dịch vụ không chứng minh rằng nó thu thập ít siêu dữ liệu nhất trong các dịch vụ cạnh tranh.
Những cách thực tế để giảm phơi lộ
Mã hóa là một phần của bảo mật tài khoản. Người dùng cũng có thể giảm phơi lộ bằng một số bước cụ thể:
- Chỉ chia sẻ chi tiết hồ sơ và mã định danh tài khoản cần cho cuộc trò chuyện; dùng lại tên công khai hoặc ảnh đại diện có thể liên kết các tài khoản riêng biệt.
- Từ chối quyền truy cập danh bạ hoặc vị trí không cần thiết, đồng thời kiểm tra riêng việc xóa dữ liệu đã đồng bộ trước đó.
- Dùng thông tin xác thực tài khoản duy nhất khi phù hợp và bảo vệ quyền truy cập chính thiết bị.
- Cất cụm từ khôi phục ở nơi tách biệt với thiết bị đang đăng nhập.
- So sánh dấu vân tay khóa qua kênh đáng tin cậy khác sau khi danh tính thay đổi bất ngờ.
- Xem lại thành viên nhóm trước khi chia sẻ nội dung nhạy cảm.
- Luôn cập nhật trình duyệt, hệ điều hành và ứng dụng nhắn tin.
- Coi bản xem trước thông báo, ảnh chụp màn hình và nội dung đa phương tiện đã xuất là các bản sao nằm ngoài cuộc trò chuyện mã hóa.
Thực hành bảo mật thiết bị giải quyết phần khác của vấn đề so với giảm thiểu siêu dữ liệu. Nó không làm nhật ký nhà cung cấp biến mất. Tương tự, xóa một bong bóng tin nhắn hoặc chọn bộ hẹn giờ hết hạn không nhất thiết xóa bản ghi định tuyến, bản sao lưu hoặc bản sao của người tham gia khác.
Cách hữu ích để đọc tuyên bố riêng tư
Tuyên bố riêng tư đáng tin nêu dữ liệu được bảo vệ, cơ chế và giới hạn. “Nội dung tin nhắn trực tiếp được mã hóa trên thiết bị người tham gia” có thể kiểm chứng. “Hoàn toàn riêng tư” thì không.
Khi so sánh ứng dụng nhắn tin, hãy tách bốn câu hỏi: ai có thể đọc nội dung, dịch vụ xử lý siêu dữ liệu nào, khôi phục tài khoản hoạt động ra sao và điều gì xảy ra trên từng thiết bị. Khung đó giúp quyết định chính xác hơn chọn sản phẩm chỉ từ khẩu hiệu.
VPN có che giấu siêu dữ liệu nhắn tin không?
VPN thay đổi nhà vận hành mạng nào có thể quan sát các phần của kết nối; nó không tự động loại bỏ bản ghi tài khoản hoặc chuyển tin của ứng dụng nhắn tin. Đăng nhập cùng tài khoản vẫn xác định tài khoản đó với dịch vụ. Hãy đánh giá riêng nhà cung cấp VPN, thiết kế định tuyến tin nhắn và chính sách lưu giữ của ứng dụng thay vì coi việc đổi địa chỉ IP là ẩn danh hoàn toàn.
Hỏi về lưu giữ, không chỉ thu thập
Với mỗi trường dữ liệu liên quan, hãy hỏi nó được xử lý tạm thời, ghi vào nhật ký, giữ trong bản sao lưu hay chia sẻ với nhà cung cấp khác. Sau đó hỏi nó tồn tại bao lâu và việc xóa có ngoại lệ không. Nếu tài liệu không nói rõ, ghi thời hạn là chưa biết. “Cần cho vận hành” giải thích một mục đích có thể có; tự nó không xác định giới hạn lưu giữ.
