【開放文化觀點】TG 變 NG!三大漏洞讓 Telegram 安全性大打問號

Telegram 主打經過重度加密、免費,但從資安技術觀點來看,卻未預設啟用經過實證的點對點加密,甚至官方儲存使用者對話紀錄、對象、時間、群組成員、地點、IP 等資料,又有最高支援 20 萬人的社團,功能向社群媒體靠攏,卻未獲得等同 FB、Twitter 等社群的嚴格檢視。
評論
REUTERS/達志影像
評論

你或許沒有用過,但你絕對聽過身邊一兩個朋友鼓吹大家使用 Telegram。這個由俄國創業家 Durov 兄弟設計的通訊軟體,除了免費、私人訊息介面沒有惱人廣告之外,更大打安全牌,在官網宣稱使用者訊息經過「重度加密」(heavily encrypted)處理。

Telegram 的良好形象,使其成為香港抗爭的重要溝通管道。可惜的是,Telegram 絕非想像中安全,甚至在《Hacker Noon》的一篇文章中被批評為「刻意設計為不安全」的軟體。

資料一把抓,通訊紀錄、個人資訊通通存在 Telegram 伺服器

長期以來 Telegram 最為人詬病的問題在於:私人訊息預設非「點對點加密」(end-to-end encryption)。訊息開啟點對點加密後,只有對話的兩方擁有金鑰,看得到加密後訊息。如知名隱私通訊軟體 Signal,甚至是商業公司營運的競爭對手 LINE、WhatsApp 等,都開啟點對點加密;反而是 Telegram 要求使用者必須特別使用「私密對話」(Secret Chat),才會獲得這項功能,隱私安全大打折扣。

《Hacker Noon》的文章作者 Raphael Mimoun 批評,Telegram 的一般訊息不但沒有點對點加密,所有記錄還存在官方伺服器中。包含 Telegram 的員工或駭客,只要取得伺服器權限,就可以窺探你跟朋友下週要去哪裡吃飯,或是你傳給同事的公司機密。Mimoun 引用資安研究者 The Grugq 的話,「這是一個安全性的惡夢」。

不只通訊資料,Telegram 還會儲存你通訊的「後設資料」(metadata)。Mimoun 表示,後設資料包含了你談話的對象、時間、群組成員、他們的地點與 IP 位址等。以 Signal 為例,他們收集的只有使用者建立帳號的時間,還有通訊發生的時間,其他一無所知。

後設資料並非無傷大雅的資訊,Mimoun 引述前美國國安局長的話,表示「美國政府基於後設資料所提供的資訊就足以殺人」。

從通訊軟體變成社群媒體,Telegram 可能變成下一個可怕的社交巨人

雖然 Telegram 披著通訊軟體的皮,骨子裡卻與社群軟體相差無幾。《Hacker Noon》的文章指出,Telegram 支援 20 萬人規模的社團與頻道,提供管理員權限,讓成員之間互相交流,或是單方面傳播訊息。這些功能與臉書的社團、粉絲專頁極為相像,但政府與民間往往沒有將監管社群軟體如臉書、Twitter 上的言論真實性與煽動性的力道,同樣施加在披著通訊軟體外衣的 Telegram 身上。

Mimoun 說,香港反送中運動在 2019 年夏天時,許多成員紛紛轉移陣地到 Telegram 互動,卻因為軟體的漏洞,讓攻擊者可以收集所有群組成員的電話號碼,且不受他們的隱私設定影響。加上使用者均透過電話號碼註冊、登入 Telegram,以及中國政府操控香港電信網路的現狀,獨裁政府如果獲得了電話號碼,就可以登入使用者帳號,查看訊息。

另外,Telegram 不時行使審查權,刪除 ISIS 或白人極端主義者帳號一事雖較無爭議,但也顯示出 Telegram 的權力與責任,比我們想像來得大,卻缺乏第三方監督力量,未來若使用者遭遇資料外洩、言論審查時,自然難以自保。

廣告誇大、商業運作不清,Telegram 必須負起責任

綜觀以上紀錄,可以發現 Telegram 最大問題是廣告誇大、資訊不清。根據《Hacker Noon》,他們宣傳自己是「重度加密」的服務,卻不使用業界標準、經過千錘百鍊的加密機制,還硬要另創造一個被密碼學專家評為非標準的加密機制——MTProto,此加密機制並未經過全面且嚴謹的檢測,可信度仍待評估。同時,放棄預設點對點加密、種種資安漏洞,讓 Telegram 的信譽愈來愈低。

另外,Telegram 目前主要在反人權重鎮杜拜運作,又差點進行加密貨幣募資計劃,募集逾 17 億美金與大量現金,遭美國法院裁定不符財務規範而禁止,整起事件讓人更加難以信任 Telegram 的經營信譽。反觀競爭對手,以 LINE 為例,雖然同樣有安全漏洞系統不順、廣告惱人、貼圖昂貴、對店家高額收費惡名昭彰,但至少預設開啟點對點加密,且商業模式明確,總部設在民主、自由的東京,展現的誠意明顯高於 Telegram。

未來若 Telegram 要贏回消費者的信心,應該以業界標準預設開啟加密,避免儲存使用者後設資料,建立審查監督機制與永續的營運模式,讓 Telegram 重返昔日光榮。

責任編輯:Mia
核稿編輯:MindyLi

延伸閱讀:



疫情升溫!台灣各行各業加速數位化,機動應變與全民齊心抗疫

評論
Photo Credit: 新聞資料
評論

國內本土確診病例接連創下新高,全台防疫警戒更進入第三級,自疫情蔓延後,台灣面臨到前所未有的防疫挑戰。回想 2020 年疫情剛爆發時,便引起不少民眾恐慌,各行各業紛紛提出應對措施,避免人群接觸的同時,也帶動了數位轉型興起,而台灣各行業又如何在此次疫情升溫之際,加速線上化及機動應對,成為民眾在非常時期的防疫助力?

疫情猛爆嚇壞人!線上化、數位化服務維持民眾日常

身為防疫模範生的台灣,第一次進入前所未有的防疫警戒階段,去年在國外疫情險峻之時,許多企業和商家紛紛提出了防疫措施,如全球電商巨擘 Amazon 對員工制定嚴格的社交距離規範,並利用 AI 技術監督每個員工間的距離;在消費者端也減少原訂檔期的行銷操作,確保消費者能夠專注於購買民生用品、維持生活需求。

至於國內業者,為了鼓勵民眾待在家,連鎖餐飲業者貳樓餐廳也推出了網路預訂外帶自取五折的優惠;銀行業如華南銀行也推出「宅金融」服務,包括線上貸款、線上智能理財,減少民眾出門的風險。針對生活必需品,電商提供的零接觸服務更成為防疫的一大助力,但當疫情來得又快又急,如何應對才能及時提供民眾所需、成為民眾在疫情間的後盾?

疫情攪亂計劃,品牌滾動式調整與民眾共同防疫

突如其來的疫情對許多品牌造成影響,在電商上的滾動式調整更是頻繁,往年 6 月是電商大檔,中國大陸的 618 購物節正如火如荼地開打,大陸電商龍頭如京東、阿里巴巴、小米線上平台自 5 月 24 日起便摩拳擦掌進行各種狂歡行銷,台灣如蝦皮、MOMO、松果購物等等也持續 618 大檔。而台灣目前處在疫情中,也還是有觀察到許多品牌化危機為轉機,調整了預定的檔期,如 PChome 24h購物機動性將向來最重要的品牌週年慶,直接轉型為「生日不過,疫情快過」,同時致敬這段時間最辛苦的第一線醫護人員、消防、警察及物流人員等,將生日祝福轉為一起祈福,堅持全台配送,不分區不間斷,與大家站在一起守護台灣,祈禱疫情盡快過去,台灣能夠恢復日常的生活。在這個時刻,品牌最重視同島一命,堅持與大家一起度過難關。

目前正值618購物節之電商大檔期。/Photo Credit: 新聞資料
PChome 24h購物因應疫情,將籌備已久的生日週年慶轉型,左圖為品牌原定活動主題已經陳設在阪急看板,右圖為滾動調整後,與民眾一起祈禱疫情快過。/Photo Credit: 新聞資料

此外,在社群平台上也可以看到大家紛紛利用自媒體的流量,即時同步政府訊息,分享疫情指揮中心最新的防疫措施,如立法委員蔣萬安、江啟臣、孫大千、洪孟楷等人,除了盡政治人物職責在臉書提供民眾第一手疫情政策措施及防疫相關資訊外,也發揮社群影響力進行串聯,呼籲大家在家別亂跑。電商平台也在臉書社群提供民眾最新的疫情發展,並針對疫區民眾主動發送安心簡訊,並以 email 通知到貨時間,讓民眾知道商品供應無虞,不必恐慌搶購物資。

透過社群影響力,可有效提醒民眾居家防疫及快速傳遞資訊。/Photo Credit: 新聞資料

跟隨政府動態提供「階段式購物」,買得到之餘也要安全送達

隨著政府公告,因應疫情不斷升級,許多行業也進行了階段式的調整。如多家餐廳先推出外帶折扣或在戶外推出外帶專區,第二階段則是推出便當或套餐組合搶攻外帶市場,再來則是加入外送行列,甚至是推出宅配料理包,讓民眾不出門也能享受美味,配合消費者需求提供階段式服務。

電商也洞察消費者需求,優先提供民眾防護用品,如口罩、酒精等清潔消毒用品;第二階段則是生活必需品,如泡麵、衛生紙、即食料理等;第三階段是當居家辦公、分流措施啟動後所需要的辦公用品及筆電等,尤其是開始停課之後,小孩居家學習也不能中斷,因此線上學習的用品也不能少;而隨著休閒育樂場所的關閉,第四階段推出運動健身用品鼓勵大家在家運動;第五階段則是因應部分地區開始停班停課,也推出在家娛樂用品,解決民眾因長期居家而產生的憂鬱感。

許多餐廳因應疫情,進行階段式調整。/Photo Credit: 新聞資料
電商也規劃階段式購物以滿足消費者所需。/Photo Credit: 新聞資料

疫情期間為遵守防疫政策,民眾開始減少外出,生活物資採購需求迅速轉為線上購買,大量民生用品採購紛紛改用電商及美食平台一次滿足,外送平台也因此積極找尋更多合作夥伴,如台鐵便當、IKEA 等。過往只有實體販賣的品牌都開始與外送平台合作,讓消費者一站購足;甚至連計程車業台灣大車隊也開始轉型投入餐飲外送行列;許多餐飲大品牌也加速數位化,如王品、饗食天堂;百貨也因禁止內用改為外帶外送,如全台遠百在一樓戶外設立「速立便」供消費者外帶及取貨,及線上「Stay Home」商品專區,業績也因此有顯著成長。而電商及外送平台作為防疫時期生活物資的後盾,也採取對應安全應變措施,像 PChome 24h購物除落實無接觸防疫政策外,也為員工增加購買「防疫保險」,費用由公司全額負擔,保障員工也保障消費者安全;無獨有偶,美食外送平台也呼籲消費者使用刷卡取代付現,為的都是確保在至關重要的最後一哩路上,給予消費者全方位、安全無虞的防疫保障。

外送、物流業者送貨不上樓,最後一哩路保障員工及消費者的安全。/Photo Credit: 新聞資料

疫情加速全台數位化轉型 齊心度過艱難時刻! 

因應全台停課,教育部主動開啟許多線上資源,提供數位雲端化的線上課程及線上作業,讓學生停課不停學,在家也能線上學習。一直以來推行在線遊戲學習平台的 PaGameO 也與慈濟合作推行防疫線上學習,利用線上電競遊戲的概念進行環保教育,打造環境教育與防疫意識,趁著疫情推廣數位化學習。許多健身房及私人教練也推出線上訓練課程,鼓勵在家的民眾更多運動的選擇,幫助提升免疫力,還能講降低情緒低落感。

攤開確診者足跡一看,傳統市場、生鮮超市都成為群聚熱點,擁有生鮮供貨的電商平台在疫情期間成為至關重要的防疫主力,透過線上購物可以減少人際接觸,安心防疫準備日常生活物資。實體超市也開始與外送平台合作推出生鮮專區,降低群聚採買風險。另一方面,各縣市鄉鎮的農會也在此時推出蔬菜箱、漁產箱、肉品箱等生鮮宅配,讓大家可以安心在家逛市場,透過線上網購滿足,台灣規模最大的農產運銷公司北農也推出各種蔬菜箱,滿足不同需求的家庭和消費者。

業者推出蔬菜箱,透過線上訂購滿足民眾需求。圖片來源:/Photo Credit:新聞資料

去年因為台灣防疫有成,大家都在擔心是否錯過了全球數位化轉型的浪潮,但是在這次疫情升溫的險峻時刻,我們也看到台灣在數位化、線上化帶來很大的改變,人民能夠維持日常生活,各行各業都扮演著至關重要的角色,相信在需要更多正能量的此時,我們能夠持續給予彼此協助、堅持下去。

本文章內容由「戰國策傳播集團」提供,經關鍵評論網媒體集團廣編企劃編審。