[智能应用]“泄密门”主角Signal引热议，开源加密聊天软件安全吗？[1P] [复制链接]

澎湃新闻记者 蒋立冬 AI创意
美国“泄密门”事件持续发酵中，其中被用来热议作战计划的Signal聊天软件也被推到风口浪尖，全球舆论惊讶如此机密的信息交换却在社交软件上进行。
据新华社报道，3月11日，美国《大西洋》月刊总编辑杰弗里·戈德堡在Signal中收到与美国总统国家安全事务助理华尔兹同名用户的入群邀请，被拉进了一个关于打击也门胡塞武装作战计划的涉密群聊，即“胡塞PC小组”。3月24日戈德堡刊文披露这一经历，随后引发美国政治系统“地震”，成为25日参议院年度全球威胁报告听证会的焦点，多位涉事高层面临“被辞职”局面。
这款端到端加密 （E2EE）的聊天软件，由一位名叫马克西·马林史派克（Moxie Marlinspike）的澳大利亚裔美国人于2015年创办。诞生之初，“棱镜门”爆料人爱德华·斯诺登就表示他一直在使用Signal。2021年初国会山骚乱后，另一即时通信社交平台Whatsapp更新其隐私政策，要求用户同意关联Whatsapp和Facebook的账号。随后在马斯克的一句“Use Signal（用Signal）”帖文呼吁下，该聊天软件一跃登顶美国下载榜第一。据英国广播公司（BBC）报道，Signal每月估计有4000万至7000万用户，但依旧远少于拥有数十亿用户的Whatsapp。
Signal之所以受到吹捧，得益于用户对数据隐私的敏感性。Signal是一个完全加密的开源应用程序，使用由Signal Messenger管理的中央服务器，用户只需手机号即可注册。除了通信者外，包括平台在内的第三方都无法阅读对话，不会留下任何数字痕迹。
其唯一储存的用户数据，是手机号、注册日期以及最后一次登录的信息。用户可以主持多达1000人的群聊，并把消息设置为一定时间后自动消失。戈德堡透露，“胡塞PC小组”的一些消息会在一周后消失，一些则是四周。
对于“阅后即焚”的功能，BBC称也可能违反有关记录保存的法律，除非使用该应用程序的人将他们的信息转发到官方政府账户。
Signal由美国非营利组织Signal Foundation所有，该基金会依靠捐赠而不是广告收入。2018年，马林史派克与Whatsapp联合创始人布莱恩·艾克顿（Brian Acton）一起宣布成立Signal Foundation。
《华盛顿邮报》指出，特朗普上台后对于联邦政府大刀阔斧的改革，引发联邦雇员对信息讨论敏感度的焦虑，为避开监控，许多雇员开始使用Signal与家人、媒体、同事等沟通，但没有使用该软件处理官方事务。美联社刊文称，几乎每个州的州、地方和联邦官员都有这类程序的账户，其中许多账户用政府手机号注册，部分账户绑定了个人号码。市场情报公司Sensor Tower估计，截至目前，该应用程序在美国的下载量比2024年同期增长了36%。
本次泄密事件前，据美联社报道，一位前国家安全官员透露，政府官员把Signal用于组织通信，例如安排敏感会议。但在拜登政府中，拥有白宫配发手机的官员曾被指示谨慎使用该软件。美国政府历来使用敏感隔离信息设施（Scif）来讨论国家安全问题。Scif是一个超安全的封闭区域，不允许携带个人电子设备进入。曾与美国政府合作的数据专家卡罗·罗布森（Caro Robson）说：“要想获取这类机密信息，必须待在一个特定的房间或建筑物内，并反复检查是否有窃 听器或任何监听设备。整个系统都经过了大规模加密，并使用政府自己的最高加密标准进行保护，特别是涉及到国防信息的时候。”
今年2月，美国哥伦比亚广播公司（CBS）报道称，美国国防部下属的美国国家安全局（NSA）发表一份题为“Signal漏洞”（Signal Vulnerability）的公告，“该软件是间谍和监视活动的常见目标，可拦截敏感信息，通过网络钓鱼诈骗访问加密对话，已经发现该软件的安全漏洞”。公告允许其员工使用Signal､Whatsapp等第三方消息应用程序进行某些“非机密问责/召回活动”，但不能传达更敏感的信息，也不能通过任何社交平台或互联网工具、应用程序发送任何危害性内容。
乌克兰计算机应急小组（CERT-UA）3月18日曾发布公告，透露本月以来，一些针对性的攻击正在使用被盗的Signal账户，向乌国防工业公司员工、乌武装部队成员发送恶意软件，包含存档消息的链接、伪装成会议报告。
CBS称，俄罗斯一再试图破坏Signal。3月13日，美国中东问题特使、参与俄乌和谈的威特科夫被拉入“胡塞PC小组”的群聊时，恰好抵达俄罗斯。目前尚不清楚他使用个人或白宫配发的手机参与了群聊，也不清楚他在俄罗斯时是否携带了该设备。
根据Signal的回应，“漏洞”与其核心技术无关，是针对该软件网络钓鱼诈骗的警告。3月25日，Signal总裁惠特克在X上发帖称，该软件的安全性“是私人通信的黄金标准”，但没有直接回应美高官误拉记者“入群”一事。但“泄密门”这场争议表明，不管使用任何加密软件，如果与错误的人分享机密数据，任何级别的安全或法律保护都无关紧要。

　　美国“泄密门”事件中Signal聊天软件的角色确实引起了广泛的关注和讨论。以下是对这一事件及其影响的一些点评：

　　1. Signal的安全性和隐私保护：Signal是一款端到端加密的开源聊天软件，以其强大的隐私保护功能而受到用户的青睐。它由美国非营利组织Signal Foundation所有，不依赖广告收入，而是依靠捐赠。Signal的加密技术确保了除了通信双方外，包括平台在内的第三方都无法阅读对话内容。

　　2. “泄密门”事件的影响：美国《大西洋》月刊总编辑杰弗里·戈德堡被误拉入一个涉及打击也门胡塞武装作战计划的涉密群聊，这一事件引发了美国政治系统的“地震”，多位涉事高层面临被辞职的局面。这一事件凸显了即使是高度安全的通信工具，如果使用不当，也可能导致严重的信息泄露。

　　3. Signal的用户增长：在隐私政策更新后，许多用户从WhatsApp转向Signal，使其下载量激增。Signal每月估计有4000万至7000万用户，虽然远少于WhatsApp，但其用户基数仍在增长。

　　4. 政府官员的使用：据报道，许多美国政府官员使用Signal进行通信，以避开监控。但在拜登政府中，拥有白宫配发手机的官员被指示谨慎使用该软件。美国政府历来使用敏感隔离信息设施（Scif）来讨论国家安全问题，不允许携带个人电子设备进入。

　　5. 安全漏洞和网络钓鱼：虽然Signal以其安全性而闻名，但任何软件都可能面临网络钓鱼诈骗的风险。美国国家安全局（NSA）曾发表公告称Signal是间谍和监视活动的常见目标，并发现了该软件的安全漏洞。Signal回应称，“漏洞”与其核心技术无关，是针对网络钓鱼诈骗的警告。

　　6. 对加密通信的反思：不管使用任何加密软件，如果与错误的人分享机密数据，任何级别的安全或法律保护都无关紧要。“泄密门”事件表明，即使是最安全的通信工具，也需要用户正确、谨慎地使用，以防止信息泄露。

　　总的来说，“泄密门”事件凸显了在使用高度安全的通信工具时，用户需要保持警惕和谨慎，以防止机密信息的泄露。同时，这也引发了对加密通信工具安全性和使用规范的讨论。

“泄密门”主角Signal引热议，开源加密聊天软件安全吗？
“泄密门”事件回顾
近期，美国“泄密门”事件持续发酵，Signal聊天软件作为该事件中被用于热议作战计划的工具，被推到了风口浪尖。据新华社报道，3月11日，美国《大西洋》月刊总编辑杰弗里·戈德堡在Signal中收到与美国总统国家安全事务助理华尔兹同名用户的入群邀请，被拉进了一个关于打击也门胡塞武装作战计划的涉密群聊“胡塞PC小组”。3月24日戈德堡刊文披露这一经历，随后引发美国政治系统“地震”，成为25日参议院年度全球威胁报告听证会的焦点，多位涉事高层面临“被辞职”局面。

Signal软件特点
安全性方面
端到端加密：Signal采用端到端加密保护通信的方式，这意味着除了发送者和接收者之外，任何人都无法访问消息内容，能在很大程度上保障信息传输过程中的安全，避免被第三方窃取信息内容。
开源特性：其开源特性使得技术爱好者能够审查其源代码。这在一定程度上提升了软件的透明度，若代码存在安全漏洞或隐患，能够被及时发现和修复，进一步增强了安全性。
功能和使用方面
操作便捷：Signal以其简单明了的操作界面获得了用户好评，并且支持多种设备和平台，操作起来相对便捷，用户可以方便地在不同设备上使用该软件进行交流。
匿名聊天：具备匿名聊天功能，这对于一些注重隐私的用户来说是一个重要的吸引点，能在一定程度上保护用户身份信息。
功能丰富：用户不仅可以进行安全的文本聊天，还可以享受高质量的语音和视频通话。
开源加密聊天软件的安全性分析
优势
透明度高：开源意味着软件的源代码是公开的，全球的开发者和安全专家都可以对其进行审查。如果软件存在安全漏洞，会更容易被发现和修复，从而降低了潜在的安全风险。就像Signal，其开源特性使得它在安全性上获得了一部分人的认可。
社区监督：开源软件通常有一个活跃的社区，开发者和用户可以共同参与软件的改进和维护。这种社区监督机制可以促使开发者及时响应安全问题，保证软件的安全性不断提升。
局限性
人为因素：即使软件本身的加密算法和代码是安全的，但使用软件的人可能会因为疏忽或被攻击而导致信息泄露。例如在此次美国“泄密门”事件中，并非是Signal软件本身存在安全漏洞导致信息泄露，而是有人将涉密信息在该软件上进行交流，最终引发了泄密事件。
代码被篡改风险：虽然开源代码可以被审查，但不法分子也可能获取源代码并进行篡改，植入恶意代码。如果用户不小心下载和使用了被篡改的版本，就会面临安全风险。
结论
开源加密聊天软件如Signal在设计和技术层面上具有一定的安全性保障，其端到端加密和开源审查机制在很大程度上有助于保护用户信息安全。然而，软件的安全性不仅仅取决于技术本身，还受到人为因素和外部环境的影响。此次“泄密门”事件并非是软件本身安全问题导致，而是使用不当造成的。所以，在使用开源加密聊天软件时，用户需要保持警惕，注意信息的保密和使用安全。