一張表看懂！FB、LINE等五大通訊軟體，誰最容易被駭？

全球使用用戶很多的WhatsApp在技術上安全性其實並不差，預設提供點對點 ... 但站在隱私的角度來看，這就是一個缺點，雲端伺服器變成一個需要被信任的 ... 廣告分享文章分享至FB分享至LINE複製連結首頁AI科技科技與惡一張表看懂！FB、LINE等五大通訊軟體，誰最容易被駭？ 隨資安議題討論度上升，越來越多人更重視通訊軟體的安全性。

圖片來源：Shutterstock2020-07-09文・我們與駭的距離30471 香港國安法在7月1日正式生效，我陸續收到一些朋友的問題，想了解用什麼通訊軟體比較安全、可降低被監控的風險。

於是，我決定來告訴大家如何判斷一個通訊軟體是否安全，並比較了五款台灣最常用的通訊軟體：FacebookMessenger、LINE、WhatsApp、Telegram跟Signal。

怎麼看一個通訊軟體安不安全？ 我評估軟體的資訊安全時，會同時考慮資料安全性跟使用者隱私。

我把較常被考量的因素分為兩大類：技術層面跟組織政策層面。

技術層面 技術層面的考量點包含： -是否支持點對點加密？點對點加密的演算法？ -預設是否開啟點對點加密？ -程式碼是否開源？ -伺服器是否會備份訊息資料？ -是否有身份認證的機制？ -是否有自動通知金鑰變更機制？ 過去通訊軟體為提供訊息備份的功能，會在伺服器端解密使用者的訊息儲存。

這樣的壞處是，通訊軟體能看到訊息的內容，使用者比較沒有隱私；將訊息存放在雲端，也讓雲端伺服器成為駭客的目標；握有解密金鑰的通訊軟體公司，也可能被政府要求交出金鑰。

隨著大眾的安全與隱私意識上漲，「點對點加密」就成為了一種更受歡迎的加密方式。

這是一種只有收發訊息兩端可加密與解密訊息的溝通方式。

優點是，解密後的訊息只會保存在用戶端，安全性跟隱私性較高，所以目前很多通訊軟體都主打點對點加密通訊。

不過，點對點加密並非無敵。

即使都是點對點加密，使用哪一種加密機制也會影響安全性，並不是一樣安全。

而且，點對點加密還是有遭受中間人攻擊的危險，這也是為什麼點對點加密應搭配身份認證機制跟自動通知金鑰變更的功能，才更加安全。

廣告 另外，有一些通訊軟體雖然有這個功能，但預設卻沒有開啟，讓很多使用者在不知情下使用了沒有使用點對點加密的通訊方式，比如Telegram跟FacebookMessenger。

此外，當通訊軟體強調自己有許多安全保護機制時，如果沒有把程式碼開源（公開），所有保障安全的說法都無法受到大眾檢驗。

因此，相對於不公開原始碼的通訊軟體來說，開源的通訊軟體安全上比較有保障。

組織與政策層面 資訊安全的問題往往不只牽扯到技術面，也很常牽扯到組織政策與政治面的問題。

檢視資料安全性跟隱私性的時候，通常也會評估以下的因素： -是否為營利組織？組織的資金及獲利模式？ -公司是否配合國家政府或執法單位提供資料？ -有可能會提供給政府的資料？ 注重資訊安全的使用者需要養成一種習慣：在把資料交出去時，先想想能不能信任那個公司／組織。

營利組織不會免費提供服務，當服務免費的時候，通常使用者付出的就是他們的資料。

很多服務的盈利模式，是利用分析使用者的數據去推銷廣告或是做其他用途，使用者資訊就是直接影響獲利的資源。

在這樣的狀況下，使用這種服務通常隱私性比較低。

另外，對於主要需求是反政府監控的使用者來說，通訊軟體服務商會不會配合政府要求交出使用者資料，是一個重要的考量點。

通常服務提供商必須要符合當地法律，才可以在那個地區提供服務；所以除非直接放棄業務（如Google和Facebook退出中國市場），否則通常都會配合法院要求。

廣告 在這樣的狀況下，了解這些公司在配合調查時會提供什麼樣的資料，也是一件重要的事情。

做資安考量的時候，就是要不斷作最壞的打算；假設資料真的被提供出去，監控者可以藉此掌控多少訊息也是一個關鍵的考量點。

（延伸閱讀｜數位獨裁降臨！《國安法》生效港人急刪文　資安學者：做過這件事就來不及了） 比較常用通訊軟體的安全性 利用以上列出的考量因素，我花了很多時間比對台灣常用的幾家通訊軟體，包含FacebookMessenger、LINE、WhatsApp、Telegram跟Signal，再依安全度進行排名。

這個排名綜合了以上所有提到的因素，依照個人的需求不同或許有不同的結論，所以我也把比較表放在下方。

5種通訊軟體比較。

安全度：紅（低）、橘（中）、綠（高） Note：WeChat是已知受政府監控的軟體，在此不列入比較。

以下依照安全程度低至高的排名做說明： 第5名：FacebookMessenger FacebookMessenger安全程度較低。

圖片來源：Messenger 其實FacebookMessenger一直都沒有主打自己的安全功能，拿它來比較或許不太公平。

不過台灣很多使用者、而且也有人問，就一起放進來了。

FacebookMessenger之所以落到最後一名，原因如下： -支援點對點加密（悄悄話訊息），但預設不開啟 -群組對話不支援點對點加密 -備份使用者非悄悄話對話訊息 -程式碼不開源 -無自動通知金鑰更改的功能 -由營利組織營運，且公司有洩漏使用者資料的黑歷史(劍橋事件) -會配合美國法院傳票調查交出以下訊息：名稱、開始使用的日期、最後查看訊息的時間、IP、email地址。

美國外的法院調查也有機會配合但沒有說明會交出那種資料。

（延伸閱讀｜當你的個資變成他的商機⋯⋯Facebook、Google、Amazon、Apple，誰管得住科技四巨頭？）廣告 第4名：LINE LINE主要為亞洲使用者，較少對於加密機制的討論。

圖片來源：LINE LINE使用了LetterSealing的獨創點對點加密機制，但並沒有詳細公開這個加密機制的細節。

目前分析此機制的論文沒有發現特別弱點，不過可能因為主要使用者在亞洲，也較少對於此加密機制的討論。

LINE使用者要注意的是，當配合法院要求調查時，他提供的資訊相較於其他通訊軟體是最多的。

-語音跟文字都支援點對點加密 -群組50人以上不支援點對點加密 -程式碼非開源 -無自動檢查金鑰變更通知 -接受法院調查時提供以下資料：註冊信息（個人資料圖像、顯示名稱、電子郵件地址、電話號碼、LINEID、註冊日期等）、指定用戶的通信數據（消息發送日期，發送者的IP地址）、沒有加密的文字聊天訊息（預設是加密，所以如果被關掉了文字訊息會被保存）。

第3名：Telegram 許多LINE使用者轉往Telegram，然而安全程度並無太大差異。

圖片來源：Telegram 最近台灣很多使用者認為LINE不安全，轉向使用Telegram。

但比較發現，其實以技術層面來看，安全程度並沒有好很多。

Telegram的問題如下： -支援點對點加密，但預設不開啟 -群組不支援點對點加密 -使用的點對點MTProto加密機制雖然舉辦破解比賽多年無人破解，但被很多密碼學學者跟資安研究員指出不夠安全（我不是密碼學家無法驗證，但其他通訊軟體沒有被這麼多人質疑所以這個列入疑慮） -會備份非點對點加密的訊息 -程式碼僅客戶端開源，伺服器端沒有開源 -若有法院通知與恐怖份子行為有關會配合交出IP位址跟電話號碼（公開時會通知在一個群組，目前聲稱沒有提供過任何資料）（延伸閱讀｜Telegram將取代LINE？為何蔡英文、韓國瑜、慈濟志工、香港抗爭青年都愛用？）廣告 第2名：WhatsApp WhatsApp於全球廣受歡迎，安全性上表現較佳。

圖片來源：WhatsApp 全球使用用戶很多的WhatsApp在技術上安全性其實並不差，預設提供點對點加密，並且使用的是跟Signal一樣的SignalProtocal點對點加密機制。

另外服務強調訊息並不會被備份，而且是少數通訊軟替中能做金鑰變更通知的（此功能需要手動開啟）。

不過WhatsApp也存在以下問題： -程式碼非開源 -由營利組織營運（Facebook），且公司有洩漏使用者資料的黑歷史（劍橋事件） -群組無法確認使用者金鑰 -會配合美國法院傳票調查交出以下訊息：名稱、開始使用的日期、最後查看訊息的時間、IP、email地址。

美國外的法院調查也有機會配合但沒有說明會交出那種資料。

第1名：Signal Signal無論在技術面或組織政策面，皆相對安全。

圖片來源：Signal Signal因為被吹哨者史諾登（EdwardSnowden）使用，而吸引了很多使用者。

經過比較後發現，Signal並非浪得虛名，無論在技術面還是組織政策面，都是相對較安全的通訊軟體，而且Signal由非營利組織營運，大家也不用擔心這是一篇業配。

程式碼客戶端跟伺服器端完全開源，完全不備份使用者訊息，全部通訊（不只文字，語音也受到加密）預設皆為點對點加密，並且使用了備受多國密碼學研究員檢驗的SignalProtocol，支援身份驗證及自動金要變更通知。

不過，Signal也會配合法院傳票提供資訊，但會在提供資料時公開在網頁上。

Signal表示，因為根本沒有存使用者的訊息等等資料，唯一能提供的就是用戶註冊日期跟最後使用App的時間，連IP地址都沒有提供給法院，提供的資料是比較的軟體中最少的。

（延伸閱讀｜間諜工程師的懺悔：為政府做保存人民生平紀錄的系統，是悲劇性錯誤）廣告 建議搭配VPN（VirtualPrivateNetwork）使用 由上面的分析可以知道，很多通訊軟體可能配合法院傳票通知，提供使用者的IP訊息；若有需要降低暴露真實通訊IP的需求，建議搭配VPN使用。

除此之外，在網路架構受到監管的地區，也可以降低被監控的風險。

至於如何使用VPN網路上有很多教學，這邊就不贅述，大家有問題也可以留言或私訊問我。

資訊保護及反監控不能只靠通訊軟體 最後，我想要強調一個很重要的觀念：再安全的通訊軟體，保護的都是訊息在傳輸過程中的安全，無法保護訊息產生過程跟收到訊息後的安全。

簡單來說就是，假設你的訊息在傳送過程中是安全的；但你的手機或接收訊息的裝置已經被攻擊滲透，那用了再安全的通訊軟體都沒用。

因此，平常建立良好的使用習慣是很重要的。

無論是手機還是電腦裝置，應該都要裝上防毒軟體。

如果需要使用一些高風險的APP（例如需要用Wechat跟客戶溝通），建議分開安裝在不同的裝置上。

瀏覽網站跟收發簡訊及Email時，都要小心不知名的網址與附件。

（延伸閱讀｜這七種iPhoneAPP最侵犯隱私，快刪！（或是做這兩件事補救）） 【補充知識】 什麼是點對點加密（end-to-endencryption）？ 這個影片解釋得非常清楚： 在解釋什麼是點對點前，必須先解釋什麼「不是」點對點。

我們知道訊息要能利用通訊軟體順利發送，中間需要一些透過通訊軟體的雲端伺服器（就像郵差），幫我們傳遞訊息；很多線上服務為了提供功能，必須保存使用者訊息。

比如，當使用者換新手機時，要用手機登入帳戶看到之前用舊手機傳的訊息，就必須被保存在通訊軟體的雲端伺服器；如果雲端伺服器無法知道訊息內容，就無法提供這個服務。

所以，為了讓伺服器能保存訊息，很多服務是使用客戶端到伺服器端加密（clienttoserverencryption）的方式進行通訊；也就是說，伺服器必須有可以解密訊息的鑰匙，訊息加密後傳送到雲端伺服器被解密，之後伺服器端再加密一次傳到收訊端。

這種雲端伺服器可以解密又加密的通訊方式，就不是點對點加密。

用這種方式傳遞訊息，讓伺服器端可以解密訊息看到內容（也就是郵差會看到你傳了什麼訊息），也有能力保存。

從一個角度來看，這是一種功能（feature），能讓使用者輕鬆地在不同裝置存取訊息。

但站在隱私的角度來看，這就是一個缺點，雲端伺服器變成一個需要被信任的對象跟可能被攻擊的中心點；駭客只要利用各種工法取得在雲端伺服器的資料，就能得到使用者的對話內容跟其他資料。

隨著使用者越來越注重隱私，為了消除這個弱點，點對點加密就成了更受歡迎的一種通訊加密方式；利用這種加密方式，只有訊息發送方跟接受方可以知道訊息真實內容。

以技術上來說，就表示只有收發兩方擁有可以解密的鑰匙，加密跟解密的行為也只有收發兩端會進行。

看到這裡，你應該就能明白為什麼很多通訊軟體在轉換裝置的時候，需要使用者手動備份對話紀錄（比如LINE），這就是因為伺服器端並沒有辦法解密你的對話紀錄，也沒有保存。

這個功能跟隱私性是互斥的，為了要讓用戶保有隱私，就必須捨棄這個功能囉！（延伸閱讀｜為什麼上傳照片給變臉App的後果，比帳密外洩更嚴重？） 什麼是身份認證機制？ 點對點的加密機制，是怎麼讓訊息在被伺服器傳送的時候也不會被解密呢？這需要用到密碼學上的非對稱式加密演算法（AsymmetricEncryption）。

上面這個影片解釋得蠻清楚的。

我喜歡用一個例子解釋，大家可以想像：小時候玩的交換日記，為了不被別人偷看，我都會去書局買上面有鎖跟鑰匙的日記本。

這種日記本通常會附兩把鑰匙，我可以把其中一把交給跟我玩交換日記的朋友，這樣他收到我的日記時，就可以用那把鑰匙打開。

假設，我沒辦法當面把鑰匙交給我朋友、而要請人幫忙轉交，就會有鑰匙被朋友拿去複製一份的風險。

這時候，我就可以使用相反的方法：把鎖頭拿去請朋友交換，收到朋友的鎖頭後，就用我的鎖頭鎖起來，再請朋友拿給我，這樣朋友從頭到尾都沒拿到鑰匙、也不能解鎖了。

這樣就是一種非對稱式加密。

但這樣做還有一個漏洞：假設朋友一開始在幫我們交換鎖頭的時候，自己去買了兩個鎖頭掉包，讓我跟朋友以為是對方的鎖頭而用它來鎖住筆記本，之後朋友幫我們傳日記的時候還是可以打開。

有什麼方法可以知道這個鎖頭是不是被調包了呢？這就是接下來要說的「身份認證機制」。

目前最安全的身份認證方法，就是在通訊前當面或用其他管道，雙方確認這把鑰匙是否屬於對方。

這把鑰匙通常會在通訊軟體裡以一個代碼顯示，在不同通訊軟體又有不同的名稱，比如fingerprint、securitynumber等等。

確認鑰匙的時候通常會比對這個代碼，比如下方就是Signal顯示的身份代碼。

（延伸閱讀｜上街頭抗爭前，網路公民須先學會的三種個資保護技巧） 在Signal中顯示的身份號碼。

圖片來源：Signal 這個身份代碼是隨裝置改變，如果換了裝置或重新安裝，代碼都會改變；如果使用者沒有變更裝置卻改變了代碼，就可能是對方的帳號被盜取。

自動通知金鑰（代碼）變更 你或許會想到，就算是當面先確認鑰匙，有人會這麼勤勞，每次傳訊息都檢查一下鑰匙是否一樣嗎？ 相信90％以上的人都不會這麼勤勞。

這時候，自動通知的功能就很有用了。

較安全的通訊軟體一發現訊息代碼長得跟一開始不一樣，就馬上發出變更的通知，這樣能多一層安全保障。

此為Signal中自動通知的訊息。

圖片來源：Signal （本文獲作者授權） #app #Facebook #Line #messenger #SIGNAL #Telegram #WHATSAPP #智慧生活 #網路安全 #資安 #通訊軟體 未來城市網路精選轉載網路意見領袖好文，看見智慧城市與政府治理的多元觀點其他人也在看科技與惡當紅視訊軟體Zoom曾自啟鏡頭、開發團隊在中國　中研院學者：使用前留意7件事保資安科技與惡劉宏恩專欄｜手機App資安黑洞！讓蝦皮和YouTube讀你的簡訊和通訊錄，你也按下「同意」了嗎？科技與惡資安懶人包｜什麼不用能華為手機？翟神、駭客、張善政、專家想得都不一樣你可能有興趣科技與惡劉宏恩專欄｜手機App資安黑洞！讓蝦皮和YouTube讀你的簡訊和通訊錄，你也按下「同意」了嗎？科技與惡資安懶人包｜什麼不用能華為手機？翟神、駭客、張善政、專家想得都不一樣科技與惡上街頭抗爭前，網路公民須先學會的三種個資保護技巧科技與惡抖音主管：「連習近平也要不到我們的用戶數據！」為何美國和印度都不信？科技與惡早9晚9、簡體字小抄⋯⋯資安公司3證據　揭中國駭客攻擊7家台灣半導體廠科技與惡Zoom資安政治學（下）｜微軟、斯科都有侵犯隱私前科——但你還有這種軟體可用科技與惡Zoom資安政治學（上）｜政府與學者危機感太低，甚至成廠商代言人影音推薦【2022．SDGs國際論壇#2】中央、地方、產業　永續利害關係人如何協作？｜永續議題分析與利害關係人協作已成功複製連結廣告您的帳號尚未驗證為提供您更好的服務品質，請先完成E-mail驗證流程 下次再驗證 發送驗證信 已發送驗證信 天下雜誌群已發送驗證信至您的信箱：請於2小時內點擊信件內的驗證連結，即可繼續使用。

※若您未在信箱中找到驗證信，請檢查您的垃圾郵件。

好