Telegram เปิดแคมเปญโจมตีช่องโหว่ด้านความปลอดภัยของ Signal อย่างดุเดือด

 (twitter.com/matthew_d_green)
1 คะแนน โดย GN⁺ 2024-05-14 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Telegram ถูกวิจารณ์ว่าอาศัยความช่วยเหลือจาก Elon Musk ในการทำให้ Signal ถูกมองว่าเป็นเมสเซนเจอร์ที่ไม่ปลอดภัย และพยายามดึงนักกิจกรรมให้ย้ายไปใช้ Telegram ที่การเข้ารหัสเริ่มต้นอ่อนกว่า
  • Signal Protocol เป็นเทคโนโลยีเข้ารหัสแบบเปิดที่ใช้ใน Signal และ WhatsApp เป็นต้น โดยการเปิดเป็นโอเพนซอร์สและการตรวจสอบจากผู้เชี่ยวชาญเป็นแกนหลักของความเชื่อมั่นด้านความปลอดภัย
  • หากผู้ใช้ไม่ได้เริ่ม “Secret Chat” เอง บทสนทนาบน Telegram จะไม่ถูก เข้ารหัสแบบปลายทางถึงปลายทาง ทำให้ข้อมูลอาจถูกมองเห็นได้บนเซิร์ฟเวอร์
  • Pavel Durov ระบุว่า Telegram ปลอดภัยกว่า Signal โดยอ้างอิงจากบิลด์ที่ทำซ้ำได้ของ Telegram แต่การตรวจสอบบน iOS ต้องใช้ iPhone รุ่นเก่าที่เจลเบรกแล้ว และยังไม่สามารถตรวจสอบทั้งแอปได้
  • ผู้ใช้ Telegram ต้องตัดสินใจเองเรื่อง ความต้องการด้านการรักษาความลับและความเสี่ยงด้านเขตอำนาจศาล โดยตั้งอยู่บนสมมติฐานว่าแม้แต่ผู้เชี่ยวชาญก็ยังรับประกันความลับของการสื่อสารได้ยาก

ความแตกต่างของโครงสร้างการเข้ารหัสระหว่าง Signal และ Telegram

  • Signal Protocol เป็นรากฐานด้านการเข้ารหัสของ Signal และยังถูกใช้ใน WhatsApp รวมถึงเมสเซนเจอร์หลายราย
    • เปิดเผยเป็นโอเพนซอร์สและผ่านการตรวจสอบอย่างเข้มข้นจากนักวิทยาการรหัสลับ
    • การตรวจสอบแบบเปิดทำหน้าที่เป็นเกณฑ์ความน่าเชื่อถือที่สำคัญในวิทยาการรหัสลับ
  • โค้ดไคลเอนต์ของ Signal ก็เป็นโอเพนซอร์สเช่นกัน และสามารถตรวจสอบโค้ดกับไลบรารีการเข้ารหัสได้ในรีโพซิทอรี Signal-iOS
    • โอเพนซอร์สไม่ได้ทำให้ความเป็นไปได้ของบั๊กหมดไป แต่ช่วยให้ผู้เชี่ยวชาญจำนวนมากสามารถตรวจดูโค้ดได้
  • โดยค่าเริ่มต้น Telegram ไม่ได้เข้ารหัสบทสนทนาแบบปลายทางถึงปลายทาง
    • ผู้ใช้ต้องเริ่ม “Secret Chat” ที่เข้ารหัสด้วยตนเอง
    • หากไม่ใช่ Secret Chat ข้อมูลอาจถูกมองเห็นได้บนเซิร์ฟเวอร์ของ Telegram
    • มีความกังวลว่า ด้วยลักษณะของผู้ใช้ Telegram เซิร์ฟเวอร์อาจกลายเป็นเป้าหมายความสนใจของหน่วยข่าวกรอง

ข้อถกเถียงเรื่องบิลด์ที่ทำซ้ำได้และข้อจำกัดในการตรวจสอบ

  • Pavel Durov อ้างว่า Telegram ปลอดภัยกว่า Signal โดยระบุว่า Signal ไม่มี บิลด์ที่ทำซ้ำได้ ขณะที่ Telegram มี
  • บิลด์ที่ทำซ้ำได้คือวิธีตรวจสอบว่าโค้ดซอร์สที่เปิดเผยถูกใช้จริงในการสร้างแอปที่ดาวน์โหลดจาก App Store หรือไม่
    • ผู้ใช้สามารถบิลด์โค้ดด้วยตนเองแล้วเปรียบเทียบกับแอปที่ดาวน์โหลดมาได้
  • Signal มีบิลด์ที่ทำซ้ำได้บน Android และในสภาพแวดล้อม Android สามารถตรวจสอบได้ด้วยกระบวนการที่ค่อนข้างเรียบง่าย
    • บน iOS ทำได้ยากมากด้วยเหตุผลที่เกี่ยวข้องกับ Apple และการเข้ารหัสของแอปเป็นอุปสรรคหลัก
    • มีข้อสังเกตว่า Apple ควรแก้ปัญหานี้
  • Telegram พยายามใช้แนวทางอ้อมสำหรับบิลด์ที่ทำซ้ำได้บน iOS แต่ คำแนะนำบิลด์ที่ทำซ้ำได้บน iOS ของ Telegram มีข้อจำกัดมาก
    • ต้องใช้ iPhone รุ่นเก่าที่เจลเบรกแล้ว
    • ในขั้นตอนสุดท้ายก็ยังตรวจสอบทั้งแอปไม่ได้ และไฟล์บางส่วนยังคงอยู่ในสถานะถูกเข้ารหัส

ความเสี่ยงด้านความปลอดภัยที่ผู้ใช้ต้องยอมรับจริง

  • ประเด็นใหญ่ที่สุดในข้อถกเถียงด้านความปลอดภัยของ Telegram คือการเลือกที่จะไม่ให้ การเข้ารหัสแบบปลายทางถึงปลายทางโดยค่าเริ่มต้น แก่ผู้ใช้ส่วนใหญ่
    • มองกันว่าเมื่อใช้ Telegram แม้แต่ผู้เชี่ยวชาญก็ยังรับประกันความลับของการสื่อสารได้ยาก
    • มีการแสดงจุดยืนว่าแม้ในโหมด Secret Chat ก็ไม่เชื่อถือเรื่องการรักษาความลับ
    • ผู้ใช้ต้องประเมินเองว่าความลับสำคัญเพียงใด เซิร์ฟเวอร์ของ Telegram ดำเนินงานอยู่ที่ไหน และทำงานภายใต้เขตอำนาจของรัฐบาลใด

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-05-14
ความคิดเห็นบน Hacker News

  • Du Rove บอกว่า “ข้อความ Signal ถูกนำไปใช้เป็นผลเสียต่อคู่กรณีในศาลหรือสื่อของสหรัฐฯ” แต่ถ้าใครสักคนมีโทรศัพท์อยู่ในมือ Telegram ก็มีปัญหาแบบเดียวกัน
    เท่าที่ทราบ Signal สามารถล็อกไคลเอนต์ได้ และฐานข้อมูลก็ถูกเข้ารหัสไว้ด้วย
    อีกส่วนที่ Du Rove ไม่ได้พูดถึงคือ Signal เคยสู้กับศาลสหรัฐฯ แล้วชนะ: เมื่อถูกหมายเรียกให้ส่งข้อมูลผู้ใช้ทั้งหมด สิ่งที่ Signal ให้ไปมีแค่ Unix timestamp ของเวลาสร้างบัญชี และวันที่เชื่อมต่อกับบริการ Signal ครั้งล่าสุดเท่านั้น
    เรื่องนั้นเกิดขึ้นช่วงปลายปี 2021 และผมสงสัยจริง ๆ ว่า Telegram ให้ข้อมูลอะไรกับ FSB ไปบ้าง
    https://signal.org/bigbrother/cd-california-grand-jury/

    • ถ้าจำไม่ผิด Telegram ย้ายทีมพัฒนาหลักไป Dubai เพราะ FSB เรียกร้องข้อมูล ดังนั้นข้อกังวลนั้นอาจถือว่ามีน้ำหนักไม่มากนัก
      ปัญหาใหญ่กว่าคือ Telegram ใช้การตั้งค่าการเข้ารหัสที่ไม่ปลอดภัยเป็นค่าเริ่มต้น Signal เปิดการเข้ารหัสเป็นค่าเริ่มต้น แต่ Telegram ต้องเปิดเอง และเท่าที่ทราบก็ไม่ได้เปิดได้กับทุกแชตและทุกไคลเอนต์
      เช่น Tdesktop ดูเหมือนว่ายังไม่รองรับการเข้ารหัสแบบปลายทางถึงปลายทาง
      Telegram อาจให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมายด้วยการส่งต่อการสื่อสารที่ไม่ได้เข้ารหัสให้ไปตรง ๆ และผมมองว่านี่คือ dark pattern ที่ใช้ความปลอดภัยเป็นเหยื่อล่อ โครงสร้างคือชูเรื่องความเป็นส่วนตัวเป็นจุดขายใหญ่ แต่ไม่เปิดความปลอดภัยพื้นฐานไว้เป็นค่าเริ่มต้น
    • คำว่า “ชนะ” ควรหมายความว่าไม่ต้องปฏิบัติตามหมายเรียก
    • ตรงที่บอกว่า “ให้ไปแค่เวลาสร้างบัญชีกับวันที่เข้าถึงล่าสุด” ทำให้สับสน
      Signal ต้องใช้หมายเลขโทรศัพท์ในการสมัคร จึงมี หมายเลขโทรศัพท์ ด้วย และนี่คือข้อวิจารณ์หลักด้านความเป็นส่วนตัวต่อ Signal
    • Telegram ย้ายไป Dubai มานานแล้ว ไม่รู้ว่า FSB จะบีบบังคับได้อย่างไร
    • ฐานข้อมูลถูกเข้ารหัสก็จริง แต่รหัสผ่านอยู่ใน ไฟล์ JSON ข้าง ๆ ฐานข้อมูลเลย

  • https://nitter.poast.org/matthew_d_green/status/1789687898863792453

    • ถ้าเทียบ Signal กับ Telegram การเข้ารหัสของ Telegram ส่วนใหญ่ปิดอยู่ และฝั่งเซิร์ฟเวอร์เข้าถึงข้อความได้
      การเข้ารหัสแบบปลายทางถึงปลายทางที่เป็นตัวเลือกใช้งานไม่สะดวก และไม่ได้มีให้ในทุกแพลตฟอร์ม เช่น Tdesktop เท่าที่ทราบยังไม่รองรับการเข้ารหัสแบบปลายทางถึงปลายทาง
      ตอนนี้การลงทะเบียนบัญชี Telegram ด้วยไคลเอนต์โอเพนซอร์สก็ทำไม่ได้อีกแล้ว เรื่องนี้ไม่ควรเป็นประเด็นให้ถกเถียงด้วยซ้ำ
      การที่เมสเซนเจอร์รายอื่นใช้วิธีเข้ารหัสของ Signal เหมือน WhatsApp ไม่ได้ทำให้น่าเชื่อถือขึ้น
      เราสามารถตรวจสอบได้ว่าการใช้งานในไบนารีทำไว้ถูกต้องหรือไม่ แต่ถ้าผู้ให้บริการควบคุมช่องทางอัปเดตหรือฟีเจอร์ในรุ่นเบต้า ก็ซ่อนฟีเจอร์แบบเจาะเป้าหมายได้ง่าย ผมเหมือนจำได้ว่า WhatsApp ก็เคยมีกรณีเลี่ยงการเข้ารหัสแบบปลายทางถึงปลายทางด้วยการดึงแชตออกไปผ่านวิธีที่ไม่ใช่เส้นทางปกติ
      Signal ไม่มีใน F-Droid แต่ทุกวันนี้มี implementation จากบุคคลที่สามที่ upstream ยอมรับแล้ว สามารถแยกผู้ให้บริการซอฟต์แวร์กับผู้ให้บริการโครงสร้างพื้นฐานออกจากกันได้ ดู Molly.im เป็นตัวอย่าง
      สำหรับคนที่ไม่คุ้นกับเทคโนโลยี ผมคิดว่าพาเขาไปใช้ Signal ดีกว่าเมสเซนเจอร์อื่นที่ทำสิ่งเดียวกันแต่ปกป้องได้น้อยกว่า
      Matrix? ตลกละ
    • ตอนนี้ Signal มี reproducible builds บน Android แล้วหรือยัง? ถ้าใช่ ก็สงสัยว่าทำไมยังลง F-Droid ไม่ได้
    • เข้าใจแล้วว่า reproducible iOS build ของ Telegram เป็นไปได้อย่างไร: “ต้องใช้ iPhone รุ่นเก่าที่เจลเบรกแล้ว และพอทำเสร็จก็ยังตรวจสอบแอปทั้งตัวไม่ได้ แถมบางไฟล์ยังคงถูกเข้ารหัสอยู่”
      สรุปคือถ้าจะยืนยันว่าทำซ้ำได้จริงหรือไม่ ก็ต้องลำบากสารพัด

  • Telegram เคยอ้างว่าตัวเองปลอดภัยกว่า แม้ในยุคที่ใช้การเข้ารหัสทำเอง
    ความปลอดภัย ไม่ใช่จุดแข็งของ Telegram และไม่เคยเป็นมาแต่แรก

    • ไม่เข้าใจว่าทำไม MTProto ถึงถูกมองว่าเป็นการเข้ารหัสทำเอง แต่ Signal Protocol ไม่ใช่
      ทั้งคู่เป็นโปรโตคอลแบบปรับแต่งเฉพาะที่สร้างขึ้นตั้งแต่ต้นเพื่อให้เข้ากับระบบของตัวเอง
    • ถ้ามองทางเทคนิค Signal ก็ใช้การเข้ารหัสทำเองไม่ใช่หรือ?
    • สงสัยว่าทำไมการเข้ารหัสทำเองถึงไม่ปลอดภัยโดยเนื้อแท้

  • นี่คือ ปฏิบัติการจิตวิทยาของ Telegram ที่ใช้ความรู้สึก โดยเฉพาะความกลัวและอาการหวาดระแวง เพื่อย้ายผู้คนไปยังแพลตฟอร์มห่วย ๆ อย่าง Telegram

    • ยังเป็นส่วนหนึ่งของแคมเปญของ Christopher Rufo ที่พยายามโค่น CEO คนใหม่ของ NPR ด้วย
      https://www.bugeyedandshameless.com/p/chris-rufo-katherine-maher-signal
    • คุณมั่นใจได้อย่างไรว่ามันไม่ใช่ทิศทางตรงกันข้าม? ตอนนี้เราต้องเชื่อทุกอย่างที่อ่านบน Twitter(X) แล้วหรือ?

  • เกี่ยวกับคำกล่าวอ้างที่ว่า “คนสำคัญจำนวนมากจนน่าตกใจที่ผมคุยด้วย บอกว่าข้อความ Signal ‘ส่วนตัว’ ของพวกเขาถูกใช้เป็นผลเสียต่อพวกเขาในศาลหรือสื่อของสหรัฐฯ” อยากรู้ว่ามีแหล่งที่มาอื่นไหม นอกจากคู่แข่งของ Signal พูดถึงคำให้การส่วนตัวของเพื่อนสำคัญของตัวเอง
    หรือถ้าศาลหรือสื่อได้ โทรศัพท์ที่ปลดล็อกแล้ว มา Telegram ก็ปกป้องไม่ได้เหมือนกัน

    • น่าจะเป็นกรณีที่โทรศัพท์ถูกยึด และมีการเข้าถึงข้อความตอนเครื่องถูกปลดล็อกอยู่
      ผมรู้จักองค์กรไอทีขนาดใหญ่หลายแห่งที่จัดการแบบนี้เมื่อฝ่ายกฎหมายเข้ามาเกี่ยวข้อง คือถ่ายรูปแชต Signal บนโทรศัพท์เครื่องที่เป็นประเด็นด้วยโทรศัพท์อีกเครื่องตรง ๆ
    • https://discuss.techlore.tech/t/tucker-claims-nsa-had-access-to-his-signal-messages/7477

  • เมื่อดูจากข้อเท็จจริงที่ว่าเซิร์ฟเวอร์ของ Telegram อยู่ใน Dubai รัฐบาลมีลักษณะใกล้เคียงเผด็จการที่เป็นกลาง และการเข้ารหัสก็ไม่เพียงพอ สมมติฐานพื้นฐานจึงเป็นไปทางนี้
    มีความเป็นไปได้สูงว่าไม่เพียงขายสิทธิ์เข้าถึงข้อมูลผู้ใช้ให้รัฐบาลหลัก ๆ เท่านั้น แต่ยังทำให้ขั้นตอนการประมูลง่ายขึ้นด้วย

    • ใช่เลย ปัญหาวิเศษของคำว่า “เปิดการเข้ารหัสได้” คือผู้ใช้แทบทั้งหมดในความเป็นจริงไม่ได้เปิดมัน
      ต่อให้บอกว่า “ถ้าต้องการการเข้ารหัสก็เปิดสิ” ก็จะเกิดปัญหาสองอย่าง คือคนที่จู่ ๆ เปิดการเข้ารหัสจะถูกระบุตัวได้ และที่มีโอกาสมากกว่านั้นคือ คู่สนทนาคนใดคนหนึ่งลืมเปิดการเข้ารหัส แล้วพูดทุกอย่างเป็นข้อความธรรมดาไปหมด
      หัวใจของโมเดล Signal คือมันถูกเข้ารหัส เสมอ เหตุผลที่ Let’s Encrypt สำคัญก็เช่นเดียวกัน เพื่อความปลอดภัยที่ได้ผล ต้องสามารถซ่อนตัวอยู่ในฝูงชนได้
      หากการใช้การเข้ารหัสเป็นเรื่องหายาก แค่ข้อมูลว่าใครใช้การเข้ารหัส หรือใครเพิ่งเริ่มใช้กะทันหัน ก็กลายเป็นข้อมูลที่มีค่ามากแล้ว
      ดังนั้น Telegram ก็น่าจะขายข้อมูลไทม์ไลน์อย่างแน่นอนว่าบัญชีผู้ใช้ใดเปลี่ยนความถี่ในการใช้แชตเข้ารหัส
    • ทั้งชาวรัสเซียและชาวยูเครนต่างก็ใช้ Telegram และยังใช้รับส่งข้อความลับกับสายลับในดินแดนต่างประเทศด้วย
      ดังนั้นสำหรับผม นี่ดูเป็นหลักฐานว่ามันปลอดภัยเพียงพอ

  • มีหลายชั้นที่การดักข้อมูลอาจเกิดขึ้นได้
    คีย์บอร์ดบนหน้าจอโดยพื้นฐานแล้วมักส่งเนื้อหาที่พิมพ์ออกไป และก็มีโทรศัพท์จำนวนมากที่ติดตั้งคีย์บอร์ดของบุคคลที่สามซึ่งแหล่งที่มาน่าสงสัยมาให้ล่วงหน้า
    ยังมีกลโกง “เปิดใช้งานการสำรองข้อมูล” ด้วย เวลาที่เริ่มใช้แอปอย่าง Google Photos หรือ WhatsApp มีโอกาสที่ตัวคุณหรือคู่สมรสจะเผลอกด “ตกลง” ในป๊อปอัป
    ไดรเวอร์ฮาร์ดแวร์เป็น binary blob ที่ไม่ใช่โอเพนซอร์ส และอาจมีแบ็กดอร์ได้
    ส่วนระบบปฏิบัติการเองก็แทบไม่มีทางรู้ได้เลยว่าข้อมูลอะไรถูกบันทึกและส่งไปยังผู้ผลิตโทรศัพท์

    • ถ้า “โทรศัพท์ส่วนใหญ่ส่งเนื้อหาที่พิมพ์โดยค่าเริ่มต้น” เป็นเรื่องจริง ก็น่าทึ่งมาก อยากรู้ว่ามีหลักฐานไหม
      แม้แต่ Google ก็ยังไม่หน้าด้านถึงขั้นบันทึกทุกอย่างที่พิมพ์ใน Gboard และได้ใช้ federated learning แทน
    • สามีของฉันก็อาจเผลอกด “ตกลง” ได้เหมือนกัน

  • บทความนี้เป็นปฏิกิริยาต่อโพสต์ต่อไปนี้ของ Durov ผู้ก่อตั้ง Telegram
    https://t.me/durov/274

    • คำวิจารณ์ทำนองว่า “ไม่ชอบที่สมาชิกบอร์ดคนหนึ่งเคยทำงานที่นั่น” นั้นอ่อนมาก ในบรรดาบุคคลระดับสูงของระบบนิเวศคริปโต แทบจะหาคนที่ในเส้นทางอาชีพไม่เคยเกี่ยวข้องกับงานประเภทนั้นเลยได้ยาก
      “ไม่ชอบแหล่งที่มาของเงินทุน” ก็เช่นกัน รัฐบาลสหรัฐฯ มักให้ทุนซอฟต์แวร์ความปลอดภัย เพราะจำเป็นต่อการดำเนินงานของตนเองด้วย ตัวอย่างคือ Tor
      คำพูดว่า “มีคนจำนวนมากอย่างน่าตกใจที่คิดว่าแชตถูกหลุด” เป็นสิ่งที่พูดได้ง่ายแม้ไม่มีแหล่งอ้างอิง มีคนจำนวนมากอย่างน่าตกใจที่เชื่อว่า Facebook แอบฟังตนผ่านไมโครโฟนโทรศัพท์เช่นกัน ผู้คนจัดการความปลอดภัยเชิงปฏิบัติการได้ไม่ดี และนี่ก็ไม่ใช่เรื่องใหม่อะไร
      ข้อกล่าวอ้างว่า “ไม่มี reproducible build และปิดคำขอบน GitHub ของชุมชน” ก็ผิด Android สามารถทำซ้ำเพื่อยืนยันได้ และใน issue ที่ถูกปิดก็ระบุชัดเจนว่าไม่รับ feature request ผ่าน GitHub ให้ไปส่งในช่องทางที่ถูกต้อง
      คำว่า “มีเพียง Telegram เท่านั้นที่ให้ reproducible build” ก็ไม่ได้มีความหมายมากนัก Telegram มีแชตเข้ารหัสที่อ่อนแออยู่แล้ว ต่อให้ทำซ้ำเพื่อยืนยันได้มากแค่ไหน ก็ไม่ได้ทำให้แชตปลอดภัยขึ้น
      Signal มีการเข้ารหัสแบบ end-to-end และมี build สำหรับ Android ที่ตรวจสอบได้ ดังนั้นตำแหน่งด้านความปลอดภัยจึงดีกว่าอย่างชัดเจน

  • Signal ยังมีโอกาสได้รับความนิยม หากยกระดับลำดับความสำคัญของความสมบูรณ์และความประณีตโดยรวมของไคลเอนต์ โดยเฉพาะ แอปเดสก์ท็อป หรืออนุญาตให้มีไคลเอนต์บุคคลที่สามที่ให้ความสำคัญกับส่วนเหล่านั้น
    ผมใช้ทั้ง iMessage, Telegram และ Signal แต่การใช้งานส่วนใหญ่ไปอยู่กับสองตัวแรก เพราะคนรอบตัวผมอยู่ที่นั่นกันมาก
    เมื่อเปรียบเทียบประสบการณ์ผู้ใช้ของทั้งสามบริการ ก็เห็นเหตุผลได้ง่าย

    • ผมเคยคิดว่าถ้าอนุญาต ไคลเอนต์บุคคลที่สาม ที่ให้ลายเซ็นยืนยันตัวตนได้ ก็คงยอดเยี่ยมและน่าสนับสนุนมาก
      ตอนนี้ Signal ทำเรื่องนี้ด้วยการยืนยันหมายเลขโทรศัพท์โดยตรง จึงต้องให้ส่วนกลางจัดการต่อไป หลักการ “อย่าเชื่อถือไคลเอนต์โดยเด็ดขาด” ใช้กับไคลเอนต์ของ Signal เองเหมือนกัน และแนวทางแบบ “อนุญาตให้ผู้ใช้ที่ยังไม่ผ่านการยืนยันติดต่อคนแปลกหน้าก่อน” คือเส้นทางสแปมที่ทำให้เครือข่ายโทรศัพท์ยุคใหม่ทั้งระบบติดเชื้อ นั่นจึงเป็นเหตุผลที่มี STIR/SHAKEN
      ต่อให้ความจำเป็นนี้ถูกแก้ไขได้ ความเสี่ยงใหญ่ที่สุดของไคลเอนต์บุคคลที่สามก็คือการมีโค้ดที่จงใจทำให้เสียหายซ่อนอยู่ภายในเปลือกที่ดูน่าดึงดูด วิธีเดียวที่จะป้องกันสิ่งนี้ได้คือไม่อนุญาตไคลเอนต์บุคคลที่สามเลย
      เมื่อพิจารณาลำดับเหตุการณ์ที่คาดว่าจะเกิดขึ้นเช่นนี้แล้ว สุดท้ายผมก็เลิกสนับสนุนไคลเอนต์บุคคลที่สามอีกต่อไป

  • https://nitter.poast.org/matthew_d_green/status/1789687898863792453