Telegram เป็นแอปส่งข้อความเข้ารหัสอย่างแท้จริงหรือไม่?

• ไม่นานมานี้เกิดกรณีที่ Pavel Durov ซีอีโอของ Telegram ถูกทางการฝรั่งเศสจับกุม
• ข่าวส่วนใหญ่มักอธิบาย Telegram ว่าเป็น "แอปส่งข้อความเข้ารหัส" ซึ่งในเชิงเทคนิคอาจพอเรียกได้ แต่ในความเป็นจริงถือว่าเป็นคำอธิบายที่ทำให้เข้าใจผิด

Telegram ใช้การเข้ารหัสหรือไม่?

• สำหรับบริการส่งข้อความส่วนตัวสมัยใหม่ การเข้ารหัสโดยทั่วไปหมายถึงการเข้ารหัสแบบ end-to-end โดยปริยาย
• Telegram ไม่ได้ให้การเข้ารหัสแบบ end-to-end เป็นค่าเริ่มต้น
• ผู้ใช้ต้องเปิดใช้ฟีเจอร์ "Secret Chat" ด้วยตนเองจึงจะได้การเข้ารหัสแบบ end-to-end
• ฟีเจอร์นี้ใช้ได้เฉพาะการสนทนาแบบ 1:1 และไม่สามารถใช้กับแชตกลุ่มได้
• การออกแบบทำให้ผู้ใช้ทั่วไปที่ไม่เชี่ยวชาญเปิดใช้ฟีเจอร์นี้ได้ยาก

การเข้ารหัสเริ่มต้นสำคัญหรือไม่?

• การที่ Telegram ไม่มีการเข้ารหัสเริ่มต้นอาจไม่ใช่ปัญหาใหญ่สำหรับผู้ใช้จำนวนมาก
• Telegram มักถูกใช้งานในลักษณะคล้ายเครือข่ายโซเชียลมีเดีย
• หนึ่งในฟีเจอร์ยอดนิยมของ Telegram คือ "Channels" และแชตกลุ่มสาธารณะขนาดใหญ่
• ในแชตสาธารณะเหล่านี้ การเข้ารหัสแทบไม่มีความหมายมากนัก
• แต่เมื่อผู้ใช้จำนวนมากส่งข้อความส่วนตัวหากัน ก็ยังต้องการการเข้ารหัสที่แข็งแกร่ง

Telegram รู้ว่าการเข้ารหัสของตัวเองใช้งานยาก

• การเข้ารหัสของ Telegram ถูกวิจารณ์อย่างมากมาตั้งแต่ปี 2016
• Telegram ก็ยังไม่ให้การเข้ารหัสเป็นค่าเริ่มต้น และประสบการณ์ผู้ใช้ก็ไม่ได้ดีขึ้น
• Pavel Durov ซีอีโอของ Telegram โปรโมต Telegram ว่าเป็น "secure messenger" แต่ในความเป็นจริงไม่ได้เป็นเช่นนั้น

รายละเอียดการเข้ารหัสที่ชวนง่วง

• ฟีเจอร์ "Secret Chat" ของ Telegram ใช้โปรโตคอลเฉพาะของตัวเองชื่อ MTProto 2.0
• โปรโตคอลนี้ใช้โหมด authenticated encryption ที่ไม่เป็นมาตรฐาน และมีหลายจุดที่ทำให้ผู้เชี่ยวชาญตั้งคำถามได้
• หากไม่มีการใช้งานจริง ความปลอดภัยของระบบเข้ารหัสก็แทบไม่มีความหมายมากนัก

สิ่งอื่นที่ควรรู้

• การเข้ารหัสแบบ end-to-end เป็นเครื่องมือที่ดีในการป้องกันข้อมูลรั่วไหล แต่ปัญหาเรื่อง metadata ยังคงอยู่
• metadata รวมถึงใครใช้บริการนี้ คุยกับใคร และคุยกันเมื่อไร
• ข้อมูลเหล่านี้ถูกเก็บไว้บนเซิร์ฟเวอร์ของ Telegram และมีประโยชน์สำหรับผู้ที่ต้องการรวบรวมมัน

สรุปโดย GN⁺

• บทความนี้ต้องการแก้ความเข้าใจผิดเกี่ยวกับความสามารถด้านการเข้ารหัสของ Telegram
• Telegram ไม่ได้ให้การเข้ารหัสแบบ end-to-end เป็นค่าเริ่มต้น และผู้ใช้ต้องเปิดใช้เอง
• การเข้ารหัสของ Telegram ใช้งานยาก และผู้ใช้จำนวนมากก็ไม่ตระหนักถึงเรื่องนี้
• ปัญหาเรื่อง metadata ยังคงมีอยู่ และสิ่งนี้ใช้ได้กับทั้งเครือข่ายโซเชียลมีเดียและแอปส่งข้อความส่วนตัวทั้งหมด
• แนะนำให้ใช้แอปส่งข้อความที่มีการเข้ารหัสเป็นค่าเริ่มต้น เช่น Signal หรือ WhatsApp

[xguru]

การจับกุมพาเวล ดูรอฟ CEO ของ Telegram ในข้อหาเกี่ยวข้องกับการก่อการร้าย การฉ้อโกง และสื่อลามกเด็ก

ดูเหมือนว่าจะเกี่ยวข้องกับเรื่องนี้นะครับ

[GN⁺]

ความคิดเห็นจาก Hacker News

• มีความเห็นว่าให้ลองทดสอบว่าคุณสามารถเข้าสู่ระบบบัญชีบนอุปกรณ์ใหม่ผ่านขั้นตอนกู้คืนรหัสผ่าน แล้วดูข้อความเก่าได้หรือไม่

  • ถ้าทำได้ หน่วยงานบังคับใช้กฎหมายก็อาจเข้าถึงได้เช่นกัน

• มีความเห็นว่า Telegram ใกล้เคียงกับโซเชียลเน็ตเวิร์กมากกว่าแอปส่งข้อความ

  • มีหลายช่องที่มีประโยชน์ และมีบทบาทสำคัญในการแบ่งปันข้อมูลในหลายประเทศ
  • หากมองในมุมนี้ e2ee (การเข้ารหัสแบบต้นทางถึงปลายทาง) ก็ไม่ได้สำคัญขนาดนั้น
  • ในช่วงที่โซเชียลมีเดียส่วนใหญ่อย่าง Reddit, X, Instagram ปิด API ไปแล้ว Telegram ยังให้บริการ API ฟรีอยู่

• มีความเห็นว่า Telegram ไม่ได้เข้ารหัสเป็นค่าเริ่มต้น และแม้จะเข้ารหัสก็ไม่ควรไว้วางใจอุปกรณ์ที่เชื่อมต่ออยู่กับข้อมูลสำคัญ

  • Telegram เป็นแพลตฟอร์มการสื่อสารที่ดีที่สุดในตอนนี้
  • มีฟีเจอร์หลากหลาย และนำหน้ากว่าแพลตฟอร์มอื่นในด้านความสามารถ
  • หวังว่า Telegram จะยังคงอยู่ได้ดีแม้หลังเหตุการณ์ล่าสุด

• มีความเห็นว่าปัญหาคือผู้ใช้ที่ไม่ใช่สายเทคนิคส่วนใหญ่คิดว่า Telegram โดยทั่วไปเป็น e2ee

• มีความเห็นว่าวิธีที่ Telegram ให้บริการ e2ee ก็เหมือนกับวิธีที่ McDonalds ให้บริการสลัด

• มีความเห็นว่าแม้จะไม่ค่อยรู้เรื่องการเข้ารหัส แต่โครงสร้างพื้นฐานแบบกระจายของ Telegram ก็ไม่ได้แย่โดยพื้นฐาน

  • การโฟกัสแค่ e2ee อาจทำให้เข้าใจผิดได้
  • Telegram ใช้โครงสร้างพื้นฐานแบบกระจายเพื่อปกป้องข้อมูล
  • ต้องผ่านการตรวจสอบจากหลายระบบกฎหมายก่อนจึงจะสามารถส่งมอบข้อมูลได้
  • จนถึงตอนนี้ยังไม่เคยเปิดเผยข้อมูลผู้ใช้ให้บุคคลที่สาม

• มีความเห็นว่าโพสต์บล็อกนี้ช่วยให้สามารถยกเป็นข้อมูลอ้างอิงที่ดีแก่คนที่อ้างว่า Telegram ปลอดภัยได้

  • Signal มีฟีเจอร์ชื่อ Sealed Sender ที่ช่วยลดปัญหาเรื่อง metadata ได้ในระดับหนึ่ง

• มีความเห็นว่าบทความเกี่ยวกับ Telegram เป็นเรื่องที่คนสายเทคนิครู้กันดีอยู่แล้ว แต่ผู้ใช้ส่วนใหญ่กลับถูกนักข่าวทำให้เข้าใจผิด

  • แต่ละคนต้องตัดสินใจเองว่าจำเป็นต้องใช้การเข้ารหัสหรือไม่
  • จำเป็นต้องมีการเลือกอย่างมีข้อมูล

• มีความเห็นตั้งคำถามว่าถ้าการเข้ารหัสของ Telegram แย่ขนาดนั้น ทำไม Pavel Durov ถึงถูกจับกุม

  • เขาถูกจับเพราะไม่ให้ความร่วมมือในการปราบปรามกิจกรรมผิดกฎหมายบน Telegram
  • CEO ของโซเชียลเน็ตเวิร์กอื่นไม่ได้ถูกจับ
  • จึงตั้งคำถามว่าเป็นเพราะ Telegram ไม่มี backdoor หรือไม่

• มีความเห็นว่าใช้ Telegram เป็นหลักสำหรับการโทรเสียงแบบ p2p e2ee

  • ฟีเจอร์นี้ดีมาก