- เจ้าหน้าที่สืบสวนพิเศษของกระทรวงพาณิชย์สหรัฐฯ กำลังตรวจสอบข้อกล่าวหาจากอดีตพนักงานสัญญาจ้างของ Meta ซึ่งระบุถึง ความเป็นไปได้ในการเข้าถึงข้อความ WhatsApp
- อดีตพนักงานสัญญาจ้างระบุว่าพวกเขาและพนักงาน Meta บางส่วนมีสิทธิ์ "เข้าถึงได้โดยไม่มีข้อจำกัด (unfettered access)"
- ข้อกล่าวหานี้ขัดแย้งกับ จุดยืนอย่างเป็นทางการของ Meta ที่ระบุว่า WhatsApp ถูกเข้ารหัสและเป็นส่วนตัว
- เนื้อหาเดียวกันนี้ยังรวมอยู่ใน คำร้องผู้เปิดโปงข้อมูลภายใน ที่ยื่นต่อ คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (SEC) ในปี 2024
- การสอบสวนครั้งนี้และคำร้องผู้เปิดโปงดังกล่าวเป็น ประเด็นที่ไม่เคยถูกเปิดเผยมาก่อน และส่งผลสำคัญต่อ ความน่าเชื่อถือด้านความเป็นส่วนตัวของแอปส่งข้อความ
ภาพรวมการสอบสวนของรัฐบาลสหรัฐฯ
- หน่วยงานบังคับใช้กฎหมายของสหรัฐฯ กำลังตรวจสอบข้อกล่าวหาเกี่ยวกับ ความเป็นไปได้ในการเข้าถึงข้อความ WhatsApp ที่ถูกยกขึ้นโดยอดีตพนักงานสัญญาจ้างของ Meta Platforms Inc.
- ตาม รายงานของผู้สืบสวนและบทสัมภาษณ์ ที่ Bloomberg News ได้มา มีข้อสงสัยว่าพนักงานของ Meta อาจเข้าถึงบทสนทนาใน WhatsApp ได้
- ผู้ดำเนินการสอบสวนถูกระบุว่าเป็น เจ้าหน้าที่สืบสวนพิเศษของกระทรวงพาณิชย์สหรัฐฯ (Special Agents with the US Department of Commerce)
- เนื้อหาการสอบสวนเกี่ยวข้องโดยตรงกับความน่าเชื่อถือของ นโยบายการเข้ารหัสแบบต้นทางถึงปลายทางและการปกป้องบทสนทนาส่วนตัว ที่ Meta อ้างไว้
ข้อกล่าวหาจากอดีตพนักงานสัญญาจ้าง
- อดีตพนักงานสัญญาจ้างระบุว่าพวกเขาและพนักงาน Meta บางส่วน "สามารถเข้าถึงข้อความ WhatsApp ได้โดยไม่มีข้อจำกัด (unfettered access)"
- คำให้การนี้อ้างอิงจาก บันทึกของหน่วยงานบังคับใช้กฎหมาย, บุคคลที่รู้รายละเอียดของคดี, และ คำให้การของพนักงานสัญญาจ้างเอง
- พนักงานสัญญาจ้างรายหนึ่งให้ข้อมูลโดยไม่เปิดเผยชื่อ เนื่องจาก กังวลต่อความเป็นไปได้ที่จะถูกตอบโต้
การเปิดโปงข้อมูลภายในและหน่วยงานที่เกี่ยวข้อง
- ข้อกล่าวหาเดียวกันนี้ยังรวมอยู่ใน คำร้องผู้เปิดโปงข้อมูลภายใน (whistleblower complaint) ที่ยื่นต่อ คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (SEC) ในปี 2024
- Bloomberg รายงานเป็นครั้งแรกว่า คำร้องผู้เปิดโปงดังกล่าวและการสอบสวนของกระทรวงพาณิชย์เป็น ข้อเท็จจริงที่ไม่เคยถูกเปิดเผยมาก่อน
ความขัดแย้งกับจุดยืนอย่างเป็นทางการของ Meta
- Meta ยืนยันมาโดยตลอดว่า WhatsApp เป็นบริการที่เป็นส่วนตัวและมีการเข้ารหัส
- อย่างไรก็ตาม การสอบสวนและคำให้การครั้งนี้ชี้ถึง ความเป็นไปได้ที่ขัดแย้งกับคำอธิบายอย่างเป็นทางการของ Meta
ความหมายของเหตุการณ์นี้
- เหตุการณ์นี้ตั้งคำถามต่อ ความน่าเชื่อถือของการเข้ารหัสในบริการส่งข้อความ และ ระดับการคุ้มครองความเป็นส่วนตัวของผู้ใช้
- ในเมื่อ หน่วยงานรัฐบาลสหรัฐฯ เข้าสอบสวนโดยตรง ประเด็นเรื่อง ความโปร่งใสด้านความปลอดภัยของแพลตฟอร์มส่งข้อความระดับโลก จึงกลับมาได้รับความสนใจอีกครั้ง
1 ความคิดเห็น
ความเห็นจาก Hacker News
มีการตรวจสอบ การเข้ารหัสแบบต้นทางถึงปลายทาง (E2EE) ของ WhatsApp โดยอิสระ
ไม่ได้ตรวจดูซอร์สโค้ดทั้งหมด แต่วิเคราะห์เฉพาะ แกนหลักของการเข้ารหัส
ประเด็นสำคัญคือเซิร์ฟเวอร์ของ WhatsApp เป็นผู้ตัดสินว่าใครบ้างจะถูกรวมอยู่ในกลุ่มแชต
Dan Goodin กล่าวถึงเรื่องนี้ในบทความของ Ars Technica
Facebook เคยหลบเลี่ยงมาตรการความปลอดภัยบนมือถือด้วยการ ส่งข้อมูลผ่าน localhost
แอปอาจส่งข้อมูลออกไปหลายทาง และยังอาจอ่านข้อความผ่าน การแจ้งเตือนแบบพุช ได้
บทความที่เกี่ยวข้อง: Cybersecurity News
มีการโหลดซ้ำในทุกแชต และยืนยันได้ด้วยไฟร์วอลล์แบบ MitM
จึงสงสัยว่าทำไมการตรวจสอบแบบนี้ถึงพูดถึงเฉพาะส่วนเข้ารหัสเสมอ
หากไคลเอนต์ส่งข้อความแบบ plaintext ไปยังเซิร์ฟเวอร์อื่นหรือบริการแปล การเข้ารหัสระหว่างส่งก็ไร้ความหมาย
อย่างไรก็ตาม หากไคลเอนต์ถูกเจาะพร้อมกัน ก็อาจซ่อนการแสดงผลนั้นได้
แต่ตามบทความล่าสุดของ Livemint WhatsApp กำลังพัฒนาฟีเจอร์แชร์ข้อความย้อนหลังให้สมาชิกใหม่ จึงอาจมี ความเป็นไปได้ที่ความปลอดภัยจะอ่อนลง
มีการเตือนว่าเมื่อเปลี่ยนนโยบายกันเร็วขนาดนี้ ก็ไม่มีใครเป็นข้อยกเว้นได้
หากไม่ได้ตรวจยืนยันกันต่อหน้า ก็ยากจะเชื่อถือได้
คิดว่า ไคลเอนต์ E2EE แบบปิดซอร์ส ไม่มีทางปลอดภัยได้อย่างสมบูรณ์
การตรวจจับแบ็กดอร์ทำได้อย่างเป็นจริงได้เฉพาะในโอเพนซอร์ส และ reproducible builds เป็นเรื่องสำคัญ
แม้แต่ช่องโหว่ remote code execution แบบละเอียดอ่อนที่ใช้โจมตีได้เฉพาะฝั่งเซิร์ฟเวอร์ก็อาจเป็นแบ็กดอร์ได้
เพราะเป็นไปไม่ได้ที่จะเข้าใจพฤติกรรมของคอมไพเลอร์ได้สมบูรณ์จนหาพบแบ็กดอร์ที่ซ่อนอยู่จากซอร์สโค้ด
แม้โอเพนซอร์สจะมีข้อดีมากมาย แต่ก็ไม่จำเป็นต้องอ้างความเหนือกว่าด้านความปลอดภัยโดยไม่มีหลักฐาน
ในฐานะอดีตวิศวกร WhatsApp มีความมั่นใจว่าทีมได้ ทุ่มเทอย่างมากกับการทำ E2EE
การอ่านข้อความที่เข้ารหัสนั้นเป็นไปไม่ได้
ในเชิงธุรกิจ WhatsApp Business API ก็สร้างรายได้เพียงพออยู่แล้ว
และไคลเอนต์สามารถเปรียบเทียบกุญแจของอีกฝ่ายโดยตรง หรือตรวจสอบเนื้อหาแพ็กเก็ตได้หรือไม่
Matthew Green ประเมินไว้ในโพสต์บน Bluesky ล่าสุดว่า
คดีความที่อ้างว่า WhatsApp เข้าถึงข้อความแบบ plaintext ได้ เป็น คำกล่าวล่อคลิกที่มีมูลน้อยมาก
ทั้งคำพูดของ Meta หรืออดีตคนใน WhatsApp รวมถึงผลการตรวจสอบ ล้วน ไม่ได้ขัดแย้งกับข้อกล่าวอ้างของผู้แจ้งเบาะแส
หากจะให้เชื่อจริง ๆ ควรต้องมีข้อความประกาศในเอกสารทางการของ SEC ว่า “Meta ไม่เคยเข้าถึงข้อความ WhatsApp ไม่ว่าด้วยวิธีใด และจะไม่มีทางทำได้ในอนาคต”
มีการยก สถานการณ์สมมุติ หลายแบบขึ้นมา
เช่น ถ้าฉันเข้าไปดูหน้าเว็บหนึ่ง ส่งลิงก์ให้เพื่อน แล้วเพื่อนคนนั้นก็เข้าไปหน้าเดียวกัน ก็อาจเดาเนื้อหาข้อความได้
บริษัทกลุ่ม FAANG นั้น หละหลวมทางเทคนิค มากกว่าที่คนคิด
ภายในองค์กร โปรเจกต์อย่าง ‘Decryption at Scale’ มักจบลงแค่เป็น เอกสารเพื่อเอาผลงาน
โดยไม่จำเป็นต้องถอดรหัสเนื้อหาจริงเลย
ไม่ต่างจากการอ้างว่าในปี 2016 มีเทคโนโลยีระดับปี 2026 อยู่แล้ว
ดูเพิ่มเติมได้ที่: Utah Data Center
กุญแจถูกถือไว้โดยเซิร์ฟเวอร์ ไม่ใช่ผู้ใช้
สงสัยว่าการตรวจสอบแบบนี้เกิดขึ้นจริงอย่างไร
แค่ถามคำถามอย่างเดียว หรือทำ การวิเคราะห์ทางเทคนิคของแอปร่วมกับผู้เชี่ยวชาญไอที ด้วย
และมีการขอให้ยืนยันซอร์สโค้ดว่าเป็น โค้ดเดียวกับที่ทำงานอยู่บนอุปกรณ์ของผู้ใช้ หรือไม่
แต่ก็ไม่อาจตัดทิ้งได้ทั้งหมด
มองว่าแก่นของการเข้ารหัสทั้งหมดคือ การจัดการกุญแจ
หากคุณไม่ได้ควบคุมกุญแจด้วยตัวเอง สุดท้ายก็มีคนอื่นควบคุมมัน
การที่ WhatsApp ซิงก์ข้อความข้ามอุปกรณ์โดยอัตโนมัติคือ การแลกเปลี่ยนระหว่างความสะดวกกับความปลอดภัย
ผู้ใช้ส่วนใหญ่ไม่ได้ตรวจยืนยัน fingerprint ของอีกฝ่ายด้วยตัวเอง
บริษัทที่ ละเมิดความเป็นส่วนตัว มากที่สุดในโลก ล้วนมีแรงจูงใจเต็มที่ที่จะทำให้ความเป็นส่วนตัวของผู้ใช้อ่อนแอลง
โมเดลธุรกิจของพวกเขาตั้งอยู่บน การเก็บข้อมูลและการชักจูงพฤติกรรม
เพราะฉะนั้น ต่อให้ยังไม่มีหลักฐาน การ ไม่ไว้ใจ ก็ยังเป็นทางเลือกที่สมเหตุสมผล