ليس كل كشف للبيانات عيبًا برمجيًا. قد يختار تطبيق مراسلة الكشف عن معلومة معينة للحفاظ على خاصية يراها أهم. هذا ما يفعله Olvid، الذي يعتمد الخصوصية أساسًا لتصميمه، في حالتين درستُهما بالتفصيل. إليك ما يحدث ولماذا تعتبره الشركة مقبولًا.
عنوان IP للمستلِمتمر مكالمات Olvid عبر خادم ترحيل TURN. وفي Android يستطيع المتصل تحديد ذلك الخادم. إذا حدّد خادمًا يسيطر عليه، يتصل به جهاز الطرف الآخر عند قبول المكالمة، فيصبح عنوان IP لذلك الطرف ظاهرًا للخادم.
موقف Olvid. أوقفت الشركة إلزام المستخدمين بخادم الترحيل الخاص بها استعدادًا لميزة مستقبلية. وتقول أيضًا إن بدء أي محادثة في Olvid يتطلب معرفة معلومات عن الطرف الآخر، مثل اسمه أو رقم هاتفه، تراها أكثر تعريفًا به من المعلومة الوحيدة المكشوفة هنا: عنوان IP العام للهاتف. لذلك لا تعتبر الشركة هذا الكشف ذا أهمية كبيرة ولا تصنّفه ثغرة أمنية.
وجهة نظري. عنوان IP العام نوع مختلف من البيانات عن معلومات الاتصال؛ فقد يشير إلى موقع تقريبي ويتغير بمرور الوقت. معرفة شخص أو امتلاك رقمه لا تعني معرفة عنوان IP الخاص به. لكن تقدير الخطر هنا يعتمد على نموذج التهديد، وأنا أقبل استنتاج Olvid بأن الخطر المتبقي مقبول ضمن نموذجها.
iOS — خوادم ثابتةAndroid — خادم المتصليستخدم تطبيق iOS عناوين ثابتة لخوادمه ويتجاهل ما يرسله المتصل، بينما يقبل تطبيق Android عناوين المتصل. تصف Olvid إزالة هذا القيد في Android بأنها خطوة مقصودة لميزة مخططة، وليست سهوًا.
معاينة الروابط: عنوان المرسِل،
لا المستلِم.
ينشئ Olvid المعاينة على جهاز المرسِل ويضمّنها داخل الرسالة المشفّرة. يعرضها المستلِم دون جلب أي محتوى من الشبكة؛ لذلك لا يحدث تسريب دون نقرة عند الاستقبال، خلافًا لكثير من تطبيقات المراسلة. لكن جهاز المرسِل يجلب الرابط مباشرةً دون وكيل، فيكشف عنوان IP الخاص به للخادم الذي يستضيف الرابط.
موقف Olvid. استخدام وكيل على الخادم، كما يفعل Signal، سيسمح لـOlvid برؤية كل الروابط التي يشاركها مستخدموها. ترى الشركة أن ذلك يتعارض مع هدف الخصوصية في التصميم. وتضيف أن المرسِل يكون قد فتح الرابط عادةً. لذا تبقي التصميم الحالي إلى أن تتوفر طريقة تحمي عنوان المرسِل دون أن ترى جهة مركزية جميع الروابط.
أقبل هذا التبرير. هنا تعارض بين جانبين من الخصوصية، وقد اختارت Olvid ما يناسب نموذجها.
خلاف جرت مراجعته بشكل سليم.
السلوكان حقيقيان ومقصودان. أُبلغ عنهما عبر ANSSI / CERT-FR، ثم روجعا مع الشركة. وبعد دراسة المبررات، قبلت اعتبارهما خيارين في التصميم لا عيبين. سحبت أيضًا عدة ملاحظات أولية أثناء العملية. هكذا ينبغي أن يجري الإفصاح المنسّق: ليس كل تقرير ينتهي بإصلاح، وتوضيح الشركة لنموذجها الأمني قد يكون نتيجة مفيدة بحد ذاته.