近日，吉利控股集團(tuán)董事長(zhǎng)李書(shū)福一則“馬化騰肯定天天在看我們的微信”的言論引發(fā)公眾對(duì)于微信信息安全保護(hù)的爭(zhēng)議。
新京報(bào)記者查閱微信“隱私服務(wù)協(xié)議”發(fā)現(xiàn)，其采用了SSL加密技術(shù)保護(hù)信息安全，多位互聯(lián)網(wǎng)專家表示，采用該種技術(shù)時(shí)，服務(wù)器方是可以查看信息內(nèi)容的。據(jù)一位接近騰訊的相關(guān)人士解釋，因?yàn)檫@個(gè)技術(shù)是通用的，任何用這個(gè)技術(shù)的公司從技術(shù)層面都可以做，但是不會(huì)做。
“微信不存儲(chǔ)、不分析用戶聊天內(nèi)容的技術(shù)模式，傳言中所說(shuō)‘我們天天在看你的微信’純屬誤解。”1月4日，騰訊方面回復(fù)新京報(bào)記者。
移動(dòng)安全業(yè)內(nèi)人士分析稱，微信采取SSL加密技術(shù)，就確保了傳輸過(guò)程中的加密，即便遭到黑客攻擊，也難竊取用戶信息。多名互聯(lián)網(wǎng)黑產(chǎn)從業(yè)者稱，只有盜取目標(biāo)的微信或QQ賬號(hào)，才能夠查看其聊天記錄。
技術(shù)能否保證微信“不看聊天內(nèi)容”?
隨著微信“可以查看聊天記錄”事件發(fā)酵，1月2日，騰訊公司公關(guān)總監(jiān)張軍在個(gè)人微博上回應(yīng)稱，“1、微信不留存任何用戶的聊天記錄，聊天內(nèi)容只存儲(chǔ)在用戶的手機(jī)、電腦等終端設(shè)備上;2、微信不會(huì)將用戶的任何聊天內(nèi)容用于大數(shù)據(jù)分析。了解了，就不用有那些沒(méi)來(lái)由的疑慮了。”
針對(duì)騰訊方面對(duì)用戶隱私的回應(yīng)，有不少公眾更加關(guān)心微信在技術(shù)上能否實(shí)現(xiàn)查看聊天記錄。
滬江法務(wù)林華表示，從QQ時(shí)代到如今的微信，圍繞著用戶對(duì)個(gè)人隱私的擔(dān)憂，都不可避免有信任問(wèn)題，因?yàn)橛脩艉头?wù)商本來(lái)就是信息不對(duì)稱。
新京報(bào)記者查閱《微信隱私保護(hù)指引》發(fā)現(xiàn)，其“信息安全”一欄中表示“我們將在安全水平內(nèi)使用各種安全保護(hù)措施以保障信息的安全。例如，我們會(huì)使用加密技術(shù)(例如，SSL)、匿名化處理等手段來(lái)保護(hù)你的個(gè)人信息。”
SSL技術(shù)指Secure Socket Layer，南洋理工大學(xué)互聯(lián)網(wǎng)相關(guān)專業(yè)博士后朱聰(化名)解釋稱，簡(jiǎn)單來(lái)說(shuō)，在經(jīng)過(guò)SSL加密的情況下，用戶與用戶之間收發(fā)信息通過(guò)服務(wù)器后臺(tái)中轉(zhuǎn)，當(dāng)信息在用戶和服務(wù)器之間傳遞時(shí)，用戶與服務(wù)器會(huì)協(xié)商一個(gè)用于加密數(shù)據(jù)的密鑰，由于該密鑰的存在，SSL會(huì)保證在數(shù)據(jù)傳輸中不被竊聽(tīng)和篡改，但消息在服務(wù)器上則是以未加密的形態(tài)存在的，服務(wù)器可以查看和修改消息的內(nèi)容，甚至進(jìn)行一些內(nèi)容上的審查。
“使用數(shù)字證書(shū)(SSL)加密的話，就是本地加密傳到服務(wù)器，服務(wù)器再解密，黑客在中間截取下來(lái)肯定是不好解密的，但作為服務(wù)器端的微信肯定可以。”網(wǎng)絡(luò)安全專家劉海(化名)表示。
1月4日，新京報(bào)記者向騰訊方面求證相關(guān)技術(shù)問(wèn)題，騰訊并未回應(yīng)。騰訊稱，微信一直堅(jiān)持保護(hù)用戶的通信隱私，絕不會(huì)去觸碰、去算計(jì)用戶的通信秘密。“這是我們的產(chǎn)品理念，也是我們的底線。微信聊天記錄，僅用于微信手機(jī)端的本地搜索和展示，不做任何其他用途。從微信服務(wù)器后臺(tái)無(wú)法提取任何人的聊天記錄。”
2017年8月15日，騰訊副總裁丁珂曾對(duì)新京報(bào)記者明確表示，微信的價(jià)值導(dǎo)向是從來(lái)不會(huì)涉及用戶相互聊天，并明確表示，微信不會(huì)讀取、分析聊天記錄。
黑客能盜取你的聊天記錄嗎?
移動(dòng)安全業(yè)內(nèi)人士分析稱，微信采取SSL加密技術(shù)，這就確保了傳輸過(guò)程中的加密，也就是說(shuō)在傳輸過(guò)程中，即便遭到黑客攻擊，也沒(méi)法竊取用戶信息。
1月2日到3日，新京報(bào)記者以“購(gòu)買微信和QQ聊天記錄”為名聯(lián)系了多名互聯(lián)網(wǎng)黑產(chǎn)從業(yè)者，但得到的反饋多為只有采取暴力破解、種木馬等手段盜取目標(biāo)的微信或QQ賬號(hào)，才能夠查看其聊天記錄，但這樣一來(lái)號(hào)主可以發(fā)現(xiàn)自己賬號(hào)被盜，且盜號(hào)成本很大。
一位互聯(lián)網(wǎng)公司的架構(gòu)工程師告訴新京報(bào)記者，微信傳輸采用SSL加密，僅依靠技術(shù)手段在傳輸過(guò)程中破解SSL加密“幾乎不可能”，除非某些機(jī)構(gòu)違規(guī)簽發(fā)HTTPS證書(shū)，但微信的證書(shū)信任應(yīng)該都是只信任自己的根證書(shū)簽發(fā)的SSL證書(shū)，所以不存在這樣的問(wèn)題。這樣一來(lái)，信息在傳遞的過(guò)程中被人截取存留是不可能的，從技術(shù)上，只有微信官方可以。
那么，如果微信服務(wù)器端遭受攻擊呢?
梆梆安全高級(jí)副總裁付杰分析稱，SSL加密保證的是傳輸過(guò)程安全。多位互聯(lián)網(wǎng)安全人士都指出，據(jù)他們所知，微信是獨(dú)立服務(wù)器，SSL加密之下，微信要嚴(yán)防的是服務(wù)端的信息泄露，SSL加密技術(shù)能防止傳輸過(guò)程中泄密，但是對(duì)于服務(wù)端，微信其實(shí)是有一套很完整的保護(hù)方案，包括網(wǎng)絡(luò)攻擊過(guò)濾、主機(jī)防護(hù)、漏洞檢測(cè)等等。
《微信隱私保護(hù)指引》中稱，“若發(fā)生個(gè)人信息泄露等安全事件，我們會(huì)啟動(dòng)應(yīng)急預(yù)案，組織安全事件擴(kuò)大，并以推送通知、公告等形式告知。”
不過(guò)，微信的加密技術(shù)并非走在前列。據(jù)朱聰介紹，目前較為先進(jìn)的加密技術(shù)是端到端技術(shù)。與SSL不同的是，端對(duì)端加密的通訊方式中，只有終端持有密鑰，而負(fù)責(zé)傳遞信息的服務(wù)器僅作為媒介不能解密信息，軟件后臺(tái)也無(wú)法知道用戶之間到底聊了什么。換言之，黑客攻擊軟件后臺(tái)也沒(méi)有用。
根據(jù)IT媒體IPN在2017年7月19日統(tǒng)計(jì)的數(shù)據(jù)，包括微信、LINE、Telegram、WhatsApp等在內(nèi)的國(guó)際主流聊天軟件中，LINE和WhatsApp均默認(rèn)端到端加密，Telegram為“選擇性端到端加密”，微信則沒(méi)有采用端到端加密。
查看聊天記錄為何“能做但不會(huì)做”?
1月4日，對(duì)于騰訊采用SSL技術(shù)，是否會(huì)讀取用戶聊天記錄，一位接近騰訊的相關(guān)人士解釋，這個(gè)技術(shù)是通用的，任何用這個(gè)技術(shù)的公司從技術(shù)層面都可以做，但是不會(huì)做。
《中華人民共和國(guó)憲法》第四十條規(guī)定：中華人民共和國(guó)公民的通信自由和通信秘密受法律的保護(hù)。除因國(guó)家安全或者追查刑事犯罪的需要，由公安機(jī)關(guān)或者檢察機(jī)關(guān)依照法律規(guī)定的程序?qū)νㄐ胚M(jìn)行檢查外，任何組織或者個(gè)人不得以任何理由侵犯公民的通信自由和通信秘密。
而《中華人民共和國(guó)刑法》第253條“侵犯公民個(gè)人信息罪”明確規(guī)定，“違反國(guó)家有關(guān)規(guī)定，向他人出售或者提供公民個(gè)人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金;情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。”
滬江法務(wù)總監(jiān)林華表示，“加密技術(shù)不可能屏蔽窺視，但對(duì)用戶隱私的保護(hù)，實(shí)際上是騰訊必須守住的底線”。
如同當(dāng)下各行各業(yè)都在普及的公有云服務(wù)，公有云上的數(shù)據(jù)，服務(wù)商有能力看，但是為了嚴(yán)守公信力，保護(hù)用戶隱私，服務(wù)商依然是不能看的。
丁珂曾表示，“除了國(guó)家監(jiān)管的策略，我們價(jià)值導(dǎo)向是不會(huì)涉及用戶相互聊天，即使email系統(tǒng)存儲(chǔ)轉(zhuǎn)發(fā)，但微信沒(méi)有記錄。只在以下特別的情況，第一種，明確國(guó)家司法說(shuō)，違法需要協(xié)查，微信有能力，會(huì)根據(jù)國(guó)家法律在之后有介入。第二，國(guó)家明確要求的多人群，配合方。運(yùn)營(yíng)商都會(huì)有國(guó)家合規(guī)要求。第三，如果你在飛機(jī)上，信息沒(méi)收到，微信為了確保你能收到信息，會(huì)存儲(chǔ)轉(zhuǎn)發(fā)，收到之后沒(méi)有留底。”
對(duì)于丁珂此前提到的多人群監(jiān)管要求，付杰分析，在國(guó)家監(jiān)管要求下存儲(chǔ)的多人群信息也是在服務(wù)器上加密存儲(chǔ)的，理論上管理員可查看，但是公司里很少有人有這個(gè)權(quán)限來(lái)查看。
《微信隱私保護(hù)指引》表示，“我們建立專門的管理制度、流程和組織以保障信息的安全。例如，我們嚴(yán)格限制訪問(wèn)信息的人員范圍，要求他們遵守保密義務(wù)，并進(jìn)行審計(jì)。”
該條款還指出，微信不會(huì)主動(dòng)共享或轉(zhuǎn)讓用戶的個(gè)人信息至第三方，如存在其他共享或轉(zhuǎn)讓用戶的個(gè)人信息情形時(shí)，微信方面會(huì)征得用戶的明示同意。
從對(duì)用戶隱私保護(hù)的法律層面看，林華認(rèn)為，中國(guó)隱私保護(hù)的規(guī)定不見(jiàn)得比歐美少，不過(guò)歐美多以法律和判例規(guī)定隱私權(quán)，中國(guó)在民法典等法律對(duì)隱私權(quán)有原則規(guī)定，主要是靠部門規(guī)章規(guī)定，級(jí)別比法律低，但這些都是互聯(lián)網(wǎng)主管部門，實(shí)施效果反而比法律好。
