最新内容 微 信 搜索 公 众 号 网 络 研 究 观在日常沟通中无论是朋友聊天还是商务对谈我们越来越关注通信安全与隐私。提到业界标杆级别的端到端加密应用Signal 名字可谓赫赫有名。然而哪怕是加密防护如此强悍的软件在极极端的情况下依然面临着一种黑客界最古老的威胁——“中间人攻击”Man-in-the-Middle Attack。为了解决这个痛点Signal 工程师Katherine Yen在最新技术日志中宣布正式推出“自动密钥验证”Automatic Key Verification功能这意味着以后我们再也不用拿着一长串复杂的数字费劲巴力地找好友当面“扫码验证”了。什么是“中间人攻击”为什么加密了还不安全想要理解这个新功能我们先用一个简单形象的比喻来说明什么是端到端加密传统加密 你把一封信装进带有锁头的信封里寄给好友只有你和好友手中有打开这把锁的钥匙。黑客就算在半路截获了信封因为没有钥匙也只能看到一堆乱码。看似万无一失对吧但这里隐藏着一个前提条件你必须保证拿到的是“正确的好友公钥”。在实际使用中你的手机需要向 Signal 的后台服务器查询“请把好友 A 的公钥发给我。”如果出现极端情况——比如黑客攻破了服务端目录或者极罕见的公司内部特权员工恶作剧——服务器可能会悄悄替换掉好友的公钥改成黑客自己的公钥。结果就是你以为自己在跟好友私密聊天实际上你的每一句话都被黑客用假钥匙解密阅读然后再用真正的钥匙转发给好友。你和好友完全察觉不到中间多了一个“偷听者”告别繁琐“自动密钥验证”是如何工作的以前为了防范这种情况Signal 提供了“安全码”Safety Numbers 机制。但这种方法非常考验耐性你需要和好友在现实中见面用手机相互扫描 QR 码或者通过另一个绝对信任的第三方平台逐字比对一串由几组数字组成的“安全码”。对于大多数普通用户来说这简直太烦琐了绝大多数人干脆直接跳过这一步。而全新的“自动密钥验证”功能则从根本上改变了这一切它引入了密码学中极具前沿性的技术——密钥透明度Key Transparency。它的核心机制可以分为三步全局账本不可篡改当你注册、更换手机号或修改用户名时产生的公钥变更都会被记录在一个公开且不可篡改的加密账本中。引入权威独立审计知名网络安全机构Cloudflare和Trail of Bits作为第三方独立审计员会实时监控这个系统。一旦 Signal 服务器尝试对不同用户显示不一致的密钥就会立刻被审计系统察觉并报警。隐私绝对无忧审计过程全部采用密文计算第三方机构完全看不到用户的明文手机号或用户名个人隐私丝毫不受影响。一键体验普通用户如何操作这个新功能使用起来非常顺手完全没有技术门槛打开与好友的 1 对 1 聊天框点击对方的个人资料选择“查看安全码”View Safety Number点击“自动验证”Verify automatically。如果系统确认密钥一致且未经篡改屏幕上就会弹出一个醒目的绿色勾选框并提示“加密已验证”Encryption verified整个过程在几秒钟内自动完成再也不用像过去那样人工核对数字串了。需要注意的小细节尽管“自动密钥验证”非常强大但在使用时也有几个小地方需要注意依赖手机号关联目前该功能需要基于联系人的手机号进行验证。如果是直接通过“用户名”发起的陌生人对话可能暂时无法使用自动验证此时依然可以切换回传统的“扫描安全码”模式。不等于真人身份认证密钥验证只能保证“与你对话的设备密钥没有被中途替换”但它无法防止对方手机被盗、或者账号被整人盗用的情况。自主掌控权如果你是个极度的“技术硬核派”不想把信任依赖于第三方审计机构也可以直接前往设置 隐私 高级中关掉自动验证继续沿用纯手动的方式。网络安全领域一直存在一个经典的悖论安全性越高的工具往往易用性越差。Signal 此次推出的“自动密钥验证”巧妙地利用现代密码学和第三方透明审计将原本只有极少数极客才会去做的“安全码比对”变成了普通大众指尖一点就能完成的轻松操作。安全无小事防患于未然。快去打开你的 Signal为你的重要好友点一次“自动验证”给你们的对话加上一层更安心的保险锁吧