Clubhouse存风险 专家警告:恐遭反向追踪

【大纪元2021年03月01日讯】(大纪元记者吴旻洲台湾台北报导)近期语音社交平台“Clubhouse”掀起风潮,引发外界热烈关注,不过却也爆出该平台使用中资音讯技术公司声网(Agora),恐存有资安风险。专家警告,经实测后发现,Clubhouse并非如声称使用P2P传输,且语音封包内存ID资讯,恐遭反向追踪,建议勿在平台上聊敏感或触法话题。

Clubhouse是一款仅接受“邀请码”才能加入的语音社群应用程式,目前仅在App Store上架,Google Play仍为测试阶段,甚至官网都还没设立,就已有数百万人注册,并已获得大量资金投资。

不过近期Clubhouse却被爆出,程式的即时音频技术是采用Agora的技术,而非自行研发。但Clubhouse及Agora至今都未承认彼此的合作关系。

专家测试 Clubhouse恐非P2P传输

台湾智慧家庭(TIH)执行长陈庆耀(Pichu Chen)表示,Agora声称技术是透过P2P(peer-to-peer,点对点传输)这点基本上是有问题的,至少他透过网路封包分析工具Wireshark测出来的结果不是,他也分享自己的实测结果。

在透过“中华电信光世代”进行连线时,所有的语音封包会传输到45_255_124_0/24 AOFEI-JP,这个并非云端龙头产业亚马逊网路服务公司AWS(Amazon Web Services)的IP,由于AWS目前没有提供边界闸道协定会谈(BGP session),因此他推测是Agora自己的机房,而mnt-by:MAINT-YINGDA-CN实质应该是由香港及深圳的所属公司控制。

而当透过“中华电信LTE”连线时,所有的语音封包则会传输到 103_59_49_10 NLTD-HK。他表示,这个实质上是由香港控制的网段,同样也可能不在AWS上。

陈庆耀表示,没有侦测到成功的点对点连线,也就是没有任何封包是直接从使用者手机送往一般使用者的手机,也没有从任何其它使用者手机收到封包,这个结果证明,声称使用P2P传输,不是技术太差,就是其实是假的。

语音封包存ID资讯 恐遭反向追踪

今年2月8日以前,中国大陆用户原本无须通过VPN(翻墙)就能使用Clubhouse,在平台上畅谈关于“六四”、台湾、香港、新疆和西藏等中共敏感话题,达成真正意义上的“与全球用户交流”,不过该平台随即遭到中共网路防火墙封锁。

陈庆耀表示,原本他只有拦截封包而没有进行解密,理论上应该只知道有人往Agora的服务器连线,而不应该知道封包细节,但2月8日发生Clubhouse被封锁情况后,确认封包内容的细节就变得比较重要。

因此他对网路语音封包进行分析后发现,使用者在收发特定聊天室讯息时的ID为“f0 1a 80 89”(如同编号第 f01a8089 号房间),由于封包本身会带有来源IP的位置,因此如果使用者在中国境内,他的ID对上来源IP的资讯,有可能会被配对、记录。

他表示,执法机关可以透过封包的纪录,知道某个IP在几点、几分、几秒时于哪个房间发言,而且只要有了IP,就有办法追到申办网路的人,因此还能反推出发言的人是谁。

“有几分证据说几分话,我只有用自己的账号进行观察,因此可以确定我如果重复进入某个房间,会有一个房间ID是固定出现的。”陈庆耀表示,房间ID并不会明确显示在Clubhouse的使用者介面上,因此他暂时无法下定论,究竟这个房间ID是专属个人,或者是全平台共用的房间ID。

他以信用卡刷卡为例,收银员会看到16位元的信用卡卡号,所以公司可以利用这点追踪顾客。但Apple Pay的刷卡方式,则是每次都会提供不同的虚拟卡号,因此顾客消费的内容,就不会被追踪到。

他猜测,Agora对于隐私的设计,应该没有做到Apple的程度,因此很有可能房间ID是全平台共用,也就是网警若想知道某个房间的ID,他只需用自己的账号进入这个房间就会知道了。但他强调,因为他没有用第二个账号测试,所以目前纯属猜测。

聊八卦可以 敏感内容别上Clubhouse

此外,Clubhouse使用的语音封包可能没有对齐128位元,意谓该软体可能没有使用高阶加密标准(AES,有分128位元、192位元、256位元三种长度的密钥)。

陈庆耀表示,即便传输资料只有8位元,为了避免内容被暴力破解,通常加密时仍会将至少128位元的区块放在一起进行块状加密,但Clubhouse的传送封包似乎没有对齐128位元,代表可能并非使用现代密码学常见的加密手段,有可能是自行发明的加密方式,或者是根本没有进行加密,却对外宣称有进行加密。

他表示,接下来中国的朋友应该会透过VPN上Clubhouse,根据以往的情报这样应该可以顺利连上,只是你不知道哪些VPN会测录封包,因此有可能反而更容易被锁定。

他认为,虽然目前并没有直接证据,能证明Agora有任何恶意泄露使用者资讯的行为,但有证据证明Agora可能无意产生了隐私上的弱点,这个弱点有可能会使得中间的网路服务提供商,或者是政府在不需要Clubhouse或是Agora同意授权之前,就可以私下搜集使用者行为资讯。

他表示,在取得Clubhouse或Agora内部员工爆料之前,大家主观上都会相信他们承诺的隐私政策,但他们提交给Apple及Clubhouse的隐私政策中,也清楚表明会搜集使用者的联络人、联络资料、使用资料、设备ID等,并与使用者本人进行连结。

“因此使用者必须要注意不要任意触犯当地法律,例如在加州讨论大麻使用可能是没问题的,但是在台湾分享大麻使用经验有可能会被检察官盯上。”陈庆耀表示。

他建议,如果觉得自己的对话内容,是在星巴克被隔壁桌听到也不会出事的就没关系,例如聊八卦、聊星座、讨论投资经验、或者是分享音乐创作等等,原则上不会有问题,但如果真不太希望政府知道的资讯,建议还是使用Telegram之类,“有点对点加密功能,而且真的被资安人员稽核过”的聊天软体。

责任编辑:李薇