【#資安通報】WhatsAPP 大漏洞 洩漏資料

引用來源 Sean Telegram Channel
https://t.me/SeanChannel/92

稍早 Telegram 創辦人 Durov 又在他的個人頻道開嗆了，這邊簡單翻譯了一下：

今年五月，我預測 WhatsApp 將會繼續被爆出後門，嚴重的安全問題一個接著一個出現，就跟過往紀錄一樣 [1]。
這週新的後門又悄悄地被發現了 [2]，就像前兩次被發現的後門，這漏洞允許你手機上所有資料都讓黑客及政府探員看爽爽，只要發個影片給你，所有資料都落入攻擊者手中了 [3]。

WhatsApp 不僅無法保護您的訊息安全，而且還一直作為特洛伊木馬來監視您 WhatsApp 外的照片和訊息。
他們為何這麼做？Facebook 在收購 WhatsApp 之前就已經成為美帝稜鏡計劃的一員 [4][5]。
要是覺得被收購後政策會轉彎就太天真了，尤其在 WhatsApp 創辦人承認「我賣了所有使用者的隱私」後 [6]。

在本週被爆出此後門後，Facebook 堅稱沒有黑客成功利用後門的證據，試圖使混淆民眾視聽 [7]。
當然沒所謂的證據啦，想取得證據的話，要先能分析 WhatsApp 使用者分享的影片，然而這並不會永久保存在他的伺服器上（而是透過 Google 及 Apple 的伺服器傳送明碼的訊息及影片 [8]）。
蒸蚌，都不用分析影響範圍了 - 沒證據？真方便

但請放心，這麼大的資安漏洞肯定早晚會被發現，就像之前用來反對人權運動及某些天真的記者一樣 [9][10]。
今年九月有報導指出這些透過漏洞取得的資料會分享給美國探員們 [11][12]。

儘管有愈來愈多的證據顯示 WhatsApp 是個釣個資的蜜罐（honeypot），專門騙那些到了 2019 仍相信 Facebook 的人，但以善意推定來說，也可能只是不小心在所有程式都寫出了嚴重的資安漏洞。
我相信 Telegram 在整體複雜度跟 WhatsApp 相似，但推出六年以來沒有出過半個 WhatsApp 等級的紕漏。非常不可能有人會不小心地犯下大型資安問題、常態性地為監控者開方便的小徑。

無論 WhatsApp 母公司的內心意圖是什麼，對使用者的建議都一樣：除非你覺得你所有照片、訊息有天全被赤裸裸的公開在網路上很酷，否則你該從手機中把 WhatsApp 刪了。

引用連結：
[0] 此篇 Durov 頻道原文

[1] 為何 WhatsApp 永遠不可能安全

[2] WhatsApp 使用者急著更新程式以免監控威脅

[3] WhatsApp 的 Android 及 iOS 使用者現正遭受有害影片的威脅

[4] 關於稜鏡計劃你該知道的事

[5] 美國 NSA 國安局從九大科技公司索取資料

[6] WhatsApp 創辦人：我賣了所有使用者的隱私

[7] 黑客可用 WhatsApp 處理影片的漏洞取得你手機控制權

[8] WhatsApp 儲存未加密的備份資料在你的 Google Drive 雲端硬碟

[9] 上百位使用 WhatsApp 的記者、異議人士遭駭

[10] 獨家：各國政府官員的 WhatsApp 遭駭

[11] 檢警可以透過美國當局取得嫌疑犯的 Facebook 及 WhatsApp 訊息

[12] Facebook、WhatsApp 將與英國警察分享訊息資料

［#沈旭暉隨緣家書］國際社會的經驗教訓：「網禁」可行嗎？長者們，長大吧

//香港的最後價值，在於作為國際承認的金融中心，有健全法治、資訊開放、融資方便，正因如此，根本不存在一方面禁網、另一方面又能保持地位的「妙計」。由70多個國家的200多個組織組成的「#KeepitOn」聯盟，早前向特首和行政會議發公開信，表示如果封網，會影響儲存在香港的亞太區及國際機構數據，保守估計會帶來每日33億港元的直接經濟損失。這只是冰山一角，金融界有多少連鎖影響，更是天文數字，屆時股民、生意人、公共服務、記者、在港外國人士……全部受影響，打擊面比送中條例更誇張。//

https://www.facebook.com/…/a.22451490424…/2806473949386737/…

［#沈旭暉隨緣家書］國際社會的經驗教訓：「網禁」可行嗎？長者們，長大吧

特首會同行政會議引用《緊急法》，訂立《禁蒙面法》之後，不少網民風聞「網禁」將至，已買下VPN (虛擬私人網路) 軟件以防萬一。日前律政司司長入稟高等法院，獲頒臨時禁制令，禁止任何人非法於網上平台「發佈任何言論威脅使用暴力、或使用暴力及毀壞財物」，與及「任何人協助有關行為」，特別點名「反送中運動」三大法寶中的連登、Telegram等社會賢達眼中的「外國勢力高科技」。然而禁制令只是禁制早已犯法的內容，除了令不被點名的高登不是味兒，可說無人受影響；但若說是項莊舞劍，只是進一步網禁的先聲，倒合乎邏輯。

網禁不會打壓激進，只會令社會更激進

空穴來風，未必無因，確有行政會議成員說為了「止暴制亂」，不排除稍後網禁。《緊急法》賦予特首的無上權力之中，包括「對刊物、文字、地圖、圖則、照片、通訊及通訊方法的檢查、管制及壓制」，既是隨心所欲，自然「有權」行之。持同類高見的，自然還包括在內地社交媒體一炮而紅、已成為「藍營太上特首」的光頭警長劉Sir，他提出封禁民陣 、連登這兩個他口中的「恐怖組織」後，特區政府果然遵命行動。一時間，社會賢達圈子瀰漫一片樂觀情緒，彷彿解決了提出問題的人和平台，就是解決了問題，思維之落後，予欲無言。

「網禁」技術上可以指禁止瀏覽、進入特定網站或程式，又可以指封禁整個網絡，而兩者的結局放在香港，都是「攬炒」，而且邏輯上也不通。網絡論壇本來就沒有自己的主張，連登從沒有認為示威一定要使用暴力，在論壇出現的留言，只是民間輿論的展示，禁之不絕。用家要金蟬脫殼，寫出連登2.0、3.0、4.0，技術上輕而易舉，連登還不是從高登那裏金蟬脫殼出來？即時政府點名封鎖連登，管理員只要定期變更海外網址，用家由VPN連接，誰能擋？在這波運動回春的Facebook，每一個帖文下的開放留言，同樣是一個一個小討論區，不少言論比連登更激烈，是否又要封Facebook？

「掐碎花瓣，並不能阻止春天到來」；水能覆舟，其實也能載舟。連登、Telegram這類公眾平台十分透明，政府反而能知道輿論走向，也有無數科學方式量度、預測；反而一旦消失，用戶走入深不可測的深網，那才是真正激進化的開端，激進份子屆時要帶風向，也比在「大台」容易得多。政府禁網的想法，要不是對網絡社會一無所知，就是「拿著紅旗反紅旗」，目的其實是逼使網民激化，來合理化餘下行為，例如響應習主席指示，找理據去「健全特區維護國家安全的法律制度和執行機制」，邏輯和「禁蒙面法」如出一徹。

蘇丹、伊朗網禁的經驗教訓

既然單一取締連登、Telegram並不容易，也有「高人」想過短期完全封網，或安裝內地那樣的防火牆。說到這些，不妨看看國際例子，例如與香港同期成為國際頭條的蘇丹。今年4月，蘇丹軍人發動叛變，推翻了掌權30年的獨裁者巴希爾，但拒絕交出權力，人民發動大遊行，最終軍方血腥鎮壓，為了阻止示威集結、避免大屠殺影片流出，悍然令全國斷網。斷網期間，前線消息斷絕，但蘇丹人利用前網絡時代的工會、鄰里人脈網，自行組織了「哨兵隊」，用人肉方法將訊息傳開；斷網亦引起新民憤，鼓勵更多人搜證軍方暴行，並以USB形式交給「駁腳」轉移國外。斷網原意是要大遊行無法組織，但民憤不止，繼續以社區快閃抗爭和騷亂發泄出來，局勢更失控。最後在國際社會介入下，軍方暫時與人民達成協議，成立獨立調查委員會，宣布在21個月後舉行選舉還政於民，網禁被證明了是火上加油的反智。

2017-18年，伊朗也爆發了大規模反政府示威，伊朗官方一如北京，標籤示威是外國勢力推動的「顏色革命」。當時伊朗人已經用Telegram和手機組織運動，於是伊朗政府封鎖Telegram，又切斷首都德黑蘭的主要網絡，某些地區的互聯網完全中斷，VPN也失靈。然而伊朗人科普水平極高，禁網期間，民間智慧催生了大量替代品，Tor (洋蔥路由器)之類的軟件被大幅度使用，用戶通過Tor可以匿名接通到外國志願者提供的網絡，通訊經過多層加密，令政府更難捉摸。即使是Telegram本身，雖然政府封禁了，但被外媒評為「象徵式禁令」：據年初德黑蘭大學一項調查，禁網後的Telegram流量，即時從每日24億急降至8.5億，不過兩星期後就回升至16億，不少「禁網派」領袖自己也繼續使用。

由Tor到Bridgefy：化整為零的智慧

除非政府下令「物理斷網」 (切斷電纜)，否則技術上，只要香港繼續連網，網民就有方法突破封鎖。例如在前線現場，手機與手機之間就可以通訊，Bridgefy可以不依賴網路，向100公尺內的其他用戶發放訊息。難道連手機也禁？再以伊朗為例：2018年，伊朗約有4800萬部手機，平均每兩人有一部，美國的伊朗專家 Holly Dagres 受訪時表示「伊朗人可以沒錢買食物，但他們一定會買到最好最新的手機」，反映伊朗的網絡經濟十分成熟，不少買賣和宣傳，都必須依賴社交網絡進行。為了生計，很多伊朗生意人無視網禁，「違法達義」，連帶其他溝通也不可能杜絕，何況是更網絡化的香港？

香港的最後價值，在於作為國際承認的金融中心，有健全法治、資訊開放、融資方便，正因如此，根本不存在一方面禁網、另一方面又能保持地位的「妙計」。由70多個國家的200多個組織組成的「#KeepitOn」聯盟，早前向特首和行政會議發公開信，表示如果封網，會影響儲存在香港的亞太區及國際機構數據，保守估計會帶來每日33億港元的直接經濟損失。這只是冰山一角，金融界有多少連鎖影響，更是天文數字，屆時股民、生意人、公共服務、記者、在港外國人士……全部受影響，打擊面比送中條例更誇張。

網絡焦土：第一次世界網絡大戰在香港？

伊朗禁網後，聯合國人權事務高級專員辦事處派出四名特別觀察員，他們撰寫的報告表示伊朗「禁止資訊溝通嚴重違反基本人權」。如果特區政府剝奪更多港人基本人權來「止暴制亂」，只會令整場運動不斷得到生命力：須知抗爭者並非為了爭取更多而發聲，而是哀嘆基本權利不斷淪喪；現在撤回了一條條例，卻在由警察到法治的方方面面急速沉淪，假如連網絡也失守，邏輯上，難道市民反而會安心回家溫習加班供樓？

最後，須知特區政府的網絡水平無論是知識還是技術，都處於茹毛飲血的史前階段，要有效「執法」，很難不依靠大內高手。但那時候，卻可能引來其他國家、組織的網軍來香港較量練兵，屆時爆發以香港為虛擬主戰場的「第一次世界網絡大戰」，林鄭政府連網絡也要焦土化，亦未可知。「焦土之母」一旦進入二次元空間，越戰越勇，恐怕只會為香港人帶來又一場災難。

明報筆陣，2019年11月4日

［#沈旭暉隨緣家書］國際社會的經驗教訓：「網禁」可行嗎？長者們，長大吧

特首會同行政會議引用《緊急法》，訂立《禁蒙面法》之後，不少網民風聞「網禁」將至，已買下VPN (虛擬私人網路) 軟件以防萬一。日前律政司司長入稟高等法院，獲頒臨時禁制令，禁止任何人非法於網上平台「發佈任何言論威脅使用暴力、或使用暴力及毀壞財物」，與及「任何人協助有關行為」，特別點名「反送中運動」三大法寶中的連登、Telegram等社會賢達眼中的「外國勢力高科技」。然而禁制令只是禁制早已犯法的內容，除了令不被點名的高登不是味兒，可說無人受影響；但若說是項莊舞劍，只是進一步網禁的先聲，倒合乎邏輯。

網禁不會打壓激進，只會令社會更激進

空穴來風，未必無因，確有行政會議成員說為了「止暴制亂」，不排除稍後網禁。《緊急法》賦予特首的無上權力之中，包括「對刊物、文字、地圖、圖則、照片、通訊及通訊方法的檢查、管制及壓制」，既是隨心所欲，自然「有權」行之。持同類高見的，自然還包括在內地社交媒體一炮而紅、已成為「藍營太上特首」的光頭警長劉Sir，他提出封禁民陣 、連登這兩個他口中的「恐怖組織」後，特區政府果然遵命行動。一時間，社會賢達圈子瀰漫一片樂觀情緒，彷彿解決了提出問題的人和平台，就是解決了問題，思維之落後，予欲無言。

「網禁」技術上可以指禁止瀏覽、進入特定網站或程式，又可以指封禁整個網絡，而兩者的結局放在香港，都是「攬炒」，而且邏輯上也不通。網絡論壇本來就沒有自己的主張，連登從沒有認為示威一定要使用暴力，在論壇出現的留言，只是民間輿論的展示，禁之不絕。用家要金蟬脫殼，寫出連登2.0、3.0、4.0，技術上輕而易舉，連登還不是從高登那裏金蟬脫殼出來？即時政府點名封鎖連登，管理員只要定期變更海外網址，用家由VPN連接，誰能擋？在這波運動回春的Facebook，每一個帖文下的開放留言，同樣是一個一個小討論區，不少言論比連登更激烈，是否又要封Facebook？

「掐碎花瓣，並不能阻止春天到來」；水能覆舟，其實也能載舟。連登、Telegram這類公眾平台十分透明，政府反而能知道輿論走向，也有無數科學方式量度、預測；反而一旦消失，用戶走入深不可測的深網，那才是真正激進化的開端，激進份子屆時要帶風向，也比在「大台」容易得多。政府禁網的想法，要不是對網絡社會一無所知，就是「拿著紅旗反紅旗」，目的其實是逼使網民激化，來合理化餘下行為，例如響應習主席指示，找理據去「健全特區維護國家安全的法律制度和執行機制」，邏輯和「禁蒙面法」如出一徹。

蘇丹、伊朗網禁的經驗教訓

既然單一取締連登、Telegram並不容易，也有「高人」想過短期完全封網，或安裝內地那樣的防火牆。說到這些，不妨看看國際例子，例如與香港同期成為國際頭條的蘇丹。今年4月，蘇丹軍人發動叛變，推翻了掌權30年的獨裁者巴希爾，但拒絕交出權力，人民發動大遊行，最終軍方血腥鎮壓，為了阻止示威集結、避免大屠殺影片流出，悍然令全國斷網。斷網期間，前線消息斷絕，但蘇丹人利用前網絡時代的工會、鄰里人脈網，自行組織了「哨兵隊」，用人肉方法將訊息傳開；斷網亦引起新民憤，鼓勵更多人搜證軍方暴行，並以USB形式交給「駁腳」轉移國外。斷網原意是要大遊行無法組織，但民憤不止，繼續以社區快閃抗爭和騷亂發泄出來，局勢更失控。最後在國際社會介入下，軍方暫時與人民達成協議，成立獨立調查委員會，宣布在21個月後舉行選舉還政於民，網禁被證明了是火上加油的反智。

2017-18年，伊朗也爆發了大規模反政府示威，伊朗官方一如北京，標籤示威是外國勢力推動的「顏色革命」。當時伊朗人已經用Telegram和手機組織運動，於是伊朗政府封鎖Telegram，又切斷首都德黑蘭的主要網絡，某些地區的互聯網完全中斷，VPN也失靈。然而伊朗人科普水平極高，禁網期間，民間智慧催生了大量替代品，Tor (洋蔥路由器)之類的軟件被大幅度使用，用戶通過Tor可以匿名接通到外國志願者提供的網絡，通訊經過多層加密，令政府更難捉摸。即使是Telegram本身，雖然政府封禁了，但被外媒評為「象徵式禁令」：據年初德黑蘭大學一項調查，禁網後的Telegram流量，即時從每日24億急降至8.5億，不過兩星期後就回升至16億，不少「禁網派」領袖自己也繼續使用。

由Tor到Bridgefy：化整為零的智慧

除非政府下令「物理斷網」 (切斷電纜)，否則技術上，只要香港繼續連網，網民就有方法突破封鎖。例如在前線現場，手機與手機之間就可以通訊，Bridgefy可以不依賴網路，向100公尺內的其他用戶發放訊息。難道連手機也禁？再以伊朗為例：2018年，伊朗約有4800萬部手機，平均每兩人有一部，美國的伊朗專家 Holly Dagres 受訪時表示「伊朗人可以沒錢買食物，但他們一定會買到最好最新的手機」，反映伊朗的網絡經濟十分成熟，不少買賣和宣傳，都必須依賴社交網絡進行。為了生計，很多伊朗生意人無視網禁，「違法達義」，連帶其他溝通也不可能杜絕，何況是更網絡化的香港？

香港的最後價值，在於作為國際承認的金融中心，有健全法治、資訊開放、融資方便，正因如此，根本不存在一方面禁網、另一方面又能保持地位的「妙計」。由70多個國家的200多個組織組成的「#KeepitOn」聯盟，早前向特首和行政會議發公開信，表示如果封網，會影響儲存在香港的亞太區及國際機構數據，保守估計會帶來每日33億港元的直接經濟損失。這只是冰山一角，金融界有多少連鎖影響，更是天文數字，屆時股民、生意人、公共服務、記者、在港外國人士……全部受影響，打擊面比送中條例更誇張。

網絡焦土：第一次世界網絡大戰在香港？

伊朗禁網後，聯合國人權事務高級專員辦事處派出四名特別觀察員，他們撰寫的報告表示伊朗「禁止資訊溝通嚴重違反基本人權」。如果特區政府剝奪更多港人基本人權來「止暴制亂」，只會令整場運動不斷得到生命力：須知抗爭者並非為了爭取更多而發聲，而是哀嘆基本權利不斷淪喪；現在撤回了一條條例，卻在由警察到法治的方方面面急速沉淪，假如連網絡也失守，邏輯上，難道市民反而會安心回家溫習加班供樓？

最後，須知特區政府的網絡水平無論是知識還是技術，都處於茹毛飲血的史前階段，要有效「執法」，很難不依靠大內高手。但那時候，卻可能引來其他國家、組織的網軍來香港較量練兵，屆時爆發以香港為虛擬主戰場的「第一次世界網絡大戰」，林鄭政府連網絡也要焦土化，亦未可知。「焦土之母」一旦進入二次元空間，越戰越勇，恐怕只會為香港人帶來又一場災難。

明報筆陣，2019年11月4日