如今，数字通讯愈发普及，即时通讯应用的安全性成了我们不能回避的核心议题。WhatsApp是全球用户量极大的应用之一，其安全机制时常处在聚光灯下，因其采用的端到端加密技术虽是重要防线，可这绝不表明我们的对话处于绝对安全的无风险环境。事实上，从元数据泄露到社交工程攻击，用户面临的风险是多维度且真实存在的。我们要越过对单一加密技术的盲目信赖，全面审视通讯链路里每一个可能被利用的薄弱之处。
WhatsApp的端到端加密真的牢不可破吗
这一种基于通信双方限定仅彼此可实施解密操作的安全架构特性的端到端加密，是WhatsApp这一应用的基石所在，此技术从理论层面而言，能够切实有效地避免包括服务提供商本身在内的第三方对于用户对话内容的窥探行为。然而，该加密所具备的保护范畴仅仅被限定于消息的正文部分，其并不涵盖与之相伴相随的大量元数据层面譬如你与何人展开交谈、于何时进行交谈、交谈的频率究竟如何以及所使用的设备具体信息等内容，而这些数据凭借自身特征便能够描绘勾勒出用户的社交图谱以及行为模式构成，具备着极高的分析价值意义，。当涉及到执法部门或者具备监控网络流量能力的实体时，元数据是有着极高重要价值的情报来源，所以，加密就如同是给信件的内文加上了锁，然而Signal 电脑 版，信封上面的寄件人的消息、收件人的消息以及邮戳的信息统统依旧是暴露在外面的 。
加密技术安全性对其实现正确性有着高度依赖，WhatsApp采用由Open Whisper Systems所开发的Signal协议，此该协议在密码学社区备受推崇，但其与客户端软件是否被篡改、密钥管理是否严谨直接相关，若用户设备被恶意软件入侵，或者备份密钥的云服务被攻破，加密防护便如同虚设，而我们不能把“端到端加密”简单跟“绝对安全”等同，它仅是对抗特定类型威胁的有效工具之一。
为什么说WhatsApp备份是安全软肋
好多人都没察觉到，那默认开启的云端备份，或许会使端到端加密所作的努力化为泡影。当使用者挑选把聊天记录备份到iCloud或者Google Drive的时候，这些备份文件一般是不受端到端加密保护的。它们仅仅靠着用户云账户密码来保护，其安全程度完全取决于云服务提供商的安全策略以及用户自身的账户安全举措。这就表明，如果云服务提供商出现数据泄露的情况，又或者用户的云账户被攻破，那么多年的聊天历史将会面临被曝光的风险。
较为关键的是，一些司法管辖区的政府机构能够借助法律途径，径自从苹果或者谷歌那里获取这些未加密的备份数据。这跟直接从WhatsApp服务器获取加密数据相比较而言，门槛是要低出许多的。对于看重隐私的用户，特别是记者、活动人士或者处理敏感商业信息的人士，务必要审慎地评估这一风险。最为直接的做法是在应用的设置里关闭自动云备份功能，或者起码为备份设定一个单独的、高强度的加密密码，虽说并非所有平台都对备份加密予以支持。
如何识别针对WhatsApp的社交工程骗局
不是直接去破解加密算法的社交工程攻击，而是借助人性弱点用来绕过全部技术防护。在WhatsApp上面这类攻击，通常会伪装成亲友求助、官方验证码通知或者中奖信息。常见的手法是，骗子盗用某个联系人的头像以及名称，新建一个对话，以“手机丢了，这是新号”或者“急需帮忙验证”当作理由来骗取信任。因为界面跟正常对话没有差异，所以用户极其容易放松警惕。
另类高发的骗局是“验证码劫持”，骗子会诱导用户讲出收到的注册验证码，一旦得逞，就能马上在另一台设备上登录用户的WhatsApp账户，致使原设备被强制登出，这时，所有消息会被骗子实时接收，而用户本人则完全丧失账户控制权，防范这类攻击的关键在于树立安全常识，即绝对不向任何人透露短信验证码，对于任何涉及金钱、敏感信息的紧急请求，一定要通过电话或原有可靠联系渠道进行二次确认 。
更换手机时如何安全迁移WhatsApp数据
更换新手机之际，WhatsApp的数据迁移进程要是操作有误，就有可能致使历史对话永久性遗失或者意外地被泄漏出去。官方所推荐的迁移办法是借助本地二维码扫描或者云端备份来恢复。运用二维码迁移之时，新旧设备须处于同一个Wi-Fi网络环境里，整个流程数据不会经过互联网，相较来说比较安全。但是必须保证操作环境私密，不能有人窥屏从而获取二维码。
若是借助云端备份去恢复，那么便会面临前面所提及的备份安全方面的风险。在开展这个操作之前，提倡先去检查并且强化云账户的安全设置，就好像启用双重验证那样。迁移完成之后，一定要在旧设备上退出WhatsApp账户，并且执行完整的恢复出厂设置，以此来彻底清除本地残留的数据。好多人都会忽视旧设备的处理，要是它被转卖或者丢弃，没有被彻底删除的数据有可能性被其他人恢复。一个非常细微的操作上的疏忽，极有可能让多年来的隐私记录暴露在风险当中。
WhatsApp双因素验证为何必须开启
双因素验证是给你WhatsApp账户增添的又一道防护锁，当在任何新设备上登记你的电话号码时，除短信验证码外，还得输入自定义的六位PIN码。此项功能可有效防范“验证码劫持”攻击。就算攻击者借欺诈手段拿到短信验证码，因没法提供PIN码，依旧无法成功注册，进而保障你的账户不被冒用。
设置一个不容易被猜到的PIN码，这是非常重要的，要避免使用那些生日的数字、呈现连续状态的数字或者是简单且重复的号码，WhatsApp会按照一定的周期提示你去输入PIN码，目的是防止忘了这件事，一定要把备份时用到的救援邮箱地址设置成你日常高频率在用而且安全靠谱的邮箱，一旦出现忘掉PIN码这种情况，就能通过这个邮箱接收到进行重置的链接Signal iPhone 下载，这是一个看似简单但常常被用户忽视掉的这样一种设置呢，花一分钟左右的时间去启用它，能够大幅度提升账户的那种抵御能力 。
Signal相比WhatsApp在安全上有哪些优势
当深入讨论通讯安全时，许多安全研究者会提及Signal下载量呈现出持续增长的状况，这背后体现出用户对于更高隐私标准的追寻。Signal身为端到端加密协议的原创者，其安全模型在设计方面更为激进且纯粹。首先，Signal默认收集的元数据比WhatsApp少很多。它不储存用户的社交关系图谱，就连对话时间戳也仅保留必要的最短时间，从设计的源头令数据暴露面最小化。
Signal是一款产品，它是开源的，且是非营利的，其客户端代码公开，服务器代码也公开，接受全球安全社区审查，这种透明性让潜在后门或漏洞更难被隐藏，相比之下，WhatsApp是Meta旗下闭源商业产品，其内部数据处理政策受公司商业战略影响较大，对于追求极致隐私、不想与大型广告商业模式产生关联的用户来说，选择 。Signal下载其使用之举，乃于技术以及哲学层面更为彻底之抉择。当然，Signal于用户普及程度以及功能丰富程度方面逊于WhatsApp，此情形需用户依自身优先级予以权衡 。
经知晓了WhatsApp各个方面有关安全层面存在的隐患以及相应的能用来应对的措施之后，您觉得对于平常的用户来讲，在具备便利性以及拥有绝对隐私这两者之间，应当怎样去做出契合自身情况的平衡以及选择呢？欢迎于评论区域分享您所拥有的看法，要是您认为这篇文章具备实际起到的帮助作用，同样请进行点赞给予支持并且分享给更多的朋友。
原创文章，作者：Signal官网，如若转载，请注明出处：https://signal-app.top/archives/399
