Zarfı kim görüyor: Signal, SimpleX, Session ve XMPP'de meta veri karşılaştırması
Uçtan uca şifreleme tek bir soruyu yanıtlar — bu mesaj yolculuğu sırasında biri okuyabilir mi — ve en az onun kadar önemli olan daha sessiz soru hakkında hiçbir şey söylemez: bir mesajın hiç yaşandığını kim görebilir. Bağlantı zamanları, IP adresleri, tanımlayıcılar ve kişi örüntüleri gibi teslim meta verileri asla şifrelenmez, çünkü trafiğin yönlendirilebilmesi için bir şeyin okunabilir kalması gerekir.
Meta veriler neyi kapsar
İçerik şifrelemesi söyleneni gizler. Bir cihazın belirli bir anda, belirli bir ağdan bir hizmete bağlandığını ve belirli boyutta bir yük alışverişi yaptığını gizlemez. Zamanlama ve hacim tek başına kimin kiminle ne zaman konuştuğunu kabataslak çizebilir; bu yüzden her mesajlaşma uygulamasının meta veriler hakkındaki mimari seçimleri şifresi kadar önemlidir.Signal: sealed sender ve en az tutma
Signal sunucu tarafında saklamayı en düşükte tutar ve 2018'den beri sealed sender kullanarak gönderenin kimliğini her mesajın dış yüzünden çıkarır; projenin benzetmesi, "a blank space where the 'from' address used to be" olan bir mektup — yalnızca hedef bilinerek teslim edilebilen. Aynı yazı sınırları da kabul eder: "traffic correlation via timing attacks and IP addresses" karşısında direnç hâlâ devam eden bir iştir ve Signal kullanan bir cihaz bağlantısını yine Signal altyapısına bildirir. Signal'in gerçekte sakladığını pazarlama değil hukuki açıklamalar belgeler. Hükümet talepleri sayfası aldığı taleplerin dökümlerini yayınlar; 2016'daki bir grand jury tebligatını yanıtlarken şirket, verebildiği tek bilginin hesap kayıt tarihi ile kullanıcının hizmete son bağlantı tarihi olduğunu bildirdi. 2021'de ve Mart 2026'daki bir başka tebligat sonrasında yanıtlanan talepler aynı nakaratı yineler: veri Signal'in sunucularında basitçe yoktur. Geriye her istemci-sunucu tasarımının taşıdığı kalıntı kalır: ne zaman bağlandınız ve nereden. Yapısal bir tanımlayıcı kalır: Signal hesapları bir telefon numarasına karşı oluşturulur, artık kullanıcı adları bu numarayı başkalarının kişi listelerinin dışında tutsa da. Bu, her hesabı gerçek dünyadaki bir şeye bağlar; sahibinin bir kişiyle bağlanmaması gereken tehdit modellerinde önemli olan da budur.SimpleX: ağda hiç kullanıcı tanımlayıcısı yok
SimpleX tanımlayıcı sorununa doğrudan saldırır. Hesaplar yerine mesajları kişi başına mesaj kuyrukları üzerinden aktarır; bir sunucunun bildiği tek şey bunların adresleridir. Proje, "SimpleX Chat has no user identifiers visible to the network" der; profiller, kişiler ve mesajlar yalnızca istemci cihazlarda saklanır. Bir konuşma tipik olarak iki farklı aktarıcıdan geçer, yön başına biri, böylece hiçbir tek operatör trafiği iki yönde birden görmez. Bağımsız inceleme de var: Kasım 2022'de duyurulan Trail of Bits kod denetimi, kripto ve ağ kütüphanesinde iki orta ve iki düşük şiddetli açık buldu — hiçbiri tanımlayıcısız modeli zayıflatmıyor. SimpleX sunucularının gördüğü şey kuyruk adresi ve ona olan bağlantıdır — projenin sonradan, gönderenlerin IP adreslerini aktarıcı işletmecilerinden saklamak için özel yönlendirmeye yatırım yapmasının büyük nedeni bu. Her aktarıcı tasarımında olduğu gibi pay da ağ boyutuna bağlıdır: az kullanılan bir sunucudaki kuyruk, yoğun trafiğe gömülü bir kuyruktan daha kolay korele edilir.Session: kendi ağı üzerinden onion istekleri
Session hesap oluşturmada telefon ve e-postayı kaldırır: hesap, kurtarma tohumuyla birlikte yeni üretilmiş rastgele bir ID'dir. Mesajlar merkeziyetsiz ağından onion istekleri olarak geçer; katmanlanma öyledir ki projenin sözleriyle "no single server ever knows a message's origin and destination". Teslim, şifreli mesajları toplanana kadar tutan beş ila yedi düğümlü sürülerden geçer. Belgeler bunun "impossible for Session to track users' IP addresses" yaptığını bile iddia eder; mutlak iddialar temkin ister, çünkü daha küçük bir öz-ağ düğümlerinin bütünlüğüne ağır basar.OMEMO'lu XMPP: meta veri vaadi olmayan şifreleme
XMPP federasyonlu durumdur. OMEMO standardı (XEP-0384), Signal tarzı double ratchet şifrelemesini çok cihaz desteğiyle XMPP'ye taşır ve sunucuları içerik için güvenilmez sayar. Şartname sınırı dürüstçe çizer: "metadata and traffic analysis" karşısında koruma sağlamaz. Federasyonlu bir ağda kimin kiminle konuştuğu, hesapları barındıran sunuculara ve aradaki federasyon yolundaki her şeye görünür. Bu yüzden sağlayıcı seçimi bir erişilebilirlik kararı kadar meta veri kararıdır: içerik şifrelemesi standartlaştırılmıştır, meta veri koruması operatörün yaptığıdır.Hiçbirinin kaldıramadığı
Karşılaştırma ancak dördünün paylaştığıyla bitince dürüst kalır:- Signal: hizmet bağlantı zamanlarını ve IP adreslerini görür, kayıt telefon numarasına dayanır; sealed sender gönderenin kimliğini gizler ve yayınlanan açıklamalar verilen verinin kayıt ile son bağlantı tarihleri olduğunu gösterir.
- SimpleX: aktarıcılar kuyruk adreslerini ve bağlantıları görür; profiller ve mesajlar cihazlarda kalır, ağ düzeyinde hesap tanımlayıcısı yoktur.
- Session: rastgele hesap ID'leri, tekil düğümlerden kaynak ve hedefi gizleyen onion-istek yönlendirmesi, şifreli mesajların geçici olarak düğüm sürülerinde tutulması.
- OMEMO'lu XMPP: içerik uçtan uca şifreli ama sunucular ve federasyon yolları kimin kiminle ne zaman konuştuğunu görür.
- Dördü birden: bir ISS ya da yerel ağ bir cihazın hizmetle konuştuğunu görmeye devam eder — tünellendiyse Tor ile konuştuğunu — ve zamanlama korelasyonu her yerde açık bir sorun olarak kalır.