稜鏡門和Facebook使用者資訊洩露，隨著這兩個世紀性大事件的爆發，國外網民對資訊保安的重視到了史無前例的程度。甚至網友們都在谷歌上瘋狂搜索什麼型別的加密軟體最好用。
不僅是國外，國內最近接二連三頒佈的各類資訊保安條文法律，以及“國資雲”專案的啟動，都預示著資料安全時代的到來。個人隱私和商業機密逐漸成為通訊軟體聚焦的關注點，因此，網友們也空前絕後地學習各類資訊保安知識，從而甄選出更好的加密聊天軟體。小編調查了13款國外的通訊軟體，並從各個安全標準和維度對它們進行對比評測。
這13款APP分別是： Google Messages，Apple iMessage，Facebook Messenger，Element（原Riot），Signal，Microsoft Skype ，Telegram，Threema，Viber，WhatsApp， Wickr Me，Wire和Session。（本篇文章關於各大APP的資料和資訊主要來源於母公司官網及不同社交媒體提供的資料（有securemessagingapps、tom’s guide、techradar、ZDNet、Kaspersky、AVG））
1、母公司由基礎設施的管轄所屬：
這13款軟體裡，大部分母公司都隸屬於英美澳，七成以上都來自美國。基礎設施的佈置也以美國為主，向世界不同地區輻射。雖然Viber的母公司前後分別是日本和盧森堡，但部署地點依舊是美國。只有Threema的母公司和基建設施都設在瑞士。
2、與情報機構有合作：
雖然這些通訊軟體所屬企業並非國企，但依舊有五家公司有過把使用者資料提供給情報部門的歷史（Google Messages，Apple iMessage，Facebook Messenger，Microsoft Skype和WhatsApp）。
3、內建有監控功能：
軟體的使用過程應該被定義為使用者的私有領域，遺憾的是，依舊有一款APP（Microsoft Skype）在使用者使用過程中會監控使用者的資訊和習慣。
4、提供公開透明的報告：
或許涉及運營模式、產品資料和專利等敏感資訊，Element（原Riot）、Telegram和Viber選擇不予以高透明度的公開業務報告。
5、公然收集使用者資料：
“個人隱私資料是免費使用的代價”——被類似觀念充斥的網際網路環境下，巨頭們正瘋狂地收割網民們的資訊，為更精準的大資料分析添磚加瓦。但近幾年隨著民眾隱私意識的覺醒，這樣的觀點越來越站不住腳。人們寧願用付費的模式，也不願意讓自己的碎片資訊暴露在陽光下。根據歷史資料顯示，Google、Apple、Facebook、Microsoft、Pavel Durov、Amazon和Viber的母公司都選擇公然收集使用者資訊。
6、APP收集使用者資訊，併發送給母公司或第三方機構：
軟體透過對使用者資料的收集，一方面可以分析群體畫像，為企業戰略提供參考；二方面可以透過“使用者資訊共享”達到行業合作，賺取不義之財的同時，鞏固拓寬商業圈。遺憾的是，在這要巨大利益的趨勢下，絕大部分APP已然跌入深淵——Facebook Messenger、WhatsApp、Viber、Google Messages和Apple iMessage基本收羅了使用者的全維度資訊，包括健康、財務、位置、搜尋歷史、瀏覽歷史、資料和其他敏感資料。其他App或多或少收集了一些常用資料，如聯絡人和位置。值得一提的是，Session作為一股清流，沒有證據證明其收集了使用者資料，也並沒有線索指代其把使用者資料交予母公司。
7、沒有預設開啟加密功能：
加密功能的預設開啟決定了App開發者對安全通訊的重視程度，經過調查小編髮現，這13款APP裡，Facebook Messenger、Microsoft Skype和Telegram是預設關閉的。而Viber和WhatsApp的預設開啟與否取決於使用者裝置。
8、加密演算法並不安全：
加密演算法的複雜程度決定了產品的安全性，複雜的加密模式能大幅度增加破解成本，複合多維的加密模式則會讓劫持難度幾何級上升，從而達到安全防護的目的。這13款App大部分採用了主流的Curve25519、AES-256、HMAC-SHA256等加密演算法。其中，Apple iMessage和Microsoft Skype依然採用安全性極弱的SHA-1（Secure Hash Algorithm 1）。SHA-1早在2005年就已經被分析人員證實並公佈了有效的攻擊方式。對於有相對充裕的資金和計算資源的駭客來說，SHA-1是難以抵禦的。由此可見，這兩款App在演算法上依舊差強人意。
9、軟體和伺服器不開源：
開源的軟體可以不受官方限制，得到更多渠道的拓展和應用可能。甚至，客戶可以用自己喜歡的方式來維護和改進產品本身。開源是一種更符合網際網路精神的舉措。遺憾的是，僅有Element、Signal、Session和Wire採用了完全開源的機制。
10、不支援可重複構建（Reproducible Builds）反向驗證App：
雖然任何人都可以檢查免費和開源軟體的原始碼是否存在惡意缺陷，但大多數軟體都是預編譯的，無法確認它們是否對應。因此，可重複構建（Reproducible Builds）可以驗證編譯過程中是否引入漏洞或後門，從而防止威脅和攻擊。遺憾的是，僅僅Telegram同時支援在IOS和Android驗證，Threema和Signal僅僅支援在Android上驗證，其餘App均不允許可重複構建。
11、支援匿名註冊：
雖然不少通訊軟體希望透過匿名註冊的方式來讓網友提前體驗產品，增加粘性。但匿名註冊不僅會增加無效使用者數，降低進入門檻，還會讓已註冊使用者遭到潛在資訊保安威脅。目前僅Element、Threema、Wickr Me和Session支援匿名註冊。
12、中間人攻擊可透過修改目錄伺服器開啟：
中間人攻擊（Man-in-the-Middle Attack, MITM）是透過攔截正常的網路通訊資料，並進行資料篡改和嗅探的攻擊方式，整個過程通訊的雙方都毫不知情。令人震驚的是，除了Google Messages使用RCS而不是目錄伺服器外，在列App全都支援透過修改目錄伺服器而開啟中間人攻擊，安全性可想而知。
13、指紋變化不會通知使用者：
指紋識別作為辨認使用者身份的方式，和登入密碼一樣，在透過更改後應該提醒使用者，從而讓使用者第一時間對賬戶的安全性心中有數。根據調查發現，Apple iMessage，Skype，WhatsApp和Telegram並不會告知使用者這一點。
14、個人資訊沒有經過雜湊處理：
雜湊演算法在密碼學中主要作用是用於訊息摘要和簽名，主要用於訊息的完整性校驗。雜湊演算法不可逆，用於密文儲存密碼的簽名，網站後臺只儲存簽名值。 這樣即使App內儲存的資訊被盜取，也無法獲取使用者的密碼，具有更高的安全性。13款APP裡僅有Element、Threema和Wickr Me完整地採用雜湊處理了使用者的手機號碼、聯絡人等隱私資訊。
綜合以上14個指標看來，這13款通訊App中，相對安全的軟體僅有Signal、Threema和Wire。然而，這三款軟體也依舊存在不同程度的安全問題，並且，這三款軟體依舊沒有擺脫資訊保安的根源性問題——公有云儲存資訊。所以，跳轉回國內，如果說有一款通訊軟體，可以滿足私有云部署的苛刻條件，基本可以規避上述14個標準裡提到的絕大部分問題。就小編目前走訪市場的結果來看，國內的通訊軟體裡，要麼追求極速獲客（免費使用）而忽略安全技術加持，要麼加密技術不夠，要麼使用場景單一，要麼功能不夠全，要麼成本過高（搭建專業伺服器來私有化部署）……能滿足價效比高、私有化部署，加密技術頂流，資訊保安防護硬體好，功能全面且強大的通訊軟體，目前只有一款，那就是信源豆豆。目前小編正在試用中，過段時間筆者會著重寫一篇試用體驗，給廣大注重資訊保安的朋友們參考。
