Signal หรือ WhatsApp: ข้อความเข้ารหัสเหมือนกัน แต่ metadata ไม่เท่ากัน

ถ้าการสนทนาอ่อนไหวจนการรู้ว่าใครติดต่อกับใครอาจสร้างความเสียหาย Signal เป็นตัวเลือกที่เหมาะกว่า เพราะแนวทางของบริการมุ่งลดข้อมูลประกอบการสื่อสารที่เก็บไว้ นโยบายความเป็นส่วนตัวของ Signal ระบุว่าข้อความและการโทรเข้ารหัสแบบต้นทางถึงปลายทาง ประวัติข้อความอยู่บนอุปกรณ์ของผู้ใช้ และการค้นหาคนในสมุดรายชื่อใช้ระบบที่ออกแบบเพื่อคุ้มครองข้อมูลผู้ติดต่อ อย่างไรก็ดี ผู้ใช้ยังต้องพิจารณาโทรศัพท์ สำเนาแชต และการเข้าถึงบัญชีของทั้งสองฝ่ายด้วย

WhatsApp เป็นทางเลือกที่สมเหตุสมผลเมื่อจำเป็นต้องติดต่อคนที่ใช้อยู่แล้ว โดยเฉพาะคู่ค้าหรือคนรู้จักในต่างประเทศ คำอธิบายความเป็นส่วนตัวของ WhatsApp ระบุว่าแชตส่วนตัวและแชตกลุ่มใช้การเข้ารหัสแบบต้นทางถึงปลายทางด้วย Signal Protocol แต่เมื่อธุรกิจเลือกให้ Meta จัดเก็บข้อความ WhatsApp ไม่ถือว่าข้อความนั้นได้รับการเข้ารหัสแบบต้นทางถึงปลายทางในความหมายเดียวกัน คำตอบเรื่องความปลอดภัยจึงขึ้นอยู่กับคู่สนทนาและข้อมูลที่ต้องปกป้อง ไม่ได้ตัดสินจากชื่อโปรโตคอลอย่างเดียว

การเข้ารหัสปกป้องอะไร และหยุดตรงไหน

การเข้ารหัสแบบต้นทางถึงปลายทางปกป้องเนื้อหาระหว่างการส่งจากอุปกรณ์ของผู้ส่งไปยังอุปกรณ์ของผู้รับ ผู้ให้บริการส่งต่อข้อความได้โดยไม่ต้องอ่านประโยค รูป หรือเสียงในแชตส่วนตัว การใช้เทคโนโลยีตระกูลเดียวกันจึงเป็นจุดร่วมที่สำคัญของ Signal และ WhatsApp แต่จุดร่วมนี้บอกเพียงว่าข้อมูลชั้นเนื้อหาได้รับการคุ้มครองอย่างไร ไม่ได้กำหนดว่านโยบายเก็บข้อมูลอื่นของสองบริการต้องเหมือนกัน

ผู้รับเป็นปลายทางที่ถอดรหัสข้อความได้ตามปกติ จึงบันทึกภาพหน้าจอ คัดลอก หรือส่งต่อสิ่งที่ได้รับได้ หากข้อความถูกเปิดบนโทรศัพท์ที่ผู้อื่นเข้าถึงได้ ความลับก็อาจหลุดจากปลายทางโดยไม่เกี่ยวกับการเข้ารหัสระหว่างส่ง สำหรับเรื่องอ่อนไหว ความไว้วางใจคู่สนทนาและการดูแลอุปกรณ์จึงมีผลพอ ๆ กับการเลือกบริการ

อีกขอบเขตหนึ่งคือประเภทของบทสนทนา แชตส่วนตัวกับคนรู้จักไม่เหมือนการส่งรายละเอียดให้บัญชีธุรกิจที่อาจมีพนักงานหลายคนหรือระบบตอบข้อความร่วมกัน ผู้รับฝั่งธุรกิจอาจนำข้อมูลที่ได้รับไปเก็บในระบบงานของตน แม้ผู้ส่งจะเริ่มต้นจากแอปเดียวกับที่ใช้คุยกับเพื่อน การเห็นคำว่าเข้ารหัสบนแชตจึงไม่ใช่คำรับรองว่ามีเพียงบุคคลคนเดียวที่อ่านและเก็บข้อมูลหลังส่งถึงปลายทาง

Metadata และสมุดรายชื่อเผยความสัมพันธ์ได้อย่างไร

Metadata คือข้อมูลที่เกิดขึ้นรอบข้อความ เช่น บัญชีที่ใช้ เวลาและความถี่ของกิจกรรม ข้อมูลอุปกรณ์ หรือการเป็นสมาชิกกลุ่ม ข้อมูลเหล่านี้ไม่บอกว่าพิมพ์อะไร แต่บางกรณีช่วยให้เห็นรูปแบบการติดต่อได้ หากบุคคลหนึ่งต้องปกป้องแหล่งข่าวหรือคู่เจรจา การเปิดเผยความสัมพันธ์อาจสำคัญกว่าการเปิดเผยข้อความเพียงประโยคเดียว นี่คือเหตุผลที่แอปซึ่งปกป้องเนื้อหาได้ทั้งคู่ยังให้ระดับความเป็นส่วนตัวต่างกัน

Signal ต้องมีข้อมูลบางอย่างเพื่อสร้างบัญชีและส่งข้อความถึงอุปกรณ์ที่ถูกต้อง ระบบค้นหาผู้ติดต่อเป็นทางเลือก และอาจส่งข้อมูลจากสมุดรายชื่อในรูปที่ผ่านกระบวนการเข้ารหัสเชิงเทคนิคเพื่อดูว่าใครใช้บริการ การออกแบบให้บริการรู้น้อยลงจึงไม่เท่ากับไม่มีข้อมูลบัญชีหรือไม่มีการประมวลผลใดเลย ความต่างที่มีความหมายคือบริการพยายามจำกัดข้อมูลที่อ่านและเก็บได้เกี่ยวกับเครือข่ายผู้ใช้

ฝั่ง WhatsApp มีการประมวลผลข้อมูลรอบการใช้งานที่ระบุไว้กว้างกว่า นโยบายข้อมูลของ WhatsApp สำหรับผู้ใช้นอกยุโรปและสหราชอาณาจักร ครอบคลุมหมายเลขโทรศัพท์ ข้อมูลอุปกรณ์และการเชื่อมต่อ เวลา ความถี่และระยะเวลาของกิจกรรม รวมถึงหมายเลขในสมุดรายชื่อเมื่อใช้คุณสมบัติอัปโหลดผู้ติดต่อ นโยบายเดียวกันระบุว่ากลุ่มและรายชื่อกระจายข้อความเชื่อมกับข้อมูลบัญชีของผู้ใช้ สำหรับผู้อ่านในไทย ขอบเขตนโยบายตามภูมิภาคนี้สำคัญกว่าการนำเงื่อนไขของผู้ใช้ยุโรปมาใช้แทน

การอัปโหลดสมุดรายชื่อเป็นประเด็นที่กระทบคนอื่นด้วย เพราะในโทรศัพท์อาจมีหมายเลขของผู้ที่ไม่ได้เลือกใช้แอปหรือไม่ได้เป็นคู่สนทนา WhatsApp ระบุเงื่อนไขและมาตรการจัดการหมายเลขเหล่านั้นไว้ในนโยบาย การมีมาตรการดังกล่าวไม่ได้ทำให้การอัปโหลดเท่ากับการค้นหาผู้ติดต่อของ Signal ผู้ใช้ที่มีรายชื่ออ่อนไหวควรมองสมุดรายชื่อเป็นข้อมูลอีกชุดหนึ่ง แยกจากเนื้อหาแชตที่ส่งออกไปจริง

คำว่า WhatsApp ไม่เก็บบันทึกว่าใครส่งข้อความหาใครทุกคู่ และคำอธิบายในนโยบายเกี่ยวกับข้อมูลกิจกรรม ไม่ได้หมายถึงข้อมูลชนิดเดียวกัน บริการอาจไม่มีทะเบียนครบทุกบทสนทนา แต่ยังประมวลผลข้อมูลการใช้งาน อุปกรณ์ และสมาชิกกลุ่มได้ การสรุปว่า WhatsApp อ่านแชตส่วนตัวเพราะมี metadata จึงผิดพอ ๆ กับการสรุปว่าไม่มี metadata เพราะแชตเข้ารหัส

ความแตกต่างนี้เปลี่ยนคำถามในการเลือกแอป หากกังวลว่าบุคคลภายนอกจะอ่านเนื้อหาขณะส่ง ทั้งสองบริการมีการปกป้องชั้นสำคัญ หากกังวลว่าบริการจะเชื่อมโยงบัญชีกับกิจกรรม ผู้ติดต่อ หรือกลุ่มได้มากเพียงใด Signal มีแนวทางที่เหมาะกว่า ส่วน WhatsApp แลกความสะดวกในการเข้าถึงผู้คนกับขอบเขตข้อมูลประกอบที่ผู้ใช้ควรยอมรับอย่างรู้เท่าทัน

แยกความปลอดภัยออกเป็นสี่ชั้น

การเปรียบเทียบให้ชัดต้องถามว่าข้อมูลชุดใดอยู่ตรงไหนของการสนทนา เนื้อหาที่กำลังส่ง ข้อมูลประกอบ สำเนาประวัติ และอุปกรณ์ปลายทางมีผู้เข้าถึงและวิธีป้องกันต่างกัน การเลือกแอปจากคำว่าเข้ารหัสเพียงคำเดียวทำให้มองไม่เห็นช่องว่างระหว่างชั้นเหล่านี้

• เนื้อหาแชตส่วนตัว: Signal และ WhatsApp ใช้การเข้ารหัสแบบต้นทางถึงปลายทาง ผู้ส่งกับผู้รับอ่านข้อความได้ตามบทบาทของตน แชตกับธุรกิจที่ใช้ระบบจัดเก็บของ Meta ต้องพิจารณาแยกจากการคุยส่วนตัว เพราะข้อมูลที่ส่งถึงธุรกิจอาจเข้าสู่ระบบของธุรกิจนั้น
• Metadata และผู้ติดต่อ: Signal ออกแบบการค้นหาผู้ติดต่อให้ลดการเปิดเผยสมุดรายชื่อ ขณะที่ WhatsApp ระบุการเก็บข้อมูลกิจกรรม อุปกรณ์ กลุ่ม และหมายเลขผู้ติดต่อเมื่อเปิดใช้การอัปโหลด การคุ้มครองข้อความไม่ได้ทำให้ชั้นนี้หายไป
• ข้อมูลสำรอง: สำเนาแชตเป็นข้อมูลอีกชุดหนึ่ง ผู้ใช้ต้องดูว่ามีการสร้างสำเนาหรือไม่ เก็บไว้ที่ใด เข้ารหัสด้วยวิธีใด และต้องใช้อะไรเปิดเมื่อเปลี่ยนเครื่อง สถานะการเข้ารหัสของข้อความที่กำลังส่งไม่ใช่หลักฐานว่าสำเนาเก่าปลอดภัยด้วยวิธีเดียวกัน
• อุปกรณ์และบัญชี: โทรศัพท์ที่ปลดล็อกอยู่ อุปกรณ์ที่ผูกกับบัญชี หรือช่องทางรับรหัสยืนยันตัวตนเป็นจุดเข้าถึงที่ต่างจากเซิร์ฟเวอร์ส่งข้อความ การกลับมาใช้บัญชีได้กับการกู้ประวัติสนทนาเดิมเป็นคนละผลลัพธ์

ชั้นเหล่านี้อาจสำคัญไม่เท่ากันสำหรับทุกคน ผู้ที่ส่งกำหนดนัดหมายทั่วไปอาจให้ความสำคัญกับการติดต่อสำเร็จและการกู้ข้อความหลังเปลี่ยนเครื่อง ผู้ที่ต้องซ่อนตัวตนของคู่สนทนาอาจยอมแลกความสะดวกเพื่อให้บริการรู้เรื่องความสัมพันธ์น้อยลง ตารางเปรียบเทียบในใจจึงควรเริ่มจากผลเสียที่เกิดขึ้นได้จริง ไม่ใช่จัดอันดับคุณสมบัติทุกข้อให้มีน้ำหนักเท่ากัน

ข้อมูลสำรองช่วยรักษาประวัติ แต่เพิ่มเงื่อนไขการกู้คืน

Signal มีทางเลือกสำรองประวัติที่เข้ารหัส ทั้งแบบ Secure Backups และแบบเก็บสำเนาบนอุปกรณ์ รายละเอียดการปรับปรุงข้อมูลสำรองของ Signal อธิบายว่า Secure Backups เป็นทางเลือกที่ผู้ใช้ต้องเปิด และแบบเก็บบนอุปกรณ์ให้ผู้ใช้เลือกสถานที่เก็บสำเนาได้ ความเข้าใจว่าเปลี่ยนโทรศัพท์แล้วต้องเสียข้อความเก่าทั้งหมดจึงไม่ตรงกับตัวเลือกที่มีอยู่ แต่การมีคุณสมบัติสำรองไม่ได้แปลว่าทุกบัญชีได้สร้างสำเนาไว้แล้ว

สำหรับ Secure Backups กุญแจกู้คืนเป็นเงื่อนไขในการเปิดประวัติที่เข้ารหัส หากผู้ใช้ไม่มีสำเนาหรือทำกุญแจหาย การลงทะเบียนบนเครื่องใหม่ไม่อาจสร้างข้อความเก่ากลับขึ้นมาเอง ประเด็นนี้มีผลทั้งต่อความเป็นส่วนตัวและความต่อเนื่องของงาน: คนอื่นเปิดสำเนาได้ยากขึ้น แต่เจ้าของบัญชีก็ต้องรับผิดชอบวิธีเก็บกุญแจด้วย

สำเนาบนอุปกรณ์ให้การควบคุมตำแหน่งเก็บแก่ผู้ใช้มากขึ้น แต่ทำให้ต้องดูแลไฟล์สำรองและกุญแจของมัน หากคัดลอกไฟล์ไปยังไดรฟ์หรือพื้นที่เก็บของบุคคลอื่น สำเนาเก่าอาจยังอยู่หลังเปลี่ยนเครื่อง การลบข้อความจากหน้าแชตบนโทรศัพท์จึงไม่ควรถูกเข้าใจว่าได้ลบสำเนาทุกแห่งที่เคยสร้างไว้ด้วย

WhatsApp มีทางเลือกเปิดการเข้ารหัสแบบต้นทางถึงปลายทางให้ข้อมูลสำรองแยกจากแชตปกติ คำอธิบายข้อมูลสำรองของ WhatsApp กล่าวถึงการใช้รหัสผ่าน กุญแจเข้ารหัส หรือ passkey สำหรับปกป้องสำเนา โดย passkey ใช้วิธียืนยันตัวตนของอุปกรณ์ เช่น การสแกนนิ้ว ใบหน้า หรือรหัสล็อกหน้าจอ ทางเลือกที่ปรากฏจริงขึ้นอยู่กับอุปกรณ์และบัญชี จึงควรดูสถานะข้อมูลสำรองของตนก่อนสรุปว่าสำเนาได้รับการคุ้มครองแล้ว

ความสะดวกในการกู้คืนมีคุณค่าชัดเจนเมื่อโทรศัพท์หายหรือเปลี่ยนเครื่องกลางงาน โดยเฉพาะบทสนทนาที่ต้องอ้างอิงย้อนหลัง แต่ทุกสำเนาทำให้มีข้อมูลอีกชุดที่ต้องจัดการ ทั้งสิทธิ์เข้าถึงพื้นที่เก็บ กุญแจ และอายุของประวัติ ผู้ที่ไม่จำเป็นต้องรักษาข้อความเก่าอาจเลือกไม่สร้างสำเนา ส่วนผู้ที่ต้องเก็บหลักฐานการทำงานอาจยอมรับภาระดูแลกุญแจเพื่อให้กู้ข้อมูลได้

การกู้บัญชีไม่ใช่การกู้ข้อความ

เมื่อย้ายโทรศัพท์ การกลับมาใช้หมายเลขหรือบัญชีเพื่อรับข้อความใหม่เป็นคำถามหนึ่ง ส่วนการเปิดประวัติเดิมเป็นอีกคำถามหนึ่ง การพิสูจน์สิทธิ์ในบัญชีช่วยให้บริการรู้ว่าควรส่งข้อความใหม่ไปยังอุปกรณ์ใด แต่ไม่ได้ทำให้สำเนาที่เข้ารหัสเปิดได้โดยไม่มีกุญแจ ผู้ใช้ที่ต้องรักษาหลักฐานการสนทนาจึงต้องคิดถึงประวัติที่เก็บอยู่ก่อนการเปลี่ยนเครื่องด้วย

โทรศัพท์เครื่องเก่าอาจมีข้อความที่ยังไม่ได้สำรอง หากเครื่องนั้นเสียหรือสูญหาย ทางเลือกย้ายข้อมูลโดยตรงอาจใช้ไม่ได้ แม้จะกลับเข้าบัญชีได้ก็ตาม ในทางกลับกัน การมีไฟล์สำรองโดยไม่เก็บวิธีปลดล็อกก็ไม่ช่วยให้ย้อนอ่านข้อความเดิมได้ การแยกบัญชี ไฟล์สำรอง และกุญแจออกจากกันทำให้เห็นว่าความสามารถในการกู้คืนไม่ได้เป็นคุณสมบัติเดียวที่เปิดหรือปิดพร้อมกันทั้งหมด

อุปกรณ์ที่ผูกกับบัญชีเป็นอีกจุดที่ต้องนับรวมในการประเมินความเสี่ยง หากมีโทรศัพท์หรือคอมพิวเตอร์อีกเครื่องที่ยังเข้าถึงแชตได้ การเข้ารหัสขณะส่งยังทำงาน แต่ข้อความที่ปลายทางอาจถูกอ่านจากอุปกรณ์นั้นอยู่ดี เช่นเดียวกับหน้าจอแจ้งเตือนที่แสดงข้อความบนโทรศัพท์ซึ่งผู้อื่นมองเห็น ความเสี่ยงลักษณะนี้แก้ด้วยการควบคุมอุปกรณ์และการเข้าถึง มากกว่าการเปลี่ยนชื่อแอป

คู่สนทนาก็เป็นผู้ควบคุมสำเนาของตนเอง ฝ่ายหนึ่งอาจปิดการสำรองและล็อกเครื่องอย่างรัดกุม แต่อีกฝ่ายอาจเก็บภาพหน้าจอหรือย้ายประวัติไปยังที่เก็บของตนได้ หากสาระที่ต้องคุ้มครองคือการมีอยู่ของบทสนทนา การตกลงเรื่องการเก็บและส่งต่อข้อมูลระหว่างกันสำคัญกว่าการตั้งค่าของฝ่ายใดฝ่ายหนึ่งเพียงฝ่ายเดียว

เลือกตามความเสี่ยงและคนที่ต้องติดต่อ

ผู้ใช้ทั่วไป: ถ้าคู่สนทนาใช้ WhatsApp อยู่แล้ว และความกังวลหลักคือไม่ให้ผู้ให้บริการอ่านข้อความส่วนตัว WhatsApp ตอบโจทย์ได้โดยไม่ต้องย้ายวงสนทนา ความสะดวกนี้มีผลจริง เพราะการชวนทุกคนไปใช้ช่องทางใหม่อาจทำให้การติดต่อสะดุด ในไทยบางกลุ่มอาจใช้ LINE เป็นหลัก แต่หากคนที่ต้องคุยอยู่บน WhatsApp อยู่แล้ว การเลือกจากพฤติกรรมของคู่สนทนาย่อมมีประโยชน์กว่าการเลือกจากอันดับความเป็นส่วนตัวเพียงอย่างเดียว

สำหรับผู้ใช้กลุ่มนี้ สิ่งที่เปลี่ยนผลลัพธ์ได้มากคือการตัดสินใจเรื่องสำเนาแชตและการเข้าถึงโทรศัพท์ ถ้าต้องการย้อนดูรูปหรือข้อความเมื่อเปลี่ยนเครื่อง ควรเข้าใจวิธีกู้คืนก่อนจำเป็นต้องใช้ หากไม่ต้องการเก็บประวัติยาว การสร้างสำเนาเพิ่มอาจไม่คุ้มกับข้อมูลอีกชุดที่ต้องดูแล การเลือก Signal ยังสมเหตุสมผลเมื่อยินดีชวนคนใกล้ตัวมาใช้เพื่อจำกัดข้อมูลประกอบการสื่อสาร

ธุรกิจข้ามประเทศ: ถ้าลูกค้าและคู่ค้าใช้ WhatsApp เป็นช่องทางประจำ ความสามารถในการติดต่อได้ทันทีอาจมีน้ำหนักมากกว่าการลด metadata ให้เหลือน้อยที่สุด แต่ควรแยกแชตระหว่างบุคคลออกจากแชตกับบัญชีธุรกิจ ผู้รับฝั่งธุรกิจอาจมีพนักงานหลายคน ระบบตอบกลับ และที่เก็บประวัติร่วมกัน ข้อมูลที่ส่งไปจึงอาจเข้าถึงได้ตามกระบวนการขององค์กรผู้รับ

สำหรับเรื่องที่มีข้อจำกัดด้านผู้เข้าถึง ธุรกิจต้องรู้ว่าใครเป็นเจ้าของบัญชี ใครอ่านประวัติหลังได้รับข้อความ และจะเก็บสำเนาไว้นานเท่าใด คำถามเหล่านี้เกี่ยวกับการจัดการข้อมูลหลังถึงปลายทาง ไม่ใช่คุณภาพของการเข้ารหัสระหว่างทาง WhatsApp จึงเหมาะกับงานติดต่อที่ต้องอาศัยเครือข่ายเดิมได้ ขณะเดียวกัน บทสนทนาที่ต้องจำกัดผู้รับอย่างเคร่งครัดอาจต้องใช้ช่องทางและขั้นตอนภายในที่ต่างออกไป

ผู้ที่ปกป้องแหล่งข่าว: ถ้าความสัมพันธ์ระหว่างผู้ส่งกับผู้รับเป็นข้อมูลอ่อนไหว Signal เหมาะเป็นจุดเริ่มต้นกว่า เพราะแนวทางลดข้อมูลประกอบตรงกับความเสี่ยงนี้มากกว่า แต่การเลือกแอปเป็นเพียงส่วนหนึ่งของการปกป้อง ทั้งสองฝ่ายต้องคำนึงถึงโทรศัพท์ที่ใช้ บัญชีที่ผูกไว้ สำเนาประวัติ และสิ่งที่อีกฝ่ายอาจบันทึกหรือส่งต่อ ความเสียหายอาจเกิดจากการรู้ว่าใครติดต่อกัน แม้ไม่มีใครอ่านข้อความระหว่างส่งได้

ในกรณีนี้ ความสะดวกของ WhatsApp อาจยังจำเป็นเมื่อแหล่งข่าวเข้าถึงได้ทางนั้นเท่านั้น การติดต่อสำเร็จเป็นเงื่อนไขพื้นฐาน แต่ควรตระหนักว่าข้อมูลประกอบและการจัดเก็บหลังส่งถึงปลายทางมีขอบเขตต่างจาก Signal หากมีโอกาสย้ายบทสนทนาที่อ่อนไหวไปช่องทางที่ลดข้อมูลผู้ติดต่อได้มากกว่า เหตุผลของการย้ายคือการลดร่องรอยความสัมพันธ์ ไม่ใช่เพราะข้อความส่วนตัวบน WhatsApp ไม่มีการเข้ารหัส