Signal เปิดฟีเจอร์ Automatic Key Verification เพิ่มความปลอดภัยในการสื่อสาร

Signal ได้เปิดตัวฟีเจอร์ **Automatic Key Verification (AKV) ใหม่เพื่อเพิ่มชั้นความปลอดภัยให้กับการสื่อสารแบบเข้ารหัสของแอปพลิเคชัน ซึ่งออกแบบมาเพื่อยืนยันว่าผู้รับข้อความเป็นคนที่เราต้องการคุยจริง ๆ ไม่ใช่ผู้โจมตี “man‑in‑the‑middle” ที่อาจดักฟังได้ แม้กระบวนการเข้ารหัสทั้งหมดยังคงอยู่ในระดับปลอดภัย ฟีเจอร์นี้จึงเป็นการตรวจสอบเพิ่มเติมที่สำคัญสำหรับนักข่าว นักกิจกรรม และเจ้าหน้าที่ทูตที่พึ่งพา Signal เป็นหลัก

Overview

Signal ยังคงใช้ระบบ end‑to‑end encryption พร้อมกับ “safety numbers” ซึ่งเป็นลายนิ้วมือของกุญแจสาธารณะเพื่อให้ผู้ใช้เปรียบเทียบและยืนยันการเชื่อมต่อที่ถูกต้อง อย่างไรก็ตาม ในทฤษฎี ผู้โจมตีอาจทำการดัดแปลงไดเรกทอรีศูนย์กลางของบัญชีเพื่อปลอมตัวเป็นบุคคลอื่นได้ การสกัดกั้นนี้แม้ข้อมูลยังเข้ารหัสอยู่แต่จะส่งไปผิดที่ ทำให้ AKV ถูกพัฒนาขึ้นมาเพื่อจับตาดูการเปลี่ยนแปลงของกุญแจสาธารณะอย่างอัตโนมัติ

How AKV Works

จากมุมมองผู้ใช้ การเปิดใช้งาน AKV เพียงไม่กี่ขั้นตอน:

• เปิดโปรไฟล์ของผู้ติดต่อใน Signal
• เลือก “View Safety Number”
• กดปุ่ม Verify automatically

เมื่อกดแล้ว แอปจะแสดงเครื่องหมายถูกสีเขียวเพื่อยืนยันว่ากุญแจสาธารณะของผู้ติดต่อตรงกับค่าที่ระบบ key transparency ของ Signal คาดหวังไว้ ขั้นตอนนี้ทำให้ผู้ใช้มั่นใจว่าการเชื่อมต่อไม่ถูกเปลี่ยนแปลงโดยบุคคลที่สาม

Technical Architecture

เพื่อสนับสนุน AKV Signal ได้สร้าง “ledger” หรือบัญชีบันทึกของกุญแจสาธารณะ ทุกการเปลี่ยนแปลงข้อมูลผู้ใช้ เช่น การเปลี่ยนหมายเลขโทรศัพท์หรือชื่อผู้ใช้ จะถูกบันทึกเป็น log tree ใหม่ใน ledger นี้ พร้อมด้วย index books ที่ทำหน้าที่เป็นดัชนีเพื่อให้การค้นหาและตรวจสอบข้อมูลทำได้อย่างรวดเร็ว

Ledger นั้นโฮสต์บน open‑source key transparency server ของ Signal ซึ่งออกแบบมาให้ผู้ใช้สามารถตรวจสอบว่าข้อมูลของตนหรือของผู้ติดต่อยังคงอยู่ในสภาพที่ไม่ถูกแก้ไข การค้นหาผ่าน index จะทำโดยอัตโนมัติจากฝั่งแอปพลิเคชันเพื่อยืนยันความเป็นปัจจุบันของข้อมูลก่อนนำไปใช้ตรวจสอบ safety number

Auditing & Monitoring

Signal ได้เชิญ Cloudflare และบริษัทด้านความปลอดภัย Trail of Bits ทำหน้าที่เป็นผู้ตรวจสอบภายนอก (third‑party auditors) ของระบบ key transparency ทั้งสององค์กรทำการตรวจสอบดัชนีเพื่อให้แน่ใจว่าไม่มีรายการใดถูกแก้ไข หากผลตรวจสอบผ่าน auditor จะลงลายมือชื่อบนคำตอบ ซึ่งบ่งชี้ว่ากุญแจที่ส่งมอบให้ผู้ใช้เป็นกุญแจเดียวกันจริง

นอกจากนี้ Signal ยังมีระบบ “monitoring” ที่ให้ทั้ง Alice และ Bob (โดยอ้างอิงตามแนวคิดคริปโต) ตรวจสอบ ledger ของตนเองอย่างสม่ำเสมอ แอปจะทำการตรวจสอบอัตโนมัติเป็นระยะ ๆ และผู้ใช้สามารถกดปุ่ม Verify automatically เพื่อยืนยันข้อมูลอีกครั้ง การผสมผสานระหว่าง auditing และ monitoring ทำให้ระบบสามารถตรวจจับการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตได้อย่างครบถ้วน

Limitations & User Impact

แม้ AKV จะเพิ่มระดับความปลอดภัย แต่ผู้ใช้ยังต้องทำตามขั้นตอนเพื่อยืนยันตัวตนของแต่ละบุคคล หากไม่มีหมายเลขโทรศัพท์ของผู้ติดต่อหรือข้อมูลในสมุดที่อยู่แอป ผู้ใช้จะไม่สามารถใช้งานฟีเจอร์นี้ได้ อีกทั้ง AKV สามารถถูกปิดการทำงานได้สำหรับผู้ใช้ที่ไม่ต้องการให้บุคคลภายนอกเข้ามาตรวจสอบ ซึ่ง Signal แนะนำให้กลับไปใช้วิธีตรวจสอบด้วย safety numbers หรือ QR code แบบดั้งเดิม

โดยสรุป ฟีเจอร์นี้ยังคงวางความรับผิดชอบส่วนใหญ่ไว้บนผู้ใช้ในการกดปุ่มยืนยันแต่ละครั้ง แม้จะเป็นการทำงานอัตโนมัติที่ช่วยลดขั้นตอนบางอย่าง แต่การตรวจสอบด้วยตนเองและการมีข้อมูลติดต่อที่ครบถ้วนจึงยังคงเป็นสิ่งจำเป็นเพื่อให้การสื่อสารใน Signal ปลอดภัยเต็มประสิทธิภาพ

Summary

Signal เปิดตัว **Automatic Key Verification (AKV) เพื่อป้องกันการโจมตีแบบ “man‑in‑the‑middle” โดยใช้ ledger ของกุญแจสาธารณะและระบบตรวจสอบจากบุคคลที่สาม ฟีเจอร์นี้ช่วยให้ผู้ใช้ยืนยันความถูกต้องของกุญแจได้ง่ายขึ้น แต่ยังต้องอาศัยข้อมูลติดต่อที่ครบถ้วนและการกระทำของผู้ใช้ในการกดปุ่มยืนยันเพื่อรักษาความปลอดภัยสูงสุด.