Push Notification กับความเสี่ยงด้านความเป็นส่วนตัว เมื่อรัฐบาลเข้าถึงข้อมูล Metadata ของคุณได้
หลายคนอาจมองว่า Push Notification หรือการแจ้งเตือนที่เด้งขึ้นมาบนหน้าจอมือถือเป็นเพียงฟีเจอร์อำนวยความสะดวก แต่ในความเป็นจริง ข้อมูลเบื้องหลังการแจ้งเตือนเหล่านี้อาจกลายเป็นเครื่องมือสำคัญที่หน่วยงานบังคับใช้กฎหมายใช้ในการติดตามพฤติกรรมของผู้ใช้งานสมาร์ทโฟนได้
ข้อมูลล่าสุดจากวุฒิสมาชิกสหรัฐฯ Ron Wyden และเอกสารทางศาลที่เปิดเผยโดย WIRED ระบุว่า รัฐบาลสหรัฐฯ และหน่วยงานบังคับใช้กฎหมายจากต่างประเทศ สามารถร้องขอข้อมูล Metadata (ข้อมูลที่อธิบายข้อมูลอื่น หรือข้อมูลกำกับ) ที่เกี่ยวข้องกับการแจ้งเตือนจาก Apple และ Google เพื่อใช้ในการสืบสวน ซึ่งข้อมูลเหล่านี้สามารถระบุได้ว่าผู้ใช้ติดตั้งแอปพลิเคชันใดบ้างและมีพฤติกรรมการใช้งานอย่างไร
กลไกการทำงานของ Push Notification และการเข้าถึงข้อมูล
เพื่อให้เข้าใจว่ารัฐบาลเข้าถึงข้อมูลได้อย่างไร เราต้องเข้าใจระบบการส่งการแจ้งเตือนก่อน โดยปกติแล้วนักพัฒนาแอปจะส่งการแจ้งเตือนผ่านบริการของเจ้าของระบบปฏิบัติการ คือ Apple Push Notification Service สำหรับ iOS และ Firebase Cloud Messaging สำหรับ Android
ในกระบวนการนี้ ผู้ใช้แต่ละรายจะได้รับสิ่งที่เรียกว่า Push Token ซึ่งเป็นรหัสระบุตัวตนชั่วคราวที่ใช้เชื่อมต่อระหว่างแอปพลิเคชันและระบบส่งการแจ้งเตือน โดยรหัสนี้จะเปลี่ยนไปเมื่อมีการลบแอปแล้วติดตั้งใหม่ หรือเมื่อเปลี่ยนเครื่องโทรศัพท์
ขั้นตอนที่หน่วยงานรัฐใช้ในการสืบสวนมีดังนี้:
- ขอ Token จากผู้พัฒนาแอป: เจ้าหน้าที่ต้องติดต่อผู้พัฒนาแอปพลิเคชันเพื่อขอ Push Token ของเป้าหมาย
- ส่งต่อให้ผู้ผลิต OS: นำ Token ที่ได้ไปยื่นคำร้องต่อ Apple หรือ Google เพื่อตรวจสอบว่า Token นี้เชื่อมโยงกับบัญชีผู้ใช้รายใด
- วิเคราะห์พฤติกรรม: เมื่อทราบบัญชีผู้ใช้ รัฐบาลจะสามารถเข้าถึง Metadata ที่ระบุว่าผู้ใช้ได้รับแจ้งเตือนจากแอปใดบ้าง และเวลาใด
สิ่งที่รัฐบาลรู้ และสิ่งที่ไม่รู้
แม้ว่าการเข้าถึงข้อมูลนี้จะดูน่ากังวล แต่มีข้อจำกัดบางประการที่ผู้ใช้ควรทราบ โดยข้อมูลที่ Apple และ Google มอบให้จะเป็นเพียง Metadata ซึ่งประกอบด้วย รายชื่อแอปที่ใช้งาน, เวลาที่ได้รับแจ้งเตือน และหมายเลขโทรศัพท์ที่ผูกกับบัญชี แต่จะไม่รวมถึงเนื้อหา (Content) ภายในข้อความแจ้งเตือนนั้นๆ
อย่างไรก็ตาม วุฒิสมาชิก Wyden เตือนว่าในบางกรณี เจ้าหน้าที่อาจใช้ข้อมูลจาก Push Token เป็นจุดเริ่มต้นเพื่อยื่นคำร้องเพิ่มเติมในการขอเข้าถึงเนื้อหาของการแจ้งเตือนในแอปบางประเภทได้
| ประเภทข้อมูล | สถานะการเข้าถึง | รายละเอียด |
|---|---|---|
| Metadata | เข้าถึงได้ | แอปที่ใช้, เวลาที่แจ้งเตือน, บัญชีที่เชื่อมโยง |
| เนื้อหาข้อความ | เข้าถึงไม่ได้โดยตรง | ต้องใช้คำร้องทางกฎหมายเพิ่มเติมเป็นรายกรณี |
| Push Token | เข้าถึงได้ | ขอได้จากผู้พัฒนาแอปพลิเคชัน |
การตอบสนองของยักษ์ใหญ่เทคโนโลยี
หลังจากมีการเปิดเผยเรื่องนี้ Apple ได้ปรับปรุง Law Enforcement Guidelines ในรายงานความโปร่งใส โดยระบุว่าข้อมูลการแจ้งเตือนอาจถูกขอได้ผ่านหมายเรียก (Subpoena) หรือกระบวนการทางกฎหมายที่สูงกว่า และจะเริ่มลงรายละเอียดคำร้องเหล่านี้ในรายงานฉบับถัดไป โดย Apple ระบุว่าก่อนหน้านี้รัฐบาลสั่งห้ามไม่ให้เปิดเผยข้อมูลนี้ต่อสาธารณะ
ด้าน Google ยืนยันว่ามีการรับคำร้องขอข้อมูลประเภทนี้เช่นกัน และระบุว่าคำร้องจากหน่วยงานในสหรัฐฯ ต้องมีคำสั่งศาลที่ได้รับการอนุมัติ แม้ว่าในรายงานความโปร่งใสปัจจุบันของ Google จะยังไม่ได้แยกหมวดหมู่คำร้องด้าน Push Notification ออกมาให้เห็นชัดเจน แต่ได้รวมอยู่ในข้อมูลภาพรวมแล้ว
ข้อเท็จจริงสำคัญ
- Metadata ของการแจ้งเตือนสามารถเปิดเผยรายชื่อแอปที่ผู้ใช้ติดตั้งและใช้งานได้
- กระบวนการสืบสวนต้องเริ่มจาก ผู้พัฒนาแอป (เพื่อเอา Token) $\rightarrow$ Apple/Google (เพื่อระบุตัวตนผู้ใช้)
- FBI เคยใช้เทคนิคนี้ในการสืบสวนคดีบุกรุกอาคารรัฐสภาสหรัฐฯ เมื่อวันที่ 6 มกราคม 2021
- เนื้อหาภายในข้อความแจ้งเตือนไม่ได้ถูกส่งมอบให้รัฐบาลในขั้นตอนการขอ Metadata ปกติ
- ปัจจุบัน Apple และ Google เริ่มมีความโปร่งใสมากขึ้นในการรายงานจำนวนคำร้องขอข้อมูลประเภทนี้
คำถามที่พบบ่อย
รัฐบาลสามารถอ่านข้อความใน Notification ของฉันได้ทันทีเลยหรือไม่?
ไม่ได้ในทันที ข้อมูลที่ได้จาก Apple และ Google ในขั้นแรกคือ Metadata (ข้อมูลกำกับ) เช่น ใช้แอปอะไร เวลาไหน แต่ไม่ใช่เนื้อหาข้อความ หากต้องการเนื้อหา เจ้าหน้าที่ต้องยื่นคำร้องเพิ่มเติมเป็นกรณีไป
Push Token คืออะไรและเปลี่ยนได้หรือไม่?
Push Token คือรหัสระบุตัวตนที่ใช้ส่งการแจ้งเตือนไปยังเครื่องนั้นๆ รหัสนี้จะเปลี่ยนไปเมื่อคุณลบแอปแล้วติดตั้งใหม่ หรือเมื่อคุณเปลี่ยนเครื่องสมาร์ทโฟนเครื่องใหม่
เราสามารถป้องกันไม่ให้รัฐบาลเข้าถึงข้อมูลนี้ได้อย่างไร?
ในระดับผู้ใช้ทั่วไป การปิดการแจ้งเตือน (Push Notifications) สำหรับแอปที่มีความละเอียดอ่อนอาจช่วยลดร่องรอยของ Metadata ได้ แต่การป้องกันที่สมบูรณ์ขึ้นอยู่กับนโยบายความเป็นส่วนตัวของผู้พัฒนาแอปและข้อกำหนดทางกฎหมาย
ทำไม Apple และ Google ถึงไม่บอกผู้ใช้ตั้งแต่แรกว่ามีการขอข้อมูลนี้?
ตามข้อมูลจากวุฒิสมาชิก Ron Wyden และคำแถลงของ Apple ระบุว่า รัฐบาลสหรัฐฯ ได้สั่งห้ามไม่ให้บริษัทเทคโนโลยีเปิดเผยข้อมูลเกี่ยวกับการขอข้อมูล Push Notification นี้ต่อสาธารณะจนกระทั่งมีการเปิดเผยในภายหลัง
