Twitter เปิดตัวระบบข้อความลับ (Encrypted DMs) แต่ยังห่างไกลจากมาตรฐานความปลอดภัยระดับโลก
หลังจากที่ Elon Musk ให้คำมั่นสัญญาตั้งแต่วันแรกที่เข้ามาบริหาร Twitter ว่าจะนำระบบการส่งข้อความแบบเข้ารหัสมาใช้ ในที่สุดฟีเจอร์นี้ก็ถูกปล่อยออกมาให้ใช้งานจริง อย่างไรก็ตาม แม้จะเป็นก้าวแรกในการเพิ่มความปลอดภัยให้กับผู้ใช้งานในรอบกว่า 16 ปี แต่ผู้เชี่ยวชาญด้านความปลอดภัยกลับมองว่าระบบนี้ยังมีจุดบกพร่องที่น่ากังวลอยู่หลายประการ
ความจริงที่น่ากังวล: นี่ไม่ใช่การเข้ารหัสแบบ End-to-End ที่สมบูรณ์
สิ่งที่น่าสังเกตที่สุดคือ Twitter หลีกเลี่ยงที่จะใช้คำว่า End-to-End Encryption (E2EE) หรือการเข้ารหัสจากต้นทางถึงปลายทาง ซึ่งตามหลักการแล้ว E2EE หมายความว่าจะมีเพียงผู้ส่งและผู้รับเท่านั้นที่อ่านข้อความได้ โดยที่แม้แต่ผู้ให้บริการอย่าง Twitter หรือหน่วยงานรัฐบาลก็ไม่สามารถแอบดูข้อมูลได้
ทาง Twitter ยอมรับอย่างตรงไปตรงมาในหน้าศูนย์ช่วยเหลือว่า ระบบปัจจุบันยังไม่สามารถป้องกันการเข้าถึงข้อมูลได้ 100% แม้ในกรณีที่ถูกกดดันอย่างหนัก ซึ่งขัดกับมาตรฐานที่ Musk เคยตั้งเป้าไว้ว่า "ต่อให้มีปืนจ่อหัว พนักงาน Twitter ก็ต้องเข้าถึงข้อความของคุณไม่ได้"
จุดอ่อนสำคัญเมื่อเทียบกับแอปพลิเคชันมาตรฐาน
เมื่อเปรียบเทียบกับแอปพลิเคชันอย่าง Signal หรือ WhatsApp ซึ่งใช้ Signal Protocol (โปรโตคอลการเข้ารหัสที่ได้รับการยอมรับว่าปลอดภัยที่สุดในปัจจุบัน) ระบบของ Twitter กลับขาดคุณสมบัติพื้นฐานที่สำคัญหลายอย่าง ดังนี้:
- ไม่มี Perfect Forward Secrecy: ระบบของ Twitter ไม่มีการเปลี่ยนกุญแจเข้ารหัสทุกครั้งที่ส่งข้อความ ทำให้หากอุปกรณ์ถูกเจาะข้อมูลในอนาคต ข้อความเก่าๆ อาจถูกถอดรหัสได้
- เสี่ยงต่อ Man-in-the-Middle Attack: คือการโจมตีโดยบุคคลที่สาม (หรือแม้แต่ตัว Twitter เอง) ที่สามารถปลอมแปลงตัวตนเพื่อดักจับและอ่านข้อความก่อนจะส่งต่อไปยังผู้รับ โดยที่ผู้ใช้ไม่รู้ตัว
- ข้อจำกัดด้านฟังก์ชัน: ปัจจุบันไม่รองรับการส่งรูปภาพ วิดีโอ หรือการแชทแบบกลุ่มในโหมดเข้ารหัส
- ไม่ใช่ค่าเริ่มต้น: ผู้ใช้ต้องเลือกเปิดใช้งานเอง (Opt-in) ไม่ได้ถูกเปิดให้โดยอัตโนมัติ
| คุณสมบัติ | Twitter Encrypted DMs | Signal / WhatsApp |
|---|---|---|
| การเข้ารหัส E2EE สมบูรณ์ | ยังไม่สมบูรณ์ | สมบูรณ์ |
| Perfect Forward Secrecy | ไม่มี | มี |
| ป้องกัน Man-in-the-Middle | ไม่มี (กำลังพัฒนา) | มี (ตรวจสอบ Fingerprint ได้) |
| ส่งสื่อ (ภาพ/วิดีโอ) แบบเข้ารหัส | ไม่รองรับ | รองรับ |
| ค่าใช้จ่ายในการเข้าถึง | ต้องจ่ายรายเดือน (Verified) | ฟรี |
กำแพงด้านราคาและการเข้าถึง
อุปสรรคที่ใหญ่ที่สุดของฟีเจอร์นี้คือ การจำกัดสิทธิ์ โดยระบบข้อความเข้ารหัสจะใช้งานได้เฉพาะระหว่างบัญชีที่ได้รับการยืนยันตัวตน (Verified Accounts) เท่านั้น ซึ่งส่วนใหญ่ต้องจ่ายค่าบริการรายเดือนประมาณ 8 ดอลลาร์ ทำให้ผู้ใช้งานทั่วไปไม่สามารถเข้าถึงความปลอดภัยพื้นฐานนี้ได้
Matthew Green ศาสตราจารย์ด้านวิทยาการคอมพิวเตอร์จากมหาวิทยาลัย Johns Hopkins ให้ความเห็นว่า ความปลอดภัยขั้นพื้นฐานไม่ควรเป็นสิ่งที่ต้องจ่ายเงินซื้อ และแนะนำว่าหากใครที่ให้ความสำคัญกับความเป็นส่วนตัวอย่างจริงจัง ควรหันไปใช้ Signal หรือ WhatsApp แทนจะดีกว่า
ข้อเท็จจริงสำคัญ
- Twitter ยอมรับว่าระบบยังไม่ถึงระดับที่ป้องกันการเข้าถึงข้อมูลได้ทุกกรณี
- ฟีเจอร์นี้จำกัดเฉพาะผู้ใช้ที่จ่ายเงินเพื่อยืนยันตัวตน (Verified Users) เท่านั้น
- ขาดคุณสมบัติ Perfect Forward Secrecy ซึ่งเป็นมาตรฐานพื้นฐานของ Signal Protocol
- ไม่สามารถส่งไฟล์มัลติมีเดียหรือแชทกลุ่มในโหมดเข้ารหัสได้
- มีความเสี่ยงต่อการถูกดักจับข้อมูลแบบ Man-in-the-Middle เนื่องจากไม่มีระบบตรวจสอบลายนิ้วมือดิจิทัล (Fingerprint)
คำถามที่พบบ่อย
ระบบข้อความเข้ารหัสของ Twitter ปลอดภัยกว่าการแชทปกติหรือไม่?
ปลอดภัยขึ้นในระดับหนึ่ง แต่ยังไม่สามารถเทียบได้กับมาตรฐานการเข้ารหัสระดับโลกอย่าง Signal หรือ WhatsApp เนื่องจากยังมีช่องโหว่ที่สำคัญหลายจุด
ใครบ้างที่สามารถใช้งานฟีเจอร์นี้ได้?
ในปัจจุบันจำกัดให้ใช้งานได้เฉพาะผู้ที่มีบัญชี Verified (ผู้ที่จ่ายค่าสมาชิกรายเดือนหรือองค์กรที่ได้รับการยืนยัน) และต้องส่งข้อความหากันระหว่างบัญชี Verified ทั้งสองฝ่ายเท่านั้น
Man-in-the-Middle Attack คืออะไรและน่ากลัวอย่างไร?
คือการที่ผู้ไม่หวังดีหรือผู้ให้บริการแทรกกลางระหว่างการสื่อสาร โดยปลอมตัวเป็นผู้รับเพื่อดักอ่านข้อความ แล้วจึงส่งข้อความนั้นต่อไปยังผู้รับจริง ทำให้ทั้งสองฝ่ายเข้าใจว่ากำลังคุยกันอย่างเป็นส่วนตัว ทั้งที่ถูกแอบอ่านข้อมูลอยู่
ทำไม Twitter ถึงไม่ใช้ Signal Protocol เหมือนแอปอื่น?
แม้ Elon Musk จะเคยชื่นชม Signal แต่ในทางปฏิบัติ Twitter ระบุว่าการนำคุณสมบัติบางอย่าง เช่น Perfect Forward Secrecy มาใช้ จะทำให้ผู้ใช้ไม่สามารถเข้าถึงข้อความเก่าได้เมื่อล็อกอินผ่านอุปกรณ์เครื่องใหม่
หากต้องการความปลอดภัยสูงสุด ควรทำอย่างไร?
ผู้เชี่ยวชาญแนะนำให้ใช้แอปพลิเคชันที่ออกแบบมาเพื่อความปลอดภัยโดยเฉพาะ เช่น Signal โดยอาจใช้ Twitter ในการค้นหาบุคคล แล้วจึงขอเบอร์โทรศัพท์เพื่อย้ายไปสนทนาใน Signal แทน
