一位年輕的安全研究人員最近的發現在技術社群引發了關於安全通訊應用在便利性和隱私之間平衡的激烈討論。該發現揭示了 Signal 使用 Cloudflare 的 CDN 服務可能會透過快取分析暴露使用者的大致位置。
技術發現
研究人員發現，當 Signal 使用者接收附件時，這些檔案會被快取在離接收者最近的 Cloudflare 資料中心。透過分析哪個資料中心快取了附件，攻擊者可以確定使用者在250英里半徑範圍內的大致位置。這種技術既適用於手動圖片下載，也適用於推送通知，在某些情況下可以實現零點選攻擊。
攻擊特徵：
- 型別：快取地理位置攻擊
- 精確度：約250英里半徑範圍
- 受影響的服務： Signal 、 Discord 和其他使用 Cloudflare CDN 的使用者
- 攻擊途徑：圖片附件和推送通知
- 緩解措施：使用 VPN ，停用自動下載
社群反應和影響評估
雖然這一技術發現很有創新性，但社群對其嚴重程度的反應不一。許多專家指出，位置資料過於寬泛，不足以構成真正的去匿名化，而另一些人則認為，即使是大致的位置資料，與其他資訊結合使用時也可能具有價值。
「由於 Cloudflare 需要透過IP地址將使用者路由到指定的資料中心，因此IP地址資訊會被洩露。我強烈反對認為能夠發現某人的大致地理位置不是隱私問題的說法。」
現實應用和擔憂
這種攻擊的實際影響因目標的具體情況而異。對於在敏感地區工作的舉報人、記者或活動人士來說，即使知道粗略位置也可能造成問題。社群指出，這種技術特別適合追蹤使用者隨時間推移的移動模式，尤其是在不同地區之間移動的使用者。
緩解策略
關心位置隱私的使用者可以採取幾個步驟來保護自己。最有效的解決方案是使用 VPN，這樣快取位置將顯示在 VPN 終端而不是使用者的實際位置。Signal 還提供了停用自動媒體下載的設定，不過這只是將攻擊從零點選升級為一鍵點選。
技術響應
Signal 最初駁回了這份報告，而 Cloudflare 透過修補其系統以防止直接資料中心定位來解決了部分問題。這造成了一個有趣的局面，即平臺提供商和 CDN 服務各自指向對方應對此類隱私問題負責。
這一發現突顯了現代通訊應用在依賴第三方基礎設施服務時，在使用者便利性和隱私之間取得平衡的持續挑戰。