Meta開(kāi)源發(fā)布瀏覽器插件，可驗(yàn)證Web版WhatsApp傳輸文件的真實(shí)性

Meta宣布發(fā)布一項(xiàng)瀏覽器插件軟件，以確保Web版WhatsApp傳輸內(nèi)容沒(méi)有被人篡改，可在三大瀏覽器的插件軟件市場(chǎng)下載。

WhatsApp去年宣布多設(shè)備策略，即允許用戶以Web、Windows及macOS等版本App，從主要手機(jī)以外的設(shè)備使用WhatsApp。此后使用Web版的用戶越來(lái)越多。WhatsApp最新開(kāi)源發(fā)布Code Verify，可自動(dòng)驗(yàn)證送到瀏覽器的Web程序代碼，以確保通過(guò)Web版WhatsApp傳輸?shù)奈募虺绦驔](méi)有經(jīng)過(guò)篡改或變更。

WhatsApp解釋，手機(jī)版WhatsApp App提供全程加密，但Web版消息是由發(fā)送者直接送給信號(hào)者，并沒(méi)有第三方單位驗(yàn)證和審核程序代碼。Web環(huán)境下的傳輸?shù)耐{來(lái)源是手機(jī)App版沒(méi)有的，像是瀏覽器插件程序。此外，由于App多半是在互聯(lián)網(wǎng)出現(xiàn)后開(kāi)發(fā)的，尤其是App多半經(jīng)過(guò)App軟件商店平臺(tái)的審核，之后也都會(huì)獲得軟件更新，本質(zhì)上比Web版更為安全。

Code Verify是由Meta開(kāi)源團(tuán)隊(duì)和Cloudflare合作提供，號(hào)稱能提升WhatsApp Web傳輸?shù)陌踩?。它是以業(yè)界常用的子資源完整性（subresource integrity）概念擴(kuò)展而成，這種安全功能是讓瀏覽器來(lái)驗(yàn)證它取得的資源未經(jīng)非法變更。不過(guò)這類安全功能只用于單一文件，而Code Verify則可檢查整個(gè)網(wǎng)頁(yè)內(nèi)的資源。

圖片來(lái)源／Meta

Cloudflare在這項(xiàng)合作中扮演信賴第三方，且協(xié)助處理更大資源量。當(dāng)激活Code Verify這個(gè)插件時(shí)，它會(huì)自動(dòng)比對(duì)在WhatsApp Web上的程序、及已經(jīng)由WhatsApp驗(yàn)證過(guò)（且交給Cloudflare）的散列值。如果程序代碼經(jīng)過(guò)篡改，用戶就會(huì)獲得通知。WhatsApp強(qiáng)調(diào)，雖然比對(duì)散列值不是新技術(shù)，但自動(dòng)、且大規(guī)模執(zhí)行則是創(chuàng)舉。

Code Verify可在主要瀏覽器包括Google Chrome、Microsoft Edge及Mozilla Firefox的插件市場(chǎng)下載。一旦安裝后，Code Verify會(huì)在用戶打開(kāi)WhatsApp Web時(shí)自動(dòng)啟動(dòng)，準(zhǔn)備偵測(cè)有異狀時(shí)即時(shí)發(fā)出警示。

WhatsApp強(qiáng)調(diào)，Code Verify不會(huì)記錄任何資料、meta data或用戶資源，也不會(huì)分享任何資料給WhatsApp及Cloudflare。它也不讀取WhatsApp上收發(fā)的消息，甚至Meta及WhatsApp連用戶是否下載Code Verify插件都不知道。