Clubhouse存風險專家實測恐遭反向追蹤

2021年02月28日 | 焦點

專家警告，經實測後發現，Clubhouse並非如聲稱使用P2P傳輸，且語音封包內存ID資訊，恐遭反向追蹤。（記者江禹嬋／攝影）

【記者吳旻洲／臺北報導】

近期語音社交平臺「Clubhouse」掀起風潮，引發外界熱烈關注，不過卻也爆出該平臺使用中資音訊技術公司聲網（Agora），恐存有資安風險。專家警告，經實測後發現，Clubhouse並非如聲稱使用P2P傳輸，且語音封包內存ID資訊，恐遭反向追蹤，建議勿在平臺上聊敏感或觸法話題。

Clubhouse是一款僅接受「邀請碼」才能加入的語音社群應用程式，目前僅在App Store上架，Google Play仍為測試階段，甚至官網都還沒設立，就已有數百萬人註冊，並已獲得大量資金投資。

不過近期Clubhouse卻被爆出，程式的即時音頻技術是採用Agora的技術，而非自行研發。但Clubhouse及Agora至今都未承認彼此的合作關係。

專家測試 Clubhouse恐非P2P傳輸

臺灣智慧家庭（TIH）執行長陳慶耀（Pichu Chen）表示，Agora聲稱技術是透過P2P（peer-to-peer，點對點傳輸）這點基本上是有問題的，至少他透過網路封包分析工具Wireshark測出來的結果不是，他也分享自己的實測結果。

在透過「中華電信光世代」進行連線時，所有的語音封包會傳輸到45_255_124_0/24 AOFEI-JP，這個位址並非雲端龍頭產業亞馬遜網路服務公司AWS（Amazon Web Services）的IP，由於AWS目前沒有提供邊界閘道協定會談（BGP session），因此他推測是Agora自己的機房，而mnt-by：MAINT-YINGDA-CN實質應該是由香港及深圳的所屬公司控制。

而當透過「中華電信LTE」連線時，所有的語音封包則會傳輸到 103_59_49_10 NLTD-HK。他表示，這個是實質上是由香港控制的網段，同樣也可能不在AWS上。

陳慶耀表示，沒有偵測到成功的點對點連線，也就是沒有任何封包是直接從使用者手機送往一般使用者的手機，也沒有從任何其他使用者手機收到封包，這個結果證明，聲網稱使用P2P傳輸，不是技術太差，就是其實是假的。

語音封包存ID資訊 恐遭反向追蹤

今年2月8日以前，中國大陸用戶原本無須通過VPN（翻牆）就能使用Clubhouse，在平臺上暢談關於「六四」、臺灣、香港、新疆和西藏等中共敏感話題，達成真正意義上的「與全球用戶交流」，不過該平臺隨即遭到中共網路防火牆封鎖。

陳慶耀表示，原本他只有攔截封包而沒有進行解密，理論上應該只知道有人往Agora的伺服器連線，而不應該知道封包細節，但2月8日發生Clubhouse被封鎖情況後，確認封包內容的細節就變得比較重要。

因此他對網路語音封包進行分析後發現，使用者在收發特定聊天室訊息時的ID為「f0 1a 80 89」（如同編號第 f01a8089 號房間），由於封包本身會帶有來源IP的位置，因此如果使用者在中國境內，他的ID對上來源IP的資訊，有可能會被配對、記錄。

他表示，執法機關可以透過封包的紀錄，知道某個IP在幾點、幾分、幾秒時於哪個房間發言，而且只要有了IP，就有辦法追到申辦網路的人，因此還能反推出發言的人是誰。

「有幾分證據說幾分話，我只有用自己的帳號進行觀察，因此可以確定我如果重覆進入某個房間，會有一個房間ID是固定出現的」，陳慶耀表示，房間ID並不會明確顯示在Clubhouse的使用者介面上，因此他暫時無法下定論，究竟這個房間ID是專屬個人，或者是全平臺共用的房間ID。

他以信用卡刷卡為例，收銀員會看到16位元的信用卡卡號，所以公司可以利用這點追蹤顧客。但Apple Pay的刷卡方式，則是每次都會提供不同的虛擬卡號，因此顧客消費的內容，就不會被追蹤到。

他猜測，Agora對於隱私的設計，應該沒有做到Apple的程度，因此很有可能房間ID是全平臺共用，也就是網警若想知道某個房間的ID，他只需要用自己的帳號進入這個房間就會知道了。但他強調，因為他沒有用第二個帳號測試，所以目前純屬猜測。

聊八卦可以 敏感內容別上Clubhouse

此外，Clubhouse使用的語音封包可能沒有對齊128位元，意謂該軟體可能沒有使用高階加密標準（AES，有分128位元、192位元、256位元三種長度的密鑰）。

陳慶耀表示，即便傳輸資料只有8位元，為了避免內容被暴力破解，通常加密時仍會將至少128位元的區塊放在一起進行塊狀加密，但Clubhouse的傳送封包似乎沒有對齊128位元，代表可能並非使用現代密碼學常見的加密手段，有可能是自行發明的加密方式，或者是根本沒有進行加密，卻對外宣稱有進行加密。

他表示，接下來中國的朋友應該會透過VPN上Clubhouse，根據以往的情報這樣應該可以順利連上，只是你不知道哪些VPN會側錄封包，因此有可能反而更容易被鎖定。

他認為，雖然目前並沒有直接證據，能證明Agora有任何惡意洩露使用者資訊的行為，但有證據證明Agora可能無意產生了隱私上的弱點，這個弱點有可能會使得中間的網路服務提供上，或者是政府在不需要Clubhouse或是Agora同意授權之前，就可以私下搜集使用者行為資訊。

他表示，在取得Clubhouse或Agora內部員工爆料之前，大家主觀上都會相信他們承諾的隱私政策，但他們提交給Apple及Clubhouse的隱私政策中，也清楚表明會搜集使用者的聯絡人、聯絡資料、使用資料、設備ID等，並與使用者本人進行連結。

「因此使用者必須要注意不要任意觸犯當地法律，例如在加州討論大麻使用可能是沒問題的，但是在臺灣分享大麻使用經驗有可能會被檢察官盯上」，陳慶耀表示。

他建議，如果覺得自己的對話內容，是在星巴克被隔壁桌聽到也不會出事的就沒關係，例如聊八卦、聊星座、討論投資經驗、或者是分享音樂創作等等，原則上不會有問題，但如果真不太希望政府知道的資訊，建議還是使用Telegram之類，「有點對點加密功能，而且真的被資安人員稽核過」的聊天軟體。