【大纪元2021年02月28日讯】（大纪元记者吴旻洲台湾台北报导）近期语音社交平台“Clubhouse”掀起风潮，引发外界热烈关注，不过却也爆出该平台使用中资音讯技术公司声网（Agora），恐存有资安风险。专家警告，经实测后发现，Clubhouse并非如声称使用P2P传输，且语音封包内存ID资讯，恐遭反向追踪，建议勿在平台上聊敏感或触法话题。
Clubhouse是一款仅接受“邀请码”才能加入的语音社群应用程序，目前仅在App Store上架，Google Play仍为测试阶段，甚至官网都还没设立，就已有数百万人注册，并已获得大量资金投资。
不过近期Clubhouse却被爆出，程序的即时音频技术是采用Agora的技术，而非自行研发。但Clubhouse及Agora至今都未承认彼此的合作关系。
专家测试 Clubhouse恐非P2P传输
台湾智慧家庭（TIH）执行长陈庆耀（Pichu Chen）表示，Agora声称技术是透过P2P（peer-to-peer，点对点传输）这点基本上是有问题的，至少他透过网路封包分析工具Wireshark测出来的结果不是，他也分享自己的实测结果。
在透过“中华电信光世代”进行连线时，所有的语音封包会传输到45_255_124_0/24 AOFEI-JP，这个并非云端龙头产业亚马逊网路服务公司AWS（Amazon Web Services）的IP，由于AWS目前没有提供边界闸道协定会谈（BGP session），因此他推测是Agora自己的机房，而mnt-by：MAINT-YINGDA-CN实质应该是由香港及深圳的所属公司控制。
而当透过“中华电信LTE”连线时，所有的语音封包则会传输到103_59_49_10NLTD-HK。他表示，这个实质上是由香港控制的网段，同样也可能不在AWS上。
陈庆耀表示，没有侦测到成功的点对点连线，也就是没有任何封包是直接从使用者手机送往一般使用者的手机，也没有从任何其它使用者手机收到封包，这个结果证明，声称使用P2P传输，不是技术太差，就是其实是假的。
语音封包存ID资讯 恐遭反向追踪
今年2月8日以前，中国大陆用户原本无须通过VPN（翻墙）就能使用Clubhouse，在平台上畅谈关于“六四”、台湾、香港、新疆和西藏等中共敏感话题，达成真正意义上的“与全球用户交流”，不过该平台随即遭到中共网路防火墙封锁。
陈庆耀表示，原本他只有拦截封包而没有进行解密，理论上应该只知道有人往Agora的服务器连线，而不应该知道封包细节，但2月8日发生Clubhouse被封锁情况后，确认封包内容的细节就变得比较重要。
因此他对网路语音封包进行分析后发现，使用者在收发特定聊天室讯息时的ID为“f0 1a 80 89”（如同编号第f01a8089号房间），由于封包本身会带有来源IP的位置，因此如果使用者在中国境内，他的ID对上来源IP的资讯，有可能会被配对、记录。
他表示，执法机关可以透过封包的纪录，知道某个IP在几点、几分、几秒时于哪个房间发言，而且只要有了IP，就有办法追到申办网路的人，因此还能反推出发言的人是谁。
“有几分证据说几分话，我只有用自己的账号进行观察，因此可以确定我如果重复进入某个房间，会有一个房间ID是固定出现的。”陈庆耀表示，房间ID并不会明确显示在Clubhouse的使用者介面上，因此他暂时无法下定论，究竟这个房间ID是专属个人，或者是全平台共用的房间ID。
他以信用卡刷卡为例，收银员会看到16位元的信用卡卡号，所以公司可以利用这点追踪顾客。但Apple Pay的刷卡方式，则是每次都会提供不同的虚拟卡号，因此顾客消费的内容，就不会被追踪到。
他猜测，Agora对于隐私的设计，应该没有做到Apple的程度，因此很有可能房间ID是全平台共用，也就是网警若想知道某个房间的ID，他只需用自己的账号进入这个房间就会知道了。但他强调，因为他没有用第二个账号测试，所以目前纯属猜测。
聊八卦可以 敏感内容别上Clubhouse
此外，Clubhouse使用的语音封包可能没有对齐128位元，意谓该软体可能没有使用高阶加密标准（AES，有分128位元、192位元、256位元三种长度的密钥）。
陈庆耀表示，即便传输资料只有8位元，为了避免内容被暴力破解，通常加密时仍会将至少128位元的区块放在一起进行块状加密，但Clubhouse的传送封包似乎没有对齐128位元，代表可能并非使用现代密码学常见的加密手段，有可能是自行发明的加密方式，或者是根本没有进行加密，却对外宣称有进行加密。
他表示，接下来中国的朋友应该会透过VPN上Clubhouse，根据以往的情报这样应该可以顺利连上，只是你不知道哪些VPN会测录封包，因此有可能反而更容易被锁定。
他认为，虽然目前并没有直接证据，能证明Agora有任何恶意泄露使用者资讯的行为，但有证据证明Agora可能无意产生了隐私上的弱点，这个弱点有可能会使得中间的网路服务提供商，或者是政府在不需要Clubhouse或是Agora同意授权之前，就可以私下搜集使用者行为资讯。
他表示，在取得Clubhouse或Agora内部员工爆料之前，大家主观上都会相信他们承诺的隐私政策，但他们提交给Apple及Clubhouse的隐私政策中，也清楚表明会搜集使用者的联络人、联络资料、使用资料、设备ID等，并与使用者本人进行连结。
“因此使用者必须要注意不要任意触犯当地法律，例如在加州讨论大麻使用可能是没问题的，但是在台湾分享大麻使用经验有可能会被检察官盯上。”陈庆耀表示。
他建议，如果觉得自己的对话内容，是在星巴克被隔壁桌听到也不会出事的就没关系，例如聊八卦、聊星座、讨论投资经验、或者是分享音乐创作等等，原则上不会有问题，但如果真不太希望政府知道的资讯，建议还是使用Telegram之类，“有点对点加密功能，而且真的被资安人员稽核过”的聊天软体。
责任编辑：李薇 #
