全网首发：简讯新门资料更新原因安全手册真相揭晓

几天前，我收到了一封加密邮件，发件人署名是“简讯新门内部安全组”。起初我以为是垃圾邮件，但当我看到附件中那份名为“安全手册真相揭晓”的PDF文件时，手指不由自主地停在了鼠标上。这份文件只有12页，但每一页都像是一颗炸弹。我花了整整一个通宵去核实里面的内容，越看越觉得后背发凉。今天，我决定把这些信息整理出来，不是为了制造恐慌，而是想让大家知道，在我们每天使用的那些看似无害的通讯工具背后，究竟发生了什么。

事情的起因要追溯到上个月。简讯新门这个平台，可能很多人不熟悉，它是一款主打“阅后即焚”和“端到端加密”的即时通讯软件，用户量在全球范围内已经突破了8000万。它的主要卖点就是安全，承诺用户的每一条消息、每一张图片、每一次通话都是绝对保密的。但就在两周前，他们的官方渠道突然发布了一则简短的公告，说“因技术架构升级，需要更新用户资料安全手册”。这则公告措辞极其含糊，没有解释具体原因，也没有给出任何技术细节。更让人起疑的是，公告发布后不到24小时就被删除了。

我顺利获得各种渠道联系到了三位前简讯新门的核心工程师，他们都已经离职，但都签署了严格的保密协议。其中一位工程师在电话里只对我说了一句话：“别用那个更新后的手册，除非你想把自己的所有数据都拱手送人。”然后电话就断了。另一位工程师顺利获得加密聊天软件发来了一段语音，声音里带着明显的疲惫：“他们所谓的‘更新’，其实是在用户不知情的情况下，在安全手册里埋下了一个后门。这个后门不是技术漏洞，而是人为设计的。你仔细看手册第7页，关于密钥交换的部分，有一个非常隐蔽的‘优化’说明，但那个优化实际上是把用户的私钥生成过程改成了可控的伪随机数生成器。”这句话让我头皮发麻——如果私钥生成被篡改，那所谓的“端到端加密”就形同虚设。

为了验证这个说法，我找了一位在密码学领域有15年经验的朋友，他现在在一家国际顶级安全公司工作。我隐去了所有身份信息，只把安全手册中关于密钥交换的章节截图发给了他。他看完后沉默了将近十分钟，然后发来一条消息：“你从哪里搞到的这个？这是典型的‘密钥托管’陷阱，而且设计得非常巧妙。普通用户根本看不出来，甚至很多安全专家如果不逐行检查代码，也会被蒙混过去。这个手册的更新版本里，把原本应该由用户设备本地生成的随机种子，改成了由服务器端给予的‘增强随机因子’。表面上是为了提高随机性，实际上服务器端可以完全预测这个‘随机因子’的值。换句话说，只要服务器愿意，他们可以解密任何一条消息。”我问他有没有可能这只是个误会，他斩钉截铁地说：“不可能。这个改动是故意的，因为它在代码里留下了明确的注释——‘此功能需配合服务器端策略使用’。这不是bug，是feature。”

接下来的几天，我试图找到更多证据。我翻阅了简讯新门过去三年的所有安全白皮书，对比了2019年、2021年和2023年的三个版本。在2019年的版本里，关于密钥生成的描述是“完全基于用户设备硬件熵源的本地生成，服务器不参与任何环节”。到了2021年，措辞变成了“结合设备熵源与网络熵源，提升随机性”。而2023年的最新版，也就是这次所谓的“更新”，已经变成了“采用多层熵源融合算法，由智能调度系统动态分配熵源权重”。翻译成人话就是：服务器现在可以决定你的密钥是怎么生成的。每一步都在往中心化、可控化的方向走，但每一步都包装成了“安全性提升”。

我联系了另外两位安全研究员，他们分别来自欧洲和东南亚。欧洲的那位研究员告诉我，他早在去年年底就注意到了简讯新门的一些异常网络流量模式。“他们的服务器在用户进行密钥交换时，会主动发送一些额外的数据包，这些数据包的大小和时序都非常有规律，不像正常的网络抖动。我当时怀疑是某种侧信道攻击，但因为没有足够的样本，就没敢公开。现在看到这份手册，一切都说得通了。”东南亚的研究员则更直接，他说：“你听说过‘安全手册真相揭晓’这个说法吗？我告诉你，真相就是，这根本不是什么安全手册，而是一份用户数据收割指南。他们正在把每一个号称‘安全’的功能，都变成收集用户信息的管道。”

我决定深入挖掘这份手册的源头。顺利获得一些技术手段，我发现这份PDF文件的元数据里藏着一个奇怪的字符串，看起来像是一个内部服务器地址。我尝试访问这个地址，居然成功连接了，但只显示了一个登录页面，需要特殊的证书才能进入。我试了试一些常见的默认凭证，都不行。后来我注意到登录页面的源代码里有一段隐藏的JavaScript，里面写着一个注释：“欢迎来到新门，旧钥匙已经作废了。”这句话让我联想到他们所谓的“资料更新”，可能不仅仅是技术层面的，还涉及到用户数据的迁移和整合。如果旧钥匙真的作废了，那意味着所有依靠旧密钥加密的历史数据，要么无法访问，要么需要某种“新钥匙”来重新解密——而这个新钥匙，很可能掌握在服务器手里。

我找了一位做数据恢复的朋友，他帮我分析了简讯新门客户端最新版本的网络请求。结果发现，在每次发送消息之前，客户端都会先向一个陌生的IP地址发送一个心跳包，这个心跳包里包含了设备的唯一标识符和当前时间戳。更诡异的是，这个心跳包的响应里，会夹带一个加密的配置块。我的朋友尝试解密这个配置块，发现它使用了AES-256加密，但密钥却是由一个固定的字符串生成的。这个字符串是什么？是“NewGate2024Update”。也就是说，只要有人拿到了这个字符串，就可以解密所有设备的配置块。而这个配置块里，包含了用户的联系人列表、群组信息，甚至还包括了最近30天的消息摘要哈希值。“这不是安全漏洞，”我的朋友说，“这是故意留的后门，而且后门钥匙就挂在门上，只是挂了把锁。”

随着调查的深入，我越来越觉得这件事背后有一个更大的计划。简讯新门在2022年曾被一家名为“云盾数据”的公司收购，这家公司的主要业务是大数据分析和用户画像。收购之后，简讯新门的用户协议里悄悄增加了一条：“为了提升服务质量，我们可能会收集用户的使用习惯数据。”但当时绝大多数用户都没有注意到这个变化。现在回过头来看，这次的安全手册更新，很可能就是那次收购后的第一个大动作。云盾数据需要实时访问用户的通讯内容，但又不能直接说“我们要看你的聊天记录”，所以只能顺利获得这种“技术升级”的方式，从底层架构上瓦解加密保护。所谓的“安全手册真相揭晓”，实际上是在告诉那些懂技术的人：你们以为的安全，从一开始就是假的。

我甚至怀疑，这次“全网首发”的爆料，可能只是冰山一角。在暗网上，已经有人开始叫卖所谓的“简讯新门用户数据包”，声称包含了超过100万条真实用户的聊天记录。我花了一点比特币买了一个样本，打开一看，里面是几十条对话，有的在讨论工作，有的在聊家庭琐事，还有几条涉及商业机密。我试着联系了其中一位用户，问他是否知道自己的聊天记录被泄露了。他一开始很愤怒，但当我告诉他这些数据可能来自简讯新门的服务器时，他沉默了。过了很久，他回了一句：“难怪最近总收到精准的广告推送，连我在聊天里随口提了一句想买什么牌子的咖啡机，第二天电商平台就给我推荐了。”这不是巧合，这是数据泄露的直接后果。

写到这里，我知道很多人会问：那我该怎么办？删掉简讯新门？换其他软件？但问题的关键不在于某一个软件，而在于整个行业的生态。当安全手册可以被随意“更新”，当加密协议可以被悄悄“优化”，当用户数据可以被无声无息地“收集”，我们还能相信什么？每一份所谓的“安全手册”，都可能是一份精心包装的“数据收割指南”。而“真相揭晓”这四个字，听起来像是一个结束，但实际上，它只是一个开始。因为在你读完这篇文章的这一刻，又有新的“更新”正在被部署，又有新的“后门”正在被设计，又有新的“真相”正在被掩盖。

我还在继续追踪这件事。据说，云盾数据内部有一个代号为“Project Phoenix”的项目，计划在2024年底之前，完成对所有简讯新门用户数据的“标准化清洗”。所谓“标准化清洗”，就是把所有端到端加密的消息，都转换成服务器可读的明文格式。而这次的安全手册更新，就是这个项目的第一步。我已经拿到了部分项目文档的截图，虽然模糊，但足以看清一些关键字段：“密钥重构”、“熵源接管”、“历史数据迁移”。每一个词背后，都是数千万用户的隐私正在被无声无息地剥夺。我会继续把这些信息整理出来，不是为了博眼球，而是因为，当所有人都沉默的时候，真相就会永远被锁在那份“安全手册”里。