WhatsApp 近期宣布將正式推出使用者名稱 Username 功能，這對於長期以來依賴電話號碼作為唯一識別碼的用戶來說，是一個重大的隱私轉型。對於開發者或資安從業人員而言，這不僅是 UI 的更動，更是將身分識別從實體綁定的電話號碼，轉向邏輯層級的別名系統。
為什麼需要使用者名稱
在過去的 WhatsApp 運作邏輯中，電話號碼既是帳號 ID 也是聯絡方式。這意味著如果你想在公開場合（如公司網站、社群媒體或商業合作）分享自己的 WhatsApp 聯絡方式，就必須直接暴露自己的個人電話號碼。
這種設計會帶來顯著的隱私風險。電話號碼是高度敏感的個人識別資訊 PII，一旦公開，攻擊者可以透過號碼進行社交工程攻擊、發送垃圾訊息，甚至透過號碼反查用戶在其他平台的帳號。為了降低這種風險，WhatsApp 引入了使用者名稱機制，讓用戶可以用一個自定義的字串來代替電話號碼進行社交連接。
隱私保護的核心機制
這次更新的核心目標是去中心化對電話號碼的依賴。當使用者設定了使用者名稱後，其他用戶可以透過該名稱發起對話，而不需要知道對方的電話號碼。最重要的是，一旦此功能啟用，對方的帳號將不再向外部顯示電話號碼，從根本上切斷了從對話界面獲取 PII 的路徑。
為了防止使用者名稱被惡意掃描或隨機猜測，WhatsApp 特別強調這是一個隱私功能而非社交功能。它不會提供像 Instagram 那樣的公開目錄瀏覽，也不會提供建議名單。這意味著除非你主動將使用者名稱告知對方，否則陌生人無法透過平台內建的搜尋功能隨意發現你。
進階安全防護：使用者名稱金鑰
除了使用者名稱，WhatsApp 還引入了一個名為使用者名稱金鑰 Username Key 的額外保護層。這可以被理解為一種二次驗證機制。
即使攻擊者猜中了你的使用者名稱，如果對方沒有正確的金鑰，依然無法在第一次嘗試時與你建立聯繫。這為用戶提供了一道防火牆，讓使用者可以精確控制誰能透過使用者名稱進入自己的對話清單。此外，金鑰支持隨時重設，這讓用戶在感覺到資訊外洩時，能快速切斷所有未經授權的新進聯絡請求。
實務應用與限制
對於內容創作者或小型企業，這項更新提供了品牌一致性的便利。他們可以將 Facebook 或 Instagram 的名稱同步到 WhatsApp，讓客戶在不同平台間擁有統一的識別符號，而不需要管理多組電話號碼。
然而，從工程實務角度看，這種變更也帶來了識別碼管理的問題。由於使用者名稱必須唯一且不可重複，WhatsApp 提供了名稱生成器來協助用戶。對於開發者而言，這意味著系統後端的對應關係從單一的電話號碼索引，變成了電話號碼與使用者名稱的映射表，增加了系統在處理身分驗證時的複雜度。
總結與觀點
WhatsApp 這次的改動實際上是在追隨 Signal 等隱私導向通訊軟體的腳步。將身分識別與硬體綁定的電話號碼解耦，是現代通訊軟體保護用戶隱私的必然趨勢。透過使用者名稱與金鑰的雙重機制，WhatsApp 試圖在便利的社交連接與嚴格的隱私隔離之間取得平衡。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。