即时通讯产品 Telegram 研究 － 通讯录的隐私问题

前一段时间发生了Telegram服务器遭到DDoS攻击的事情。这个事情的真伪、起因都其实没有必要去深入追究。不过作为一个完美主义的程序员，我觉得Telegram号称的因为其”太安全了“，导致被攻击，理由有点牵强哦。一个应用软件，当然也包含应用软件对应的后台服务端、以及服务端存储的客户数据。保证通讯通讯隐私和服务器数据的安全，这是一个IT系统应该遵守的基本原则啊。很多软件都可以做到隐私通讯，只不过不为大众所知道而已。

现在先说说Telegram的通讯录隐私问题。

在谈这个问题之前，需要先说明一下，在Telegram中，用户信息，甚至好友关系都是基于手机通讯录的。所谓的好友就是我的手机通讯录中有你，你的手机通讯录中有我。如果单单的只是一方存在于通讯录中，这不是好友关系，而是可以创建一种广播关系。也就是说，如果我知道了你的手机号码，而且保存在我的手机通讯录里了。那么在Telegram中我可以给你发消息，你也可以看到我给你发的消息。但是我们之间并不是好友关系。

在Telegram的Android客户端代码中，应用第一次注册、每次重新登录或者修改了手机通讯录时，都会调用TL_contacts_importedContacts接口上传手机通讯录的详细内容，包括：手机号码、姓、名。涉及的接口类如下：

public static class TL_inputPhoneContact extends TLObject {


    public long client_id;


    public String phone;


    public String first_name;


    public String last_name;
}
然后Telegram服务器会在已经注册的用户中匹配phone对应的用户信息，如果存在以pho