Nieuwe signaalgebruikersnamen helpen bij dagvaardingen en gegevensprivacy

In oktober 2021, een Amerikaanse assistent-advocaat vaardigde een dagvaarding uit aan Signal en eiste dat de berichtenapp informatie over een van zijn gebruikers zou overhandigen. Op basis van een telefoonnummer vroegen de federale aanklagers om de naam, het adres, de correspondentie, de contacten, de groepen en de gespreksgegevens van de gebruiker om te helpen bij een FBI-onderzoek. Twee weken later reageerde de American Civil Liberties Union namens Signal met slechts twee gegevens: de datum waarop het doel-Signal-account werd aangemaakt en de datum waarop deze voor het laatst verbinding maakte met de dienst.

Dat is het. Dat is alles wat Signal heeft overgedragen, want dat is alles waar Signal zelf toegang toe had. Zoals de website van Signal het stelt: “Het is onmogelijk om gegevens over te dragen waartoe we überhaupt nooit toegang hebben gehad.” Het was niet de eerste keer dat Signal dataverzoeken van de overheid ontving, en ook niet de laatste. In alle gevallen overhandigde Signal alleen die twee gegevens over accounts, of helemaal niets.

Signaal is de gouden standaard voor veilige berichtenapps, omdat niet alleen berichten gecodeerd zijn, maar vrijwel al het andere ook. Signal kent je naam of profielfoto niet, wie je contacten ook zijn, in welke Signal-groepen je zit, of met wie je praat en wanneer. (Dit geldt niet voor WhatsApp, Telegram, iMessage en bijna elke andere berichten-app.)

Toch is een van de belangrijkste problemen met Signal de afhankelijkheid van telefoonnummers. Wanneer activisten zich bij Signal-groepen aansluiten om zich te organiseren, zijn ze gedwongen hun telefoonnummer te delen met mensen die ze nog niet kennen en vertrouwen. Journalisten moesten kiezen tussen het vragen om tips door hun privénummers aan hun lezers te publiceren – en daardoor uit te nodigen voor intimidatie en cyberaanvallen – of het opzetten van een tweede Signaalnummer, een uitdagend en tijdrovend vooruitzicht. De meeste journalisten publiceren simpelweg helemaal geen Signaalnummer. Dat gaat allemaal veranderen.

Met de langverwachte aankondiging dat er gebruikersnamen naar Signal komen – waar ruim vier jaar aan gewerkt is – maakte Signal gebruik van dezelfde zorgvuldige cryptografietechniek waar het bekend om staat, waardoor de dienst zo min mogelijk informatie over zijn gebruikers blijft leren.

“Het versleuteld doen is het baasniveau. We moesten fundamentele onderdelen van onze architectuur veranderen.”

“Het versleuteld doen is het baasniveau”, zegt Meredith Whittaker, voorzitter van de non-profitorganisatie Signal Foundation, die de app maakt. “We moesten fundamentele onderdelen van onze architectuur veranderen.”

Als Signal een overheidsverzoek ontvangt om informatie over een account op basis van een actieve gebruikersnaam, kan Signal het telefoonnummer van dat account overhandigen, samen met de aanmaakdatum en de laatste verbindingsdatum. Het kunnen gebruiken van Signal via gebruikersnamen betekent dus niet dat uw telefoonnummer dagvaardingsbestendig wordt – althans niet zonder gebruik te maken van de nieuwe mogelijkheid om uw gebruikersnaam naar believen te wijzigen.

Dat komt omdat de nieuwe Signal-gebruikersnamen zo zijn ontworpen dat ze kortstondig zijn. Je kunt er een instellen, verwijderen en in iets anders veranderen, zo vaak als je wilt.

Signal-gebruikersnamen zijn momenteel beschikbaar in Signal Desktop en de bètaversie van de mobiele Signal-apps. Deze zullen in de komende weken ook worden bijgewerkt. Mijn gebruikersnaam is micah.01, als je mij een bericht wilt sturen.

Signal’s nieuwe telefoonnummerprivacy

Met de nieuwe versie van Signal zend je standaard niet langer je telefoonnummer uit naar iedereen naar wie je berichten stuurt, maar je kunt er wel voor kiezen als je dat wilt. Uw telefoonnummer wordt nog steeds weergegeven voor contacten die het al op hun telefoon hebben opgeslagen. Als je in de toekomst een nieuw gesprek op Signal start, wordt je nummer helemaal niet meer gedeeld: contacten zien alleen de naam die je gebruikt wanneer je je Signal-profiel instelt. Dus zelfs als uw contactpersoon bijvoorbeeld een aangepaste Signal-client gebruikt, kan hij/zij uw telefoonnummer nog steeds niet ontdekken, omdat de service dit nooit aan hem of haar zal vertellen.

Je hebt nu ook de mogelijkheid om een ​​gebruikersnaam in te stellen, die je met Signal kunt wijzigen wanneer je maar wilt en kunt verwijderen wanneer je deze niet meer wilt. In plaats van uw gebruikersnaam direct op te slaan als onderdeel van uw accountgegevens, slaat Signal in plaats daarvan een cryptografische hash van uw gebruikersnaam op; Signal maakt gebruik van het hash-algoritme Ristretto 25519, waarbij in wezen een willekeurig gegevensblok wordt opgeslagen in plaats van de gebruikersnamen zelf. Dit is vergelijkbaar met de manier waarop online services kunnen bevestigen dat het wachtwoord van een gebruiker geldig is zonder een kopie van het daadwerkelijke wachtwoord zelf op te slaan.

“Voor zover wij weten zijn wij het enige berichtenplatform dat nu ondersteuning biedt voor gebruikersnamen die niet standaard de gebruikersnamen van iedereen kennen.”

“Voor zover wij weten zijn wij het enige berichtenplatform dat nu ondersteuning biedt voor gebruikersnamen die niet standaard de gebruikersnamen van iedereen kennen”, zegt Josh Lund, een senior technoloog bij Signal.

Deze stap is nog een onderdeel van het Signal-ethos om zo min mogelijk gegevens bij de hand te houden, uit angst dat de autoriteiten proberen binnen te dringen in het bedrijf. Whittaker legde uit: “We willen niet gedwongen worden een lijst met gebruikersnamen op te sommen.”

Om te voorkomen dat mensen gebruik maken van hoogwaardige gebruikersnamen – zoals taylorswift bijvoorbeeld – moeten alle gebruikersnamen aan het einde een nummer hebben, zoals taylorswift.89. Nadat u een gebruikersnaam heeft ingesteld, kunnen andere Signal-gebruikers een gesprek met u beginnen door naar uw gebruikersnaam te zoeken, allemaal zonder uw telefoonnummer te kennen.

Omdat gebruikersnamen zo zijn ontworpen dat ze kortstondig zijn, kunt u een nieuwe gebruikersnaam specifiek instellen voor een conferentie die u bijwoont, of voor een feest. Mensen kunnen er verbinding mee maken en het vervolgens verwijderen als je klaar bent en het later op iets anders instellen.

Er zijn enkele gevallen waarin u wilt dat uw gebruikersnaam permanent is. Het is bijvoorbeeld logisch dat journalisten een gebruikersnaam creëren die ze nooit kunnen wijzigen en deze op grote schaal publiceren, zodat bronnen contact met hen kunnen opnemen. Journalisten kunnen dat nu doen zonder hun privételefoonnummer te hoeven delen. Aan de andere kant is het logisch dat bronnen alleen een gebruikersnaam instellen als ze specifiek verbinding willen maken met iemand, en deze daarna verwijderen.

U kunt ook een link of QR-code maken die mensen kunnen scannen om u als contact toe te voegen. Ook deze zijn van voorbijgaande aard. Je kunt iemand je Signal-link sturen via een onveilig kanaal, en zodra hij of zij contact met je opneemt, kun je je link resetten en een nieuwe krijgen, zonder dat je je gebruikersnaam hoeft te wijzigen.

Ten slotte heb je, hoewel je nog steeds een telefoonnummer nodig hebt om een ​​Signal-account aan te maken, de mogelijkheid om te voorkomen dat iemand je op Signal kan vinden met behulp van je telefoonnummer.

Kan Signal uw telefoonnummer doorgeven op basis van een gebruikersnaam?

Telkens wanneer Signal een correct uitgevoerde dagvaarding ontvangt, werken ze nauw samen met de American Civil Liberties Union om deze aan te vechten en erop te reageren, waarbij ze zo min mogelijk gebruikersgegevens overhandigen. Signal publiceert een bericht in het gedeelte ‘Overheidsverzoeken’ van hun website (signal.org/bigbrother) wanneer ze wettelijk verplicht zijn gebruikersgegevens aan overheden te verstrekken, zolang ze dat mogen. Enkele van de voorbeelden zijn onder meer het uitdagen van zwijgbevelen, waardoor Signal de eerder verzegelde rechterlijke bevelen kan publiceren.

Als Signal een dagvaarding ontvangt waarin wordt geëist dat zij alle accountgegevens overdragen die betrekking hebben op een gebruiker met een specifieke gebruikersnaam die momenteel actief is op het moment dat Signal deze opzoekt, kunnen zij deze aan een account koppelen. Dat betekent dat Signal het telefoonnummer van die gebruiker zou overdragen, samen met de datum waarop het account is aangemaakt en de laatste verbindingsdatum. Whittaker benadrukte dat dit “een vrij smalle pijplijn is die venijnig wordt bewaakt door ACLU-advocaten”, alleen maar om een ​​telefoonnummer te verkrijgen op basis van een gebruikersnaam.

Signal kan echter niet bevestigen hoe lang een bepaalde gebruikersnaam in gebruik is, hoeveel andere accounts deze in het verleden hebben gebruikt of iets anders daarover. Als de Signal-gebruiker kortstondig een gebruikersnaam gebruikte en deze vervolgens verwijderde, zou Signal niet eens kunnen bevestigen dat deze ooit in gebruik was, laat staan ​​welke accounts deze eerder hadden gebruikt.

Als de Signal-gebruiker kortstondig een gebruikersnaam zou gebruiken en deze vervolgens zou verwijderen, zou Signal niet eens kunnen bevestigen dat deze ooit in gebruik was.

Kortom, als u zich zorgen maakt dat Signal uw telefoonnummer aan de politie overhandigt op basis van uw gebruikersnaam, moet u alleen een gebruikersnaam instellen als u wilt dat iemand contact met u opneemt, en deze daarna verwijderen. En stel elke keer altijd een andere gebruikersnaam in.

Op dezelfde manier kunt u, als u wilt dat iemand veilig contact met u opneemt, uw Signal-link naar hem of haar sturen. Zodra hij/zij contact maakt, kunt u de link opnieuw instellen. Als Signal een dagvaarding ontvangt op basis van een link die al is gereset, is het voor hen onmogelijk om op te zoeken aan welk account deze is gekoppeld.

Als de dagvaarding eist dat Signal accountgegevens overdraagt ​​op basis van een telefoonnummer in plaats van een gebruikersnaam, kan Signal gedwongen worden om de cryptografische hash van de gebruikersnaam van het account te overhandigen, als er een gebruikersnaam is ingesteld. Het zou echter moeilijk zijn voor wetshandhavers om de daadwerkelijke gebruikersnaam zelf te achterhalen op basis van de hash. Als ze al een gebruikersnaam vermoeden, kunnen ze de hash gebruiken om te bevestigen dat deze echt is. Anders zouden ze de gebruikersnaam moeten raden met behulp van technieken voor het kraken van wachtwoorden, zoals woordenboekaanvallen of regenboogtabellen.

Waarom heeft Signal überhaupt telefoonnummers nodig?

De leiding van Signal is zich ervan bewust dat de meest hardnekkige klacht van de critici de telefoonnummervereiste is, en ze zullen grif toegeven dat optionele gebruikersnamen slechts een gedeeltelijke oplossing zijn. Maar omdat telefoonnummers het voor de meeste mensen eenvoudiger maken om Signal te gebruiken, en voor spammers moeilijker om valse accounts aan te maken, zal de vereiste voor telefoonnummers in de nabije toekomst blijven bestaan.

Signal publiceert niet hoeveel gebruikers het heeft, maar de Android-app beschikt over meer dan 100 miljoen downloads. Het heeft deze schaal grotendeels bereikt omdat je alleen maar de Signal-app hoeft te installeren en je onmiddellijk gecodeerde berichten kunt sturen naar de andere Signal-gebruikers in de contacten van je telefoon – op basis van telefoonnummers.

“Je bereikt een drempel waarop je feitelijk de privacy aantast.”

Dit gebruiksgemak maakt Signal ook veiliger. Als Signal telefoonnummers zou verwijderen, waardoor het voor Signal-gebruikers moeilijker zou worden om elkaar te vinden in vergelijking met het gebruik van alternatieve berichten-apps, zou er een prijs moeten worden betaald. “Je bereikt een drempel waarop je feitelijk de privacy beperkt”, zei Whittaker. Ze gaf een voorbeeld van een persoon die met ernstige bedreigingen wordt geconfronteerd en normaal gesproken waakzaam is, maar wiens moeder alleen op WhatsApp zit omdat ze het talloze Signaal niet kan achterhalen. De persoon met een hoog risico zou vaker de minder veilige optie moeten gebruiken.

Het vereisen van telefoonnummers maakt het ook aanzienlijk moeilijker voor spammers om Signal te misbruiken. “Het bestaan ​​van een handvol kleine apps die niet echt een groot aantal gebruikers hebben, waarvoor geen telefoonnummers nodig zijn, is volgens mij geen bewijs dat het daadwerkelijk werkbaar is voor een grootschalige app”, aldus Whittaker. .

Het is heel goed mogelijk om een ​​versie van Signal te bouwen waarvoor geen telefoonnummers nodig zijn, maar Whittaker is bang dat spammers, zonder de problemen van het verkrijgen van nieuwe telefoonnummers, het netwerk onmiddellijk zouden overweldigen. Signaalingenieurs hebben mogelijke alternatieven voor telefoonnummers besproken die deze wrijving in stand zouden houden, inclusief betaalde opties, maar er staat momenteel niets op hun routekaart.

“Dat is eigenlijk de kern van een zeer lastig probleemgebied waarvoor ik nog geen echte oplossing heb gezien, en we zouden heel, heel voorzichtig willen zijn,” zei Whittaker. ‘Er is één signaal. We zijn de gouden standaard voor privéberichten en we hebben op behoorlijk grote schaal een kritische massa bereikt. Die dingen kunnen niet gemakkelijk opnieuw worden gecreëerd als we dit verpesten door een overhaaste beslissing te nemen, waardoor het een spookstad met spam wordt. Dat is de zorg waar we hier mee worstelen.”