Z tego co wiem sam algorytm jest przezajebisty i trudno o coś lepszego, szczególnie że najpopularniejszą konkurencją do tej pory są fejsbuk (messenger + whatsapp) i telegram pozostawiajace bardzo wiele do życzenia w kwestiach bezpieczeństwa. Ostatnio jednak trafiłem na krytykę Signal choćby tutaj:

https://resist.berlin/goodbye_signal.txt

Kluczowe wydają mi się następujące punkty

  • Numer telefonu, aczkolwiek Moxie nigdy nie obiecywał anonimowości, wszak Signal jest reklamowany jako zapewniający prywatność.

  • Scentralizowana infrastruktura i brak woli przejścia na federacyjność

  • Spora zależność od rządowego finansowania z rąk USA

  • Z założenia niebezpieczne endpointy w postaci Androidów i iOS-ów, a wiadomo że większośc osób ma na telefonie zaguglowaną wersję z nakładką producenta.

Czy w związku z powyższymi pomimo ogromnej wygody Signala warto się skupić na alternatywach jak Matrix, stare dobre PGP, apkach z założenia desktopowych itp? Bo rzeczywiście Signal jest świetny jeśli chodzi o upowszechnienie prywatności w życiu codziennym ale czy to wystarcza osobom wymagającym więcej bezpieczeństwa poprzez narażanie się państwom czy prawicowym ekstremistom?

Jak to jest u was? Jak bardzo ufacie Signalowi?

  • @Ebenus
    link
    7
    edit-2
    3 years ago

    Przed udzieleniem odpowiedzi na to czy dany system uważamy dla nas za względnie “bezpieczny” czy nie ważne jest określenie tego jaki jest nasz model zagrożenia i co jest właściwie tym co staramy się ochronić. Nie da się ugrać wszystkiego.

    Dla niektórych bardziej liczy się prywatność komunikacji, dla innych anonimowość wobec serwerów które pośredniczą w komunikacji (i dlatego kręcą nosem na podawanie swoich numerów telefonów w Signalu albo na korzystanie z identity servers przez Matrix), dla jeszcze innych liczy się przede wszystkim anonimowość wobec rozmowców (bez dodatkowego zabezpieczenia np. przez VPN w Matrix jako że jest to protokół oparty o WebRTC bardzo łatwo o expose Twojego adresu IP). Dla osób które chcą jakoś zbilansować zarówno anonimowość jak i prywatność problemem może natomiast nagle okazać się usability w codziennej komunikacji (i będą niemile zaskoczone gdy zauważą że w Briar wiadomości mogą wysłać sobie tylko gdy obydwie strony komunikacji są online, a w komunikatorze brakuje wielu “standardowych” funkcji jak voice calle czy miłych pierdoletów jak przesyłanie naklejek).

    Dla mnie Signal jest jak najbardziej w porządku na potrzeby codziennych rozmów i aplikacją zdecydowanie lepszą od wszystkich normikowych komunikatorów pokroju WhatsAppa, ale nie uważam go za perfekcyjne rozwiązanie każdego problemu. Co do listy mankamentów mogę tylko dodać że developerki&developerzy Signala pracują nad tym żeby identyfikować można się było przy użyciu m. in. uuidów a nie jedynie numeru telefonu.

  • m0bi
    link
    63 years ago

    Kilka moich subiektywnych uwag: Bezpieczeństwo telefonu: polecam /e/ foundation, deGoogled, można wgrać samemu lub kupić refurbished albo nówkę, Link Buy /e/ smartphone: https://e.foundation Mozna wgrać na telefon również deGoogled Lineage OS (/e/ na nim bazuje), na wybrane modele. PGP, Signal - nie zapewnia anonimowości. Dyskusja o bezpieczeństwie na Googlowym smartfonie / iPhone: ten czy ten komunikator - darujmy sobie. Matrix, Mattermost - na własnych serwerach tak, ale wystarczy jedna osoba z grupy ze smartfonem od Google lub robiąca screen-y i można zapomnieć o bezpieczeństwie, ale anonimowość może być zachowana. Cóż więc: można po prostu zaakceptować, że fabryczny smartfon i np. Signal daje jakieś minimalne bezpieczeństwo. Tutaj porównanie komunikatorów: https://www.securemessagingapps.com

    • @zeshiOP
      link
      1
      edit-2
      3 years ago

      PRoblem z /e/ i LineageOS to jednak ograniczony zakres modeli i nieco opóźniony w czasie z tego co widzę. Oczywiście pisząc to kieruję się konsumpcjonizmem, wygodą, grubością portfela i tym co akurat mam w kieszeni :) JEndak też niewielka szansa, że moi rozmówcy też zdeguglują telefony.

      wystarczy jedna osoba z grupy ze smartfonem od Google lub robiąca screen-y i można zapomnieć o bezpieczeństwie, ale anonimowość może być zachowana.

      To mnie akurat zastanawia - czy nie opieramy swojego bezpieczeństwa całkowicie na zaufaniu do rozmówcy? Jeśli chcemy prywatności to musimy zaufać osobie i jej sprzętowi. Jeśli nie ufamy to chyba jesteśmy zmuszeni do polegania na anonimowości.

      Chociaż niektórzy twierdzą że iOS jest spoko bo póki co oficjalnie nie ułatwiają rządom grzebania w telefonach, a takie rządy jak nasz kompletnie sobie z nimi nie radzą.

  • harc
    link
    53 years ago

    Prywatność i anonimowość to dwie jednak tylko powiązane kategorie, reszta jest w zasadzie aplikowalna do wszystkiego innego. Matrix też nie jest jakimś cudem jeśli chodzi o bezpieczeństwo i jeśli ma być wykorzystywany na telefonie wracamy do tych samych problemów.

    Z signala korzystam na co dzień do absolutnie codziennej komunikacji i tej nieprzesadnie wrażliwej. Pewnie nie pisałbym tam gdybym robił coś o czym na pewno nie chciałbym żeby wiedziały jakieś złe siły, chociażby właśnie ze względu na niemożliwe do osiągnięcia bezpieczeństwo samego telefonu. Gdybym chciał faktycznie komunikować prywatnie i anonimowo pewnie szedłbym w kierunku Briara, Toxa czy czegoś w podobnym modelu, krok wcześniej byłoby XMPP z OTR albo PGP. Tylko ponownie, ciężko ufać telefonom, więc bardziej ufałbym PGP na bezpiecznym systemie i hardwarze do którego nikt nie ma dostępu, ale tu ponownie jest problem przesyłania, już nie mówiąc o overheadzie trzymania takiego sprzętu…
    Wcześniej czy później można dojść do poziomu zabezpieczania śrubek w laptopie, żeby wiedzieć czy ktoś przy nich manipulował, podobno dobrze sprawdza się lakier z brokatem - ciężko idealnie odtworzyć konfigurację, więc ze zdjęciami można weryfikować ew. dostęp. No i warto pamiętać, że są badania wskazujące na możliwość analizy wciskanych klawiszy po skokach napięcia w sieci, z sąsiedniego pomieszczenia…
    Inaczej mówiąc - prywatność i bezpieczeństwo zawsze trzeba zbalansować z komfortem i kosztem (ekonomicznym/czasowym) zabezpieczeń. Jeśli nie planujesz rewolucji, Signal powinien moim zdaniem wystarczać, chociaż pewnie nie pisałbym tam pewnych słów kluczowych.

    • @zeshiOP
      link
      13 years ago

      Nie planuję bawić się w Teda Kaczyńskiego ani robić rewolucji (ktoś jeszcze wierzy, że nadchodzi?) więc odpuszczę sobie sprawdzanie śrubek w komputerze :). Ograniczę się do zaszyfrowanego Debiana, Ubuntu albo Tailsa. Już wpisywanie odpowiednio mocnego hasła bywa męczące. Na szczęście raczej nie jestem zbyt ciekawym celem.

      Sam na co dzień dość mocno ufam Signalowi, chociaż teraz zastanawiam się czy nie za bardzo.

      Nie miałem pojęcia o Briar ale no trochę mnie zatkało bo wydaje się być niesamowicie fajnym rozwiązaniem na naprawdę trudne czasy. Może warto byłoby go zacząć używać żeby w tych trudnych czasach po prostu móc skorzystać z już nabytych umiejętnośći :) Tylko czemu uważasz że szyfrowany XMPP miałby być mniej prywatny i anonimowy niż Tox i Briar?

      Btw wybacz jeśli zasypuję Cię pytaniami, ale zastanawiam się jak powyższe rozwiązania zapewniają anonimowość. W końcu potrzeba serwerów, które będą pośredniczyć w konwersacji. Nie mogę przecież wysłać wiadomości nie wiedząc nawet na jaki adres ją nadać. Tunelowanie przez TOR czy coś takiego? Zerknąłem w FAQ Briar i jakoś nie zauważyłem tego wyjaśnienia, więc zakładam że to bardziej ogólna wiedza.

      Tylko ponownie, ciężko ufać telefonom, więc bardziej ufałbym PGP na bezpiecznym systemie i hardwarze do którego nikt nie ma dostępu, ale tu ponownie jest problem przesyłania, już nie mówiąc o overheadzie trzymania takiego sprzętu…

      Co konkretnie masz na myśli przez problem z przesyłem i overheadem?

  • @art_m
    link
    43 years ago

    Moim zdaniem signal to świetny kompromis miedzy wygodą i bezpieczeństwem, odpowiedni do bardzo szeroko rozumianych standardowych potrzeb. Kłopot polega na tym, że nadal zbyt częstym problemem jest przekonanie wielu osób do choćby wpisania rzetelnego hasła do telefonu (“przecież mam zablokowany”: gestem - popularnym L albo coś w tym typie; “oj zapomniałem, później zablokuję”, “do tej pory nikt mi go nie ukradł”, “tak tak wiem” itp. - pewnie to znacie). Nie mówię o mojej mamie lub dziadku, ale o względnie młodych ludziach, z którymi wymieniam się informacjami. Nie Signal, ale użytkownicy stanowią słaby punkt. Pytanie: jak załatać taką dziurę w zabezpieczeniach? :). - w sumie to zupełnie serio pytam. @pfm@szmer.info piszesz o dobrych poradnikach - są ich setki, czy tysiące? czasem działa bezpośrednia rozmowa, ale są twardziele, którzy chyba fizycznie nie są w stanie się przełamać i wprowadzić jakiejkolwiek blokady. Sam Signal jest o tyle dobry, że, poza tym, że jest b. bezpieczny, jest po prostu zwyczajnym prostym komunikatorem, bez zbędnych modułów, komplikacji. Przejście na niego nie stanowi dla ogromnej większości osób problemu technicznego (pojawia się co najwyżej problem mentalny - przyzwyczajenie do łacapa i mesendżera bywa bardzo silne, tak jak do gmaila i windowsa). To jest moim zdaniem bardzo ważna sprawa.

    Pytanie drugie, na nieco inny temat, na marginesie pytania wyjściowego: co zrobić, żeby zmniejszyć to przywiązanie do usług oferowanych przez tzw. gigantów technologicznych włażących z butami w każdą już sferę życia w sieci? Wydaje mi się, że popularyzacja Signala to bardzo dobry krok naprzód. Po pierwsze ze względu na poziom bezpieczeństwa komunikacji i jej prywatności a po drugie, właśnie ze względu na to, że jak się już uda kogoś przekonać, to zauważa, że można w jakimś obszarze obyć się na przykład bez fb. Zawsze coś.

  • Defman
    link
    23 years ago

    Na dobrą sprawę Signal nadal zbiera sporo metadanych podobnie jak inne systemy. Być może nie będzie wiedział co piszesz w swoich konwersacjach ale będzie wiedział kiedy, z kim (numer telefonu), gdzie (adresy IP) czyli bardzo dużo. Niemniej to nadal mniej niż wazap ale przy profilowaniu samo przejście na Signal nie pomoże, trzeba wywalić wszystkie apki, które zbierają metadane. I to chyba jest najsłabszy punkt tej migracji na Signala, ludziom się wydaje, że przejdą na Signal i będzie spoko ale zostawią sobie mesengera (bo mama korzysta), zostawią sobie instagrama (bo trzeba gdzieś zdjęcia wrzucać) i na dobrą sprawę niewiele zmienią.

    • harc
      link
      33 years ago

      Podniesie się prywatność ich codziennej komunikacji i chociaż trochę zmniejszy kontrola nad nią FB. Zdecydowanie nie jest to rozwiązanie wszystkich problemów, ale na pewno krok w dobrą stronę…

    • @zeshiOP
      link
      2
      edit-2
      3 years ago

      No niestety bez osobnego “konspiracyjnego” telefonu trudno tego uniknąć. Chociaż teoretycznie rozważałem tani smartfon + czeski SIM + Signal + Orbot.

      Ale najważniejsze że kapitaluchów boli dupa jak mają mniej danych.

  • pfmM
    link
    23 years ago

    Bo rzeczywiście Signal jest świetny jeśli chodzi o upowszechnienie prywatności w życiu codziennym

    Obawiam się, że nawet to nie jest prawda… Signal jest świetny w stanowieniu jakiejś alternatywy, ale ani nie słyszałem żeby wśród znajomych ktoś korzystał z blokady ekranu, ani żeby w ogóle interesowali się tym. Według mnie ludzie przyjmują założenie “Signal = bezpieczny komunikator” i nie zagłębiają się w szczegóły.

    Dlatego uważam, że wygoda to nasz główny wróg.

    • @zeshiOP
      link
      3
      edit-2
      3 years ago

      Możę wygoda jest wrogiem ale IMO też jej brak przeszkadza w rozpowszechnieniu bezpieczeństwa. To nie jest prosta sprawa, wymaga sporo edukacji i osoby nietechniczne często się tego boją. Sam jestem niby techniczny, a moja edukacja na temat bezpieczeństwa, inna niż teoretyczna na temat szyfrowania, zaczęła się dopiero niedawno i jest po prostu przytłaczająca. Szczególnie, że przydałoby się rozumieć same założenia jak dane narzędzia dbają o prywatność i anonimowość, choćby ogólne zasady działania bez wnikania jak to działa od strony matematyki. A tworzenie elitarnej grupki speców od infosec przecież też nie sprzyja celowi bo się od razu jest podejrzanym przez sam fakt używania takich narzędzi.

      • pfmM
        link
        23 years ago

        Brak wygody na pewno jest wrogiem bo w takim przypadku ludzie pójdą po wygodę tam, gdzie ktoś ich wydyma. :/

        Jestem w podobnej sytuacji do Twojej – nie jestem ekspertem, ale próbuję się dokształcić, a także zwrócić uwagę swojego otoczenia na te problemy. Myślę że z prostymi, ale dobrze przemyślanymi poradnikami możemy pomóc tym, którzy są chętni lub ciekawi, ale brak im nawet tej podstawowej wiedzy.