Wenn der Signal-Server nichts vom sozialen Netzwerk weiß

Ein Messenger ohne Kontakte ist nichts. Daher baute Signal bisher auf einem bereits vorhandenen sozialen Netzwerk auf: Telefonnummern, die wir in unserem Adressbuch mit weiteren Kontaktdaten wie Namen abgelegt haben. Die Kontaktdatenbank ist also schon auf unserem Smartphone - und kann auch erst mal dort verbleiben.

Stellenmarkt
  1. Informatiker (m/w/d) als IT-Sachbearbeiter (m/w/d)
    Kommunale Unfallversicherung Bayern, München
  2. IT-Projektkoordinatoren und Prozessbegleiter (m/w/d)
    Schottener Soziale Dienste gemeinnützige GmbH, Schotten, remote
Detailsuche

Um festzustellen, welche Telefonnummern des Adressbuches bei Signal registriert sind (Contact Discovery), leitet der Messenger aus den Nummern Hashwerte ab. Diese werden mit den Hashes der bereits registrieren Telefonnummern in einem abgetrennten und verschlüsselten Bereich der Intel-Prozessoren auf den Servern - der SGX-Enklave - abgeglichen, auf den theoretisch weder das Betriebssystem oder installierte Software noch das Server-Admin-Team zugreifen können.

Dass Signal nur mit Telefonnummern und damit beispielsweise nur schwer anonym nutzbar ist, wurde in der Vergangenheit immer wieder kritisiert. Damit der Messenger in Zukunft auch ohne Telefonnummer und Adressbuch genutzt werden kann, hat Signal begonnen, das soziale Netzwerk auf dem Server zu speichern. Natürlich nicht im Klartext, sondern sicher verschlüsselt. Hier kommen die im letzten Jahr eingeführte Signal-Pin und eine Technik zum Einsatz, die Signal Secure Value Recovery (SVR) nennt.

Auch hier wird wieder die bereits erwähnte SGX-Enklave verwendet, in welcher für jede Signal-Installation ein Schlüssel sowie der Hashwert der Signal-PIN hinterlegt werden. Der Schlüssel kann durch Vorweisen des Hashes der Signal-PIN aus der SGX-Enklave heruntergeladen werden. Gemeinsam mit der Signal-PIN wird dann der Schlüssel gebildet, mit dem die Kontaktliste verschlüsselt wurde. So bleiben die Kontakte auch nach einem Verlust des Smartphones erhalten, sofern die Signal-PIN korrekt eingegeben wurde.

Messenger-Server wissen, wer in der Gruppe ist

Golem Karrierewelt
  1. Cinema 4D Grundlagen: virtueller Drei-Tage-Workshop
    05.-07.09.2022, Virtuell
  2. Green IT: Praxisratgeber zur nachhaltigen IT-Nutzung (virtueller Ein-Tages-Workshop)
    26.10.2022, virtuell
Weitere IT-Trainings

Im Unterschied zu Signal gleichen die meisten Messenger das Adressbuch direkt auf dem Server ab und hinterlegen nicht selten auch die Kontaktliste auf dem Server - unverschlüsselt. Ein ähnliches Problem gibt es auch bei Gruppen: Wer in einer Gruppe ist und wie diese heißt, wird üblicherweise im Klartext auf dem Server gespeichert, auch wenn die ausgetauschten Nachrichten selbst Ende-zu-Ende-verschlüsselt sind.

Aus diesem Grund gab es bei Signal lange genau genommen gar keine Gruppen, sondern nur ganz normale Nachrichten, die an mehrere Personen geschickt wurden. In diesen stand - natürlich verschlüsselt -, dass es sich um eine Nachricht an eine Gruppe handelte. Das hatte den Vorteil, dass der Server nur Nachrichten verteilen, sich aber nicht mit den Metadaten einer Gruppe auseinandersetzen musste.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

Mittlerweile hat Signal mit einem Forschungsteam von Microsoft ein System entwickelt, bei dem die Metadaten verschlüsselt auf dem Signal-Server abgelegt werden und nur von den Gruppenmitgliedern eingesehen werden können. Neben Gruppenanrufen und -administration ermöglichen diese erst kürzlich eingeführten Gruppen, auch einzelne Mitglieder über sogenannte @mentions direkt anzusprechen oder Einladungslinks zu verschicken.

Verschlüsselung für die Massen

Trotz all der ausgefeilten Sicherheits- und Datenschutztechnik, die normalerweise dazu führt, dass nur noch eine Handvoll Nerds die Technik bedienen kann, erfüllt Signal auch sein oberstes Ziel: Verschlüsselung für die Massen (Encryption for the Masses). Das bedeutet aber auch, dass Signal nicht kompromisslos auf Datenschutz und Sicherheit achtet, sondern diese immer mit der Benutzerfreundlichkeit in Einklang bringt. Das hat bisher erstaunlich gut geklappt, befriedigt aber auch nicht (sofort) jeden exotischen Wunsch der Sicherheits- oder Datenschutzcommunity.

Trotz der hohen Benutzerfreundlichkeit - letztlich können alle, die Whatsapp bedienen können, auch mit Signal umgehen - schafft es der Anbieter, derzeit einer der sichersten und datenschutzfreundlichsten Messenger auf dem Markt zu sein. Auf einem höheren Niveau dürfte sich nur Briar bewegen, der auch die anonyme und internetlose Kommunikation in Krisengebieten unterstützt, beispielsweise von Journalisten mit ihren Quellen. Messenger wie Telegram, Whatsapp oder Wire, aber auch Matrix/Element sind wegen der Metadatenproblematik weit abgeschlagen. Was einigen Datenschützern aber trotzdem Sorge bereitet: Signal sitzt in den USA. Muss ein sicherer Messenger nicht aus Europa kommen?

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Wer hat uns verraten? Metadaten!Signal: Ein sicherer Messenger aus NSA-Land? 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7.  


Intermotto12 17. Feb 2021

War bei mir am Anfang auch so. Man muss ja selbst aktiv werden - die App selbst hat...

mtr (golem.de) 01. Feb 2021

Hallo ahkluge, Danke für das Lob :-) Das steht letztlich in der Telekommunikations...

Keep The Focus 01. Feb 2021

selbst Signal, Matrix und Wire hat das

chefin 01. Feb 2021

Ein Hashwert kann aber auch mehrer Telefonummmern repräsentieren. Der Nummernschlüssel...



Aktuell auf der Startseite von Golem.de
Rotary Phone
Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage

Justine Haupt hat ein Handy mit Wählscheibe entworfen - und gleich eine eigene Produktionsanlage zu Hause aufgebaut. Golem.de hat mit ihr gesprochen.
Ein Interview von Tobias Költzsch

Rotary Phone: Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage
Artikel
  1. Internet: Indien verbannt den VLC Media Player
    Internet
    Indien verbannt den VLC Media Player

    Weder Downloadlink noch Webseite des VLC Media Players können von Indien aus aufgerufen werden. Der vermutete Grund: das Nachbarland China.

  2. Effektiv per Newsletter kommunizieren
     
    Effektiv per Newsletter kommunizieren

    Golem.de-Redakteur Daniel Ziegener und der Journalist Dirk von Gehlen geben Tipps zum Start eines eigenen Newsletters - im Livestream am Donnerstag, dem 18. August um 16 Uhr.
    Sponsored Post von

  3. John Deere: Ein Hacker präsentiert ein Jailbreak für Traktoren
    John Deere
    Ein Hacker präsentiert ein Jailbreak für Traktoren

    Nicht nur Telefonhersteller vernageln ihre Geräte. Der Hacker Sick Codes zeigt, wie Root-Zugriff auf die Systeme der Traktoren zu erlangen ist.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Playstation Summer Sale: Games für PS5/PS4 bis 84% günstiger • Günstig wie nie: SSD 1TB/2TB (PS5), Curved Monitor UWQHD LG 38"/BenQ 32" • Razer-Aktion • MindStar (AMD Ryzen 7 5800X3D 455€, MSI RTX 3070 599€) • Lego Star Wars Neuheiten • Bester Gaming-PC für 2.000€ [Werbung]
    •  /