X en Telegram hebben een opmerkelijke aanval geopend op Signal. Met vage berichten op X en Telegram proberen uitgerekend deze twee onveilige, niet-standaard versleutelde apps, Signal als onveilig te bestempelen.
Lees in deze post hoe Elon Musk de afgelopen jaren veranderde van fan naar modder gooiende concurrent en hoe het standaard onversleutelde en van oorsprong Russische Telegram hierop probeert mee te liften. En hoe beide gevallen passen in een wereldwijde trend waarbij overheden end-to-end encryptie willen afzwakken en ze mensen liever slecht of niet-beveiligde apps zoals X en Telegram zien gebruiken in plaats van Signal.
Elon Musk van groot fan van Signal naar concurrent in vijf tweets
Elon Musk heeft er nooit een geheim van gemaakt groot fan te zijn van Signal. In 2021 riep de fervent Signal-gebruiker op Twitter iedereen op om Signal te gebruiken:
Use Signal
— Elon Musk (@elonmusk) January 7, 2021
Een jaar later gaf Elon Musk toe dat privéberichten op Twitter onveilig zijn en iedereen je berichten kan bespioneren of hacken. Privéberichten zouden end-to-end versleuteling zoals Signal moeten krijgen:
Twitter DMs should have end to end encryption like Signal, so no one can spy on or hack your messages
— Elon Musk (@elonmusk) April 28, 2022
Eind 2022, toen Elon Musk inmiddels eigenaar van Twitter was geworden, stelde hij als doel om Twitter privéberichten beter te maken dan Signal:
The goal of Twitter DMs is to superset Signal
— Elon Musk (@elonmusk) November 9, 2022
In mei 2023 lanceerde Elon Musk vervolgens voor bepaalde berichten op X enige vorm van end-to-end encryptie maar gaf in de eigen blogpost al direct toe dat je dit niet hoeft te vertrouwen.
De end-to-end versleuteling van X biedt onder andere geen bescherming tegen man-in-the-middle-attacks en kent ook geen perfect forward secrecy.
Dat Elon Musk zijn eigen end-to-end encryptie en privacymaatregelen niet bepaald serieus neemt, bleek ook uit zijn tweet destijds: “Try it, but don’t trust it yet”.
Early version of encrypted direct messages just launched.
— Elon Musk (@elonmusk) May 11, 2023
Try it, but don’t trust it yet.
Geen enkele privacy- of beveiligingsexpert zou iets dergelijks lanceren en het is behoorlijk onverantwoord om gebruikers een valse schijn van veiligheid bieden.
Echter, in een wereld waarin steeds meer gebruikers de nadelen van Big Tech inzien en op zoek gaan naar privacyvriendelijkere alternatieven zijn termen als privacy en end-to-end encryptie belangrijke marketingtermen geworden. Apps zoals X en Telegram, die slechts een klein beetje end-to-end encryptie in de apps hebben gebouwd die je alleen optioneel kunt gebruiken, koketteren hier dan ook maar wat graag mee.
Signal gouden standaard end-to-end encryptie
Signal daarentegen is standaard volledig end-to-end versleuteld. Het Signal Protocol is de gouden standaard als het gaat om end-to-end encryptie en het Signal Protocol wordt dan ook door meer apps dan alleen Signal zelf gebruikt. Denk hierbij aan WhatsApp, Meta Messenger en Google Berichten.
Aangezien Signal vanaf het begin is ontworpen voor privacy en beveiliging, is het voor publieke, niet end-to-end versleutelde apps zoals X een lastige klus om dit niveau ooit te bereiken. Om snel in te spelen op de toenemende vraag naar privacy en beveiliging, heeft Elon Musk gekozen voor een snelle maar gedeeltelijke introductie van end-to-end encryptie in slechts een deel van de app waardoor het voor iedereen die privacy en veiligheid wel écht belangrijk vindt en nodig heeft, dit natuurlijk geen veilige keuze is.
Om de aandacht af te leiden van de eigen gebreken is het makkelijker om met een ongenuanceerde tweet te suggereren dat je grote voorbeeld Signal kwetsbaarheden kent die niet worden verholpen met daar achter mysterieus “Lijkt vreemd…” om meer speculaties hierover aan te wakkeren:
Hi, hello, we don’t have evidence of extant vulnerabilities, and haven’t been notified of anything. We follow responsible disclosure practices, and closely monitor security@signal.org + respond & fix any valid issues quickly. So if you do have more info hit us up! But beyond… https://t.co/IbXREWVaPL
— Meredith Whittaker (@mer__edith) May 7, 2024
Musk teruggefloten door eigen Community Notes
Gelukkig is niet alles van X slecht. Musk werd namelijk al snel teruggefloten en gefactcheckt door de Community Notes van zijn eigen platform: “Signal maakt het uiterst eenvoudig om deze bewering te verifiëren. Als er kwetsbaarheden bekend zijn, kunnen deze worden opgesomd. Er zijn er geen voor de huidige versies.”
Reactie van Signal op Elon Musk
Uiteraard heeft ook Signals president Meredith Whittaker gereageerd op de vage, ongenuanceerde, beschuldigingen van Musk. Whittaker geeft aan geen bewijs te hebben van bestaande kwetsbaarheden en nergens van op de hoogte te zijn gesteld.
Signal neemt kwetsbaarheden uiterst serieus en houdt zich aan verantwoorde openbaarmakingspraktijken. Eventuele kwetsbaarheden kunnen gemeld worden bij security@signal.org en als er problemen zijn worden die snel opgelost. Meredith Whittaker roept Elon Musk op om contact op te nemen als hij meer informatie heeft.
Hi, hello, we don’t have evidence of extant vulnerabilities, and haven’t been notified of anything. We follow responsible disclosure practices, and closely monitor security@signal.org + respond & fix any valid issues quickly. So if you do have more info hit us up! But beyond… https://t.co/IbXREWVaPL
— Meredith Whittaker (@mer__edith) May 7, 2024
Verder wijst de president van Signal erop dat ze enorm veel aandacht hebben besteed aan de structuur van Signal en de ontwikkeling ervan om ervoor te zorgen dat iedereen de veiligheidsbeweringen kan controleren in plaats van Signal op hun woord te moeten geloven.
In tegenstelling tot bijna alle andere techbedrijven is Signal gebouwd met de achterliggende gedachte dat de enige manier om gegevens van gebruikers te beschermen is om ze gewoon niet te verzamelen. Op de pagina https://signal.org/bigbrother/ valt te zien welke informatie Signal terugstuurt als overheden of andere instanties hier op juridische grond om vragen.
Pavel Durov van Telegram wil ook meedoen, maar slaat de plank volledig mis
In navolging van Elon Musk’s beweringen over Signal, vond Telegram-oprichter Pavel Durov het ook een goed moment om zich negatief uit te laten over zijn grote concurrent Signal. Echter slaat hij de plank volledig mis, en wordt door privacy- en beveiligingsexperts zelfs uitgelachen.
Het van oorsprong Russische Telegram is namelijk zelf standaard een niet-versleutelde, onveilige app. Iedere hacker (of overheid) kan je berichten zonder al te veel moeite bespioneren en meelezen, tenzij je speciale secret chats gebruikt. Althans, dat is wat Telegram zegt.
Twijfels over secret chats zijn er onder andere bij universitair docent cryptografie aan de Johns Hopkins Universiteit Matthew Green. Hij veronderstelt zelfs dat Telegrams versleutelde secret chats niet eens vertrouwelijk zijn:
I don’t really care which messenger you use. I just want you to understand the stakes. If you use Telegram, we experts cannot even begin to guarantee that your communications are confidential. In fact at this point I assume they are not, even in Secret Chats mode.
— Matthew Green (@matthew_d_green) May 12, 2024
Desondanks voelt Pavel Durov zich geroepen om Signal in een kwaad daglicht te brengen zonder hiervoor enig bewijs te leveren.
Zo beweert hij dat een alarmerend aantal belangrijke mensen met wie hij heeft gesproken, hebben gezegd dat hun Signal-berichten tegen hen waren gebruikt in Amerikaanse rechtbanken of in de media. Zonder enige verdere context probeert Pavel Durov dit te framen als ‘onveilige’ end-to-end encryptie van Signal. Terwijl het in de meeste gevallen waarbij Signal-berichten in de media zijn gekomen, het gaat om screenshots of (fysiek) verkregen toegang tot iemands telefoon.
Ook hekelt de oprichter van Telegram dat Signal geen reproduceerbare builds heeft zodat niet zeker is of de opensource code wel daadwerkelijk in de app wordt gebruikt. Ook WhatsApp moet er aan geloven: al hun praatjes over privacy zijn een circus-act.
De opmerkelijke conclusie van Pavel Durov: Telegram, die hun app dus standaard niet end-to-end versleuteld of beveiligd heeft, doet dat wel en is dus veiliger.
“Buitengewoon onnozel“, aldus beveiligingsexpert Matthew Green.
Desinformatie past in trend anti-end-to-end encryptie houding overheden
Het heeft er alle schijn van dat Signal door de toenemende populariteit voor bepaalde partijen een doorn in het oog aan het worden is. Dit past in de trend waarbij wereldwijd overheden end-to-end encryptie proberen af te zwakken en te lobbyen voor zaken zoals client-side scanning.
Het zou overheden, opsporingsinstanties en andere partijen goed uitkomen als meer mensen onveilige, niet-standaard versleutelde apps zoals X of Telegram zouden gebruiken in plaats van Signal. Ook spelen er natuurlijk commerciële belangen.
Signal richt zich niet op het maken winst en zet zich als non-profitorganisatie wereldwijd in om ervoor te zorgen dat iedereen toegang heeft tot privé en veilige communicatie, en zal daar voor blijven vechten.
Signal is alleen gemaakt voor de gebruikers en de privacy en veiligheid van gebruikers. Iets waar Telegram en X nog veel van kunnen leren.
0 reacties