Aplikácia Signal je známa svojou robustnou, zdanlivo nedobytnou šifrovacou technológiou na zabezpečenie údajov svojich používateľov. Izraelská spoločnosť Cellebrite však tvrdí, že vymyslela spôsob, ako dešifrovať údaje aplikácie Signal na Android zariadeniach. Téme sa venoval portál Latest Hacking News.
Spoločnosť na svojej webovej stránke uverejnila príspevok, v ktorom píše, že na dešifrovanie údajov aplikácie vyvinula nástroj s názvom „Physical Analyzer“. Firma pomáha štátnym orgánom pri vyšetrovaní a verí, že tento nástroj dokáže vyšetrovateľom.
Naozaj sa spoločnosti podarilo prelomiť šifrovanie aplikácie Signal?
Tento príspevok neobsahuje žiadne ďalšie podrobnosti, avšak existovala aj dlhšia verzia príspevku. Spoločnosť Cellebrite ho však neskôr skrátila preto, že pôvodná verzia slúžila len ako interný koncept. No práve predchádzajúca verzia príspevku naznačuje, že spoločnosť žiadne šifrovanie neprelomila a že jej nástroj nie je taký úžasný, ako sa na prvý pohľad zdal byť.
V dlhšej verzii príspevku spoločnosť podrobne opísala, ako daný nástroj funguje. Stručne povedané, nástroj extrahuje zo zariadenia dešifrovací kľúč, vďaka ktorému sa dostane k údajom aplikácie, ktoré sú uložené v zariadení. Pri tomto postupe však spoločnosť musí mať zariadene fyzicky pri sebe a musí byť odomknuté. To samozrejme vyvoláva otázku, nakoľko užitočný tento nástroj naozaj je.
Nástroj taktiež funguje len na Android zariadeniach a nie je jasné, či Cellebrite v budúcnosti dokáže niečo také urobiť aj na iOS zariadeniach.
Používateľov táto správa vystrašila, zakladateľ Signalu však obavy nemá
Moxie Marlinspike, zakladateľ spoločnosti Signal si z toho ťažkú hlavu nerobí. V jednom tweete uviedol, že tento typ “dešifrovania” je úplne zbytočný, keď dané zariadenie musí mať spoločnosť fyzicky pri sebe a ešte k tomu odomknuté. V takom prípade stačí len aplikáciu otvoriť a správy si prečítať.
This (was!) an article about "advanced techniques" Cellebrite uses to decode a Signal message db… on an *unlocked* Android device! They could have also just opened the app to look at the messages.
The whole article read like amateur hour, which is I assume why they removed it.
— Moxie Marlinspike (@moxie) December 11, 2020
Používateľov aplikácie však táto správa znepokojila a spoločnosť Signal musela uverejniť na svojom blogu príspevok, ktorý celú situáciu objasňuje. V ňom spoločnosť vysvetľuje, že firma Cellebrite nevie získať prístup k údajom používateľom na diaľku a že používateľov a ich správy nijakým spôsobom nesledujú. Signal používateľov taktiež uisťuje, že aplikácia ponúka aj možnosť miznúcich správ, vďaka čomu si môžu byť naozaj istí, že ich správy neuvidí žiadna tretia strana.
