Ryktes­spridning mot Signal i östra Europa

Under veckan har det pågått en smutskastnings- och desinformationskampanj mot meddelandeappen Signal. Utvecklarna bakom Signal förklarar att det kan finnas ett samband med appens ökande popularitet i östra Europa. I ett inlägg på Twitter skriver de att det troligen rör sig om en koordinerad desinformationskampanj för att få folket att använda mindre säkra alternativ.

We’ve had an uptick in usage in Eastern Europe & rumors are circulating that Signal is hacked & compromised. This is false. Signal is not hacked. We believe these rumors are part of a coordinated misinformation campaign meant to encourage people to use less secure alternatives.

@signalapp, 2022-03-01

Signal går inte att avlyssna

Poängen med Signal är att alla meddelanden skickas end-to-end-krypterade (även kallat totalsträckskrypterade). Meddelandena krypteras alltid på enheten som skickar meddelandena och de dekrypteras aldrig förrän de har nått den mottagande enheten. Meddelandena krypteras så att ingen annan än den avsedda mottagaren har nyckeln som krävs för att dekryptera dem. Detta gäller även alla bilagor som bifogas, alla röst- eller videosamtal som förs och alla gruppsamtal som användaren deltar i. Detta gör det omöjligt för de som driver Signal att se vad som diskuteras via appen. Skulle de bli ålagda att lämna ut information så har de inget att lämna ut. I avsnitt 141 av Bli säker-podden berättade vi mer om vad som hände i fjol när FBI begärde ut data om Signal-användare.

Signal skiljer sig på så vis från exempelvis Facebook Messenger och Telegram. Varken Messenger eller Telegram använder end-to-end-kryptering som standard. Användarna måste manuellt välja att aktivera det för specifika konversationer, och då stänger de av funktionalitet som enbart är tillgänglig för ”vanliga” konversationer. Telegram stödjer för övrigt inte ens end-to-end-krypterade gruppkonversationer.

Ett problem för auktoritära regimer

För att någon ska kunna avlyssna en Signal-konversation måste ena partens mobil vara infekterad med ett spionprogram. Om en av mobilerna är infekterad finns det, av förklarliga skäl, inga fungerande skyddsåtgärder (det är likställt med att en spion står och tittar över axeln). Så länge mobilerna är fria från spionprogram ser Signal till att kommunikationen hålls säker. Signal-apparna har dessutom öppen källkod, så att utomstående kodgranskare kan säkerställa att allt fungerar så som det beskrivs.

För auktoritära regimer är Signal därför ett stort problem. Den enda motåtgärden som de har är att använda trollfabriker som skrämmer folk till att kommunicera på andra sätt. Tack vare Signals öppna källkod borde det vara svårare än vanligt för trollfabrikerna att sprida oro. Ifall det hade legat någon sanning i trollens påståenden hade de kunnat lägga fram bevis.

Rekommendationer

Vi har inte sett något som tyder på att Signals säkerhet skulle ha äventyrats. Undertecknad (Karl Emil Nikka) fortsätter att använda och rekommendera Signal, både för mina privata konversationer och för de gruppkonversationer som jag deltar i angående cyberattackerna mot Ukraina och andra europeiska länder.

Tidigare i veckan publicerade Cert-EU (europeiska motsvarigheten till svenska Cert-SE vid MSB) ett white-paper med rekommendationer för att säkra ens användande av Signal. Dessa rekommendationer är värda att läsa igenom, framförallt för frihetskämpar, regimkritiker och medarbetare i organisationer som använder Signal för internkommunikation. Skicka gärna rekommendationerna till vänner och bekanta i Ukraina.