Криптирането на Signal е наред. Потребителите му са целта.
Signal отдавна се ползва с репутацията на златен стандарт за лични съобщения. Неговото криптиране от край до край е математически издържано, кодът му е с отворен код, а протоколът му се ползва с доверието на изследователи по сигурността по целия свят. Затова, когато се появиха съобщения, че хакери, свързани с Русия, успешно компрометират акаунти в Signal, принадлежащи на известни потребители, естественият въпрос е: хакнат ли е Signal?
Краткият отговор е не. Криптирането на Signal не е пробито. Пробито е нещо, което е много по-трудно за поправяне: човешкото доверие.
Според докладите нападателите използват сложни фишинг кампании, за да подмамят потребителите на Signal да предоставят сами достъп до акаунта си. Методът обикновено включва фалшиви предупреждения за сигурност, които изглеждат убедително официални, и подтикват целите да свържат ново устройство към акаунта си. Щом това се случи, нападателят получава живо огледало на съобщенията на жертвата в реално време, без никога да е докосвал сървърите на Signal или да е разбил дори един ред криптиране.
Това е съществено разграничение. Приложението не е уязвимостта. Поведението на потребителя е.
Как реално работи атаката
Signal поддържа легитимна функция, наречена свързани устройства, която позволява на потребителите да достъпват акаунта си едновременно от множество телефони или компютри. Нападателите експлоатират тази функция, като генерират злонамерени QR кодове или връзки, които при сканиране или щракване тихомълком добавят устройството на нападателя към акаунта на жертвата.
Фишинг съобщенията са проектирани да създават усещане за неотложност. Те могат да твърдят, че акаунтът на потребителя е бил компрометиран, че трябва да потвърди самоличността си или че дадена актуализация на сигурността изисква незабавни действия. Ценни цели под напрежение са склонни да действат по-бързо и по-малко склонни да разгледат внимателно заявката.
Веднъж свързан, нападателят не трябва да декриптира нищо. Той просто чете съобщенията с пристигането им, в обикновен текст, точно както би направило всяко легитимно свързано устройство. Може също така да се представя за жертвата в текущи разговори, което носи сериозни последици за журналисти, активисти, адвокати, държавни служители и всички останали, работещи с чувствителни комуникации.
Този вид атака понякога се нарича атака чрез социално инженерство или превземане на акаунт чрез оторизиран достъп. Тя не изисква никакъв zero-day експлойт, никакво пробиване на сървър и никакво криптографско майсторство. Изисква само целта да направи една грешка.
Какво означава това за вас
Ако използвате Signal, защото ви е грижа за поверителността, тази новина не трябва да ви накара да изоставите приложението. Signal остава една от най-надеждните платформи за съобщения, а основното криптиране продължава да защитава съобщенията от прихващане по време на пренос. Но тази ситуация е напомняне, че криптирането е един слой от позицията за сигурност, а не всичко.
Помислете по следния начин: вратата на сейфа е ефективна само ако някой не предаде ключа на нападател, представящ се за ключар.
За повечето обикновени потребители рискът от тази конкретна руско-свързана кампания е нисък. Съобщените цели са известни личности — вероятно хора, занимаващи се с чувствителна политическа, военна или журналистическа дейност. Но използваните тактики не са екзотични. Фишинг атаките с фалшиви предупреждения за сигурност са обичайни за всяка платформа, а функцията за свързани устройства не е уникална за Signal.
Потребителите, загрижени за поверителността на всяко ниво на риска, трябва да се отнасят към приложенията си за съобщения по начина, по който специалистите по сигурност се отнасят към всяка чувствителна система: с многопластова защита и постоянна бдителност.
Практически стъпки за защита на вашия акаунт в Signal
Ето какво можете да направите точно сега, за да намалите излагането си на риск:
Редовно проверявайте свързаните устройства. Менюто с настройки на Signal показва всяко устройство, свързано в момента с акаунта ви. Ако видите нещо непознато, премахнете го незабавно. Превърнете това в рутинна проверка, а не в еднократно действие.
Бъдете дълбоко скептични към предупрежденията за сигурност. Легитимните приложения рядко изпращат спешни съобщения, изискващи да сканирате QR код или да щракнете върху връзка, за да верифицирате акаунта си. По подразбиране третирайте всяка такава заявка като подозрителна, дори ако изглежда официална.
Активирайте заключването при регистрация на Signal. Тази функция изисква PIN код, преди акаунтът ви да може да бъде повторно регистриран на ново устройство. Тя добавя затруднение за нападателите, опитващи се да превземат акаунти.
Защитете самото устройство. Криптирането на Signal защитава съобщенията по време на пренос. Ако телефонът ви е отключен и предаден на някого или е компрометиран от зловреден софтуер, тази защита приключва. Силните пароли за устройството, биометричните заключвания и поддържането на операционната система актуализирана — всичко това е от значение.
Обмислете по-широката си мрежова сигурност. За потребители, работещи с наистина чувствителни комуникации, насочването на трафика през надежден VPN добавя слой анонимност, който затруднява нападателите да профилират дейността ви, да идентифицират местоположението ви или да извършват разузнаването, което често предхожда целенасочен фишинг. VPN не решава проблема с фишинга, но е част от многопластов подход, който намалява общото излагане на риск.
Верифицирайте извън основния канал. Ако получите подозрително съобщение дори от познат контакт, потвърдете заявката чрез напълно отделен канал — телефонно обаждане, лична среща или друго приложение — преди да предприемете каквото и да е действие.
Поуката от тези фишинг атаки срещу Signal не е, че криптираните съобщения са безполезни. Тя е, че нито един отделен инструмент не е пълно решение. Signal защитава съобщенията ви изключително добре. Защитата на акаунта ви изисква да оставате бдителни към начините, по които нападателите се опитват да заобиколят технологията изцяло — като ви вземат на прицел вас, вместо нея.
