Signals kryptering er fin. Det er brugerne, der er målet.

Signal har længe haft ry for at være guldstandarden inden for privat beskedkommunikation. Dens ende-til-ende-kryptering er matematisk solid, koden er open source, og protokollen er betroet af sikkerhedsforskere verden over. Da der kom rapporter om, at hackere med forbindelser til Rusland med succes kompromitterer Signal-konti tilhørende højprofilerede brugere, er det naturlige spørgsmål: blev Signal hacket?

Det korte svar er nej. Signals kryptering blev ikke brudt. Det, der blev brudt, var noget langt sværere at lappe: menneskelig tillid.

Ifølge rapporterne bruger angriberne sofistikerede phishing-kampagner til at narre Signal-brugere til selv at give adgang til deres konto. Metoden involverer typisk falske sikkerhedsadvarsler, der ser overbevisende officielle ud, og som opfordrer målene til at tilknytte en ny enhed til deres konto. Når det sker, modtager angriberen et live-spejl af offerets beskeder i realtid – uden nogensinde at røre Signals servere eller knække en eneste linje kryptering.

Dette er en afgørende sondring. Appen er ikke sårbarheden. Brugerens adfærd er.

Sådan fungerer angrebet i praksis

Signal understøtter en legitim funktion kaldet tilknyttede enheder, der giver brugere mulighed for at tilgå deres konto fra flere telefoner eller computere samtidigt. Angribere udnytter denne funktion ved at generere ondsindede QR-koder eller links, som, når de scannes eller klikkes, stille og roligt tilføjer angriberens enhed til offerets konto.

Phishing-beskederne er designet til at skabe hastværk. De kan hævde, at brugerens konto er blevet kompromitteret, at de skal bekræfte deres identitet, eller at en sikkerhedsopdatering kræver øjeblikkelig handling. Højværdimål under pres er mere tilbøjelige til at handle hurtigt og mindre tilbøjelige til at granske anmodningen nøje.

Når enheden er tilknyttet, behøver angriberen ikke at dekryptere noget som helst. De læser simpelthen beskederne, efterhånden som de ankommer, i klartekst – præcis som enhver legitim tilknyttet enhed ville gøre. De kan også udgive sig for at være offeret i igangværende samtaler, hvilket har alvorlige konsekvenser for journalister, aktivister, advokater, embedsmænd og alle andre, der håndterer følsomme kommunikationer.

Denne type angreb kaldes nogle gange et social engineering-angreb eller en kontoovertagelse via autoriseret adgang. Det kræver ingen zero-day-sårbarhed, intet serverbrud og ingen kryptografisk trolddom. Det kræver blot, at målet begår én fejl.

Hvad betyder dette for dig?

Hvis du bruger Signal, fordi du bekymrer dig om privatlivets fred, bør denne nyhed ikke få dig til at opgive appen. Signal er fortsat en af de mest pålidelige beskedplatforme, der findes, og den underliggende kryptering beskytter fortsat beskeder mod aflytning under transmission. Men denne situation er en påmindelse om, at kryptering er ét lag i en sikkerhedsstrategi – ikke hele løsningen.

Tænk på det sådan: en boksedør er kun effektiv, hvis man ikke overdrager nøglen til en angriber, der udgiver sig for at være låsesmed.

For de fleste hverdagsbrugere er risikoen fra denne specifikke russisk-tilknyttede kampagne lav. De rapporterede mål er højprofilerede personer – sandsynligvis folk involveret i følsomt politisk, militært eller journalistisk arbejde. Men de involverede taktikker er ikke eksotiske. Phishing-angreb med falske sikkerhedsadvarsler er almindelige på tværs af alle platforme, og funktionen med tilknyttede enheder er ikke unik for Signal.

Privatlivsorienterede brugere på ethvert risikoniveau bør behandle deres beskedapps på samme måde, som sikkerhedsprofessionelle behandler ethvert følsomt system: med lagdelte forsvar og løbende opmærksomhed.

Praktiske trin til at beskytte din Signal-konto

Her er, hvad du kan gøre lige nu for at reducere din eksponering:

Gennemgå dine tilknyttede enheder regelmæssigt. Signals indstillingsmenu viser alle enheder, der i øjeblikket er tilknyttet din konto. Hvis du ser noget ukendt, skal du fjerne det med det samme. Gør dette til en rutinekontrol – ikke en engangshandling.

Vær dybt skeptisk over for sikkerhedsadvarsler. Legitime apps sender sjældent presserende beskeder, der beder dig om at scanne en QR-kode eller klikke på et link for at bekræfte din konto. Behandl enhver sådan anmodning som mistænkelig som udgangspunkt – selv hvis den ser officiel ud.

Aktiver Signals registreringslås. Denne funktion kræver en PIN-kode, før din konto kan genregistreres på en ny enhed. Det skaber modstand for angribere, der forsøger kontoovertagelser.

Beskyt selve enheden. Signals kryptering beskytter beskeder under transmission. Hvis din telefon er ulåst og overdrages til nogen, eller kompromitteret af malware, ophører denne beskyttelse. Stærke enhedsadgangskoder, biometriske låse og at holde dit operativsystem opdateret spiller alle en rolle.

Overvej din bredere netværkssikkerhed. For brugere, der håndterer genuint følsomme kommunikationer, tilføjer routing af trafik gennem en pålidelig VPN et anonymitetslag, der gør det sværere for angribere at profilere din aktivitet, identificere din placering eller udføre den rekognoscering, der ofte går forud for målrettet phishing. En VPN løser ikke phishing, men den er en del af en lagdelt tilgang, der reducerer den samlede eksponering.

Verificér via en alternativ kanal. Hvis du modtager en mistænkelig besked – selv fra en kendt kontakt – skal du bekræfte anmodningen via en fuldstændig separat kanal – et telefonopkald, en samtale ansigt til ansigt eller en anden app – før du foretager dig noget.

Læren fra disse Signal-phishing-angreb er ikke, at krypteret kommunikation er ubrugelig. Det er, at intet enkelt værktøj er en komplet løsning. Signal beskytter dine beskeder exceptionelt godt. At beskytte din konto kræver, at du forbliver årvågen over for de måder, angribere forsøger at omgå teknologien fuldstændigt på – ved at angribe dig i stedet.