Signalin salaus on kunnossa. Käyttäjät ovat kohteena.
Signalilla on pitkään ollut maine yksityisen viestinnän kultastandardina. Sen päästä päähän -salaus on matemaattisesti pitävä, koodi on avointa lähdekoodia ja sen protokollaan luottavat tietoturvatutkijat ympäri maailmaa. Kun siis ilmeni raportteja siitä, että Venäjään kytkeytyneet hakkerit onnistuvat murtautumaan korkean profiilin käyttäjien Signal-tileihin, herää luonnollinen kysymys: onko Signal hakkeroitu?
Lyhyt vastaus on ei. Signalin salausta ei murrettu. Sen sijaan murrettiin jotain paljon vaikeammin korjattavaa: ihmisten luottamus.
Raporttien mukaan hyökkääjät käyttävät kehittyneitä tietojenkalasteluoperaatioita huijatakseen Signal-käyttäjät myöntämään tilien käyttöoikeudet itse. Menetelmä sisältää tyypillisesti väärennetyt tietoturvahälytykset, jotka näyttävät vakuuttavan virallisilta ja kehottavat kohteita yhdistämään uuden laitteen tililleen. Kun tämä tapahtuu, hyökkääjä vastaanottaa reaaliaikaisen peilikuvan uhrin viesteistä koskematta kertaakaan Signalin palvelimiin tai murtamatta yhtäkään salausriviä.
Tämä on keskeinen ero. Sovellus ei ole haavoittuvuus. Käyttäjän toiminta on.
Miten hyökkäys todella toimii
Signal tukee laillista ominaisuutta nimeltä yhdistetyt laitteet, jonka avulla käyttäjät voivat käyttää tiliään samanaikaisesti usealta puhelimelta tai tietokoneelta. Hyökkääjät hyödyntävät tätä ominaisuutta luomalla haitallisia QR-koodeja tai linkkejä, jotka skannattaessa tai klikattaessa lisäävät hyökkääjän laitteen hiljaisesti uhrin tilille.
Tietojenkalasteluiviestit on suunniteltu luomaan kiireellisyyden tunne. Niissä saatetaan väittää, että käyttäjän tili on vaarantunut, että heidän täytyy vahvistaa henkilöllisyytensä tai että tietoturvapäivitys vaatii välittömiä toimia. Paineen alla olevat arvokkaat kohteet toimivat todennäköisemmin nopeasti ja tutkivat pyyntöä vähemmän huolellisesti.
Kun laite on yhdistetty, hyökkääjän ei tarvitse purkaa mitään salausta. He lukevat viestit niiden saapuessa pelkkänä tekstinä, aivan kuten mikä tahansa laillinen yhdistetty laite tekisi. He voivat myös esiintyä uhrina käynnissä olevissa keskusteluissa, millä on vakavia seurauksia toimittajille, aktivisteille, lakimiehille, virkamiehille ja kaikille muille, jotka käsittelevät arkaluonteisia viestintöjä.
Tällaista hyökkäystä kutsutaan joskus sosiaalisen manipuloinnin hyökkäykseksi tai tilinhallintaan oikeuttavan pääsyn kautta tapahtuvaksi tilinkaappaukseksi. Se ei vaadi nollapäivähaavoittuvuutta, palvelinmurtoa eikä kryptografisia temppuja. Se vaatii vain sen, että kohde tekee yhden virheen.
Mitä tämä tarkoittaa sinulle
Jos käytät Signalia koska välität yksityisyydestäsi, tämä uutinen ei saisi saada sinua hylkäämään sovellusta. Signal on edelleen yksi luotettavimmista viestintäalustoista saatavilla, ja taustalla oleva salaus suojaa edelleen viestejä siirron aikana tapahtuvalta sieppaukselta. Tämä tilanne on kuitenkin muistutus siitä, että salaus on yksi kerros tietoturva-asenteessa, ei koko ratkaisu.
Ajattele asiaa näin: holviovi on tehokas vain silloin, kun kukaan ei anna avainta hyökkääjälle, joka väittää olevansa lukkoseppä.
Useimmille tavallisille käyttäjille riski tästä nimenomaisesta Venäjään kytkeytyvästä kampanjasta on pieni. Raportoidut kohteet ovat korkean profiilin henkilöitä, todennäköisesti arkaluonteiseen poliittiseen, sotilaalliseen tai journalistiseen työhön osallistuvia ihmisiä. Mutta käytetyt taktiikat eivät ole erikoisia. Väärennettyihin tietoturvahälytyksiin perustuvat tietojenkalasteluhyökkäykset ovat yleisiä jokaisella alustalla, eikä yhdistettyjen laitteiden ominaisuus ole yksinomaan Signalin.
Yksityisyyttään arvostavien käyttäjien kaikilla riskitasoilla tulisi kohdella viestisovelluksiaan samalla tavalla kuin tietoturva-ammattilaiset kohtelevat mitä tahansa arkaluonteista järjestelmää: kerrostetuin puolustuksin ja jatkuvalla tietoisuudella.
Käytännön toimenpiteitä Signal-tilisi suojaamiseksi
Tässä on mitä voit tehdä juuri nyt altistumisesi vähentämiseksi:
Tarkasta yhdistetyt laitteesi säännöllisesti. Signalin asetusvalikko näyttää kaikki tilillesi tällä hetkellä yhdistetyt laitteet. Jos näet jotain tuntematonta, poista se välittömästi. Tee tästä rutiininomainen tarkistus, ei kertaluonteinen toimenpide.
Suhtaudu syvästi epäileväisesti tietoturvahälytyksiin. Lailliset sovellukset lähettävät harvoin kiireellisiä viestejä, joissa pyytävät sinua skannaamaan QR-koodin tai klikkaamaan linkkiä tilisi vahvistamiseksi. Käsittele oletusarvoisesti kaikkia tällaisia pyyntöjä epäilyttävinä, vaikka ne näyttäisivät virallisilta.
Ota käyttöön Signalin rekisteröintilukko. Tämä ominaisuus vaatii PIN-koodin ennen kuin tilisi voidaan rekisteröidä uudelleen uudelle laitteelle. Se lisää kitkaa hyökkääjille, jotka yrittävät kaapata tilin.
Suojaa laite itse. Signalin salaus suojaa viestejä siirron aikana. Jos puhelimesi on lukitsematon ja luovutetaan jollekin, tai se on haittaohjelman vaarantama, tämä suoja päättyy. Vahvat laitesalasanat, biometriset lukitukset ja käyttöjärjestelmän pitäminen ajan tasalla ovat kaikki tärkeitä.
Harkitse laajempaa verkkoturvallisuuttasi. Käyttäjille, jotka käsittelevät aidosti arkaluonteisia viestintöjä, liikenteen reitittäminen hyvämaineisen VPN:n kautta lisää anonymiteettikerroksen, joka vaikeuttaa hyökkääjien toimintasi profilointia, sijaintisi tunnistamista tai tiedustelun suorittamista, joka usein edeltää kohdistettua tietojenkalastelua. VPN ei korjaa tietojenkalastelua, mutta se on osa kerrostettua lähestymistapaa, joka vähentää kokonaisaltistumista.
Vahvista kanavien ulkopuolella. Jos saat epäilyttävän viestin jopa tunnetulta yhteystiedolta, vahvista pyyntö täysin erillisellä kanavalla — puhelimitse, kasvokkain tai toisessa sovelluksessa — ennen kuin ryhdyt mihinkään toimiin.
Näiden Signal-tietojenkalasteluihyökkäysten opetus ei ole se, että salattu viestintä on hyödytöntä. Se on se, että mikään yksittäinen työkalu ei ole täydellinen ratkaisu. Signal suojaa viestisi poikkeuksellisen hyvin. Tilisi suojaaminen vaatii sinua pysymään valppaana niiden tapojen suhteen, joilla hyökkääjät yrittävät kiertää teknologian kokonaan — kohdistamalla hyökkäyksensä sinuun sen sijaan.
