Signals kryptering er i orden. Det er brukerne som er målet.

Signal har lenge hatt rykte på seg som gullstandarden for privat meldingsutveksling. Ende-til-ende-krypteringen er matematisk solid, koden er åpen kildekode, og protokollen er klarert av sikkerhetsforskere verden over. Så da det kom rapporter om at hackere med tilknytning til Russland lykkes med å kompromittere Signal-kontoer tilhørende høyprofilerte brukere, er det naturlig å spørre: ble Signal hacket?

Det korte svaret er nei. Signals kryptering ble ikke brutt. Det som ble brutt var noe langt vanskeligere å lappe: menneskelig tillit.

Ifølge rapporter bruker angriperne sofistikerte phishing-kampanjer for å lure Signal-brukere til selv å gi tilgang til kontoen. Metoden innebærer vanligvis falske sikkerhetsvarsler som ser overbevisende offisielle ut, og som oppfordrer målene til å koble en ny enhet til kontoen sin. Når det først skjer, mottar angriperen et direktespeil av offerets meldinger i sanntid, uten noen gang å berøre Signals servere eller knekke en eneste linje med kryptering.

Dette er en avgjørende distinksjon. Appen er ikke sårbarheten. Det er brukerens atferd som er det.

Slik fungerer angrepet i praksis

Signal støtter en legitim funksjon kalt koblede enheter, som lar brukere få tilgang til kontoen sin fra flere telefoner eller datamaskiner samtidig. Angriperne utnytter denne funksjonen ved å generere ondsinnede QR-koder eller lenker som, når de skannes eller klikkes, stille og rolig legger til angriperens enhet på offerets konto.

Phishing-meldingene er utformet for å skape hastverk. De kan hevde at brukerens konto er blitt kompromittert, at de må bekrefte identiteten sin, eller at en sikkerhetsoppdatering krever umiddelbar handling. Høyverdige mål under press er mer tilbøyelige til å handle raskt og mindre tilbøyelige til å granske forespørselen nøye.

Når enheten er koblet til, trenger ikke angriperen å dekryptere noe som helst. De leser ganske enkelt meldingene etter hvert som de ankommer, i klartekst, akkurat slik en hvilken som helst legitim koblet enhet ville gjort. De kan også utgi seg for å være offeret i pågående samtaler, noe som har alvorlige konsekvenser for journalister, aktivister, advokater, offentlige tjenestemenn og alle andre som håndterer sensitiv kommunikasjon.

Denne typen angrep kalles noen ganger et sosialingeniørangrep eller en kontoovertakelse gjennom autorisert tilgang. Det krever ingen nulldagsutnyttelse, ingen serverinnbrudd og ingen kryptografisk trolldom. Det krever bare at målet gjør én feil.

Hva dette betyr for deg

Hvis du bruker Signal fordi du bryr deg om personvern, bør ikke denne nyheten få deg til å forlate appen. Signal er fortsatt én av de mest pålitelige meldingsplattformene som er tilgjengelige, og den underliggende krypteringen beskytter fortsatt meldinger mot avlytting under overføring. Men denne situasjonen er en påminnelse om at kryptering er ett lag i en sikkerhetsstrategi, ikke hele løsningen.

Tenk på det slik: en hvelving er bare effektiv hvis noen ikke gir nøkkelen til en angriper som utgir seg for å være låsesmed.

For de fleste hverdagsbrukere er risikoen fra denne spesifikke russisk-tilknyttede kampanjen lav. De rapporterte målene er høyprofilerte enkeltpersoner, trolig folk involvert i sensitivt politisk, militært eller journalistisk arbeid. Men taktikkene som brukes er ikke eksotiske. Phishing-angrep som benytter falske sikkerhetsvarsler er vanlige på alle plattformer, og funksjonen for koblede enheter er ikke unik for Signal.

Personvernbevisste brukere på alle risikonivåer bør behandle meldingsappene sine slik sikkerhetsprofesjonelle behandler ethvert sensitivt system: med lagdelte forsvar og løpende årvåkenhet.

Praktiske tiltak for å beskytte Signal-kontoen din

Her er hva du kan gjøre akkurat nå for å redusere eksponeringen din:

Gjennomgå koblede enheter regelmessig. Innstillingsmenyen i Signal viser alle enheter som for øyeblikket er koblet til kontoen din. Hvis du ser noe ukjent, fjern det umiddelbart. Gjør dette til en rutinekontroll, ikke en engangshandling.

Vær svært skeptisk til sikkerhetsvarsler. Legitime apper sender sjelden presserende meldinger som ber deg om å skanne en QR-kode eller klikke en lenke for å bekrefte kontoen din. Behandle enhver slik forespørsel som mistenkelig som standard, selv om den ser offisiell ut.

Aktiver Signals registreringslås. Denne funksjonen krever en PIN-kode før kontoen din kan registreres på nytt på en ny enhet. Den gjør det vanskeligere for angripere som forsøker kontoovertakelser.

Beskytt selve enheten. Signals kryptering beskytter meldinger under overføring. Hvis telefonen din er ulåst og overlates til noen, eller kompromittert av skadelig programvare, opphører denne beskyttelsen. Sterke enhetspassord, biometriske låser og det å holde operativsystemet oppdatert har alle betydning.

Vurder den bredere nettverkssikkerheten din. For brukere som håndterer genuint sensitiv kommunikasjon, gir det å rute trafikk gjennom et anerkjent VPN et lag med anonymitet som gjør det vanskeligere for angripere å kartlegge aktiviteten din, identifisere posisjonen din eller gjennomføre rekognosering som ofte går forut for målrettet phishing. Et VPN løser ikke phishing, men det er en del av en lagdelt tilnærming som reduserer den samlede eksponeringen.

Verifiser via en separat kanal. Hvis du mottar en mistenkelig melding selv fra en kjent kontakt, bekreft forespørselen gjennom en helt separat kanal — en telefonsamtale, en samtale ansikt til ansikt eller en annen app — før du foretar deg noe.

Lærdommen fra disse Signal-phishing-angrepene er ikke at kryptert meldingsutveksling er ubrukelig. Det er at intet enkelt verktøy er en komplett løsning. Signal beskytter meldingene dine eksepsjonelt godt. Å beskytte kontoen din krever at du forblir årvåken overfor måtene angripere forsøker å omgå teknologien på — ved å ta sikte på deg i stedet.