Z tego co wiem sam algorytm jest przezajebisty i trudno o coś lepszego, szczególnie że najpopularniejszą konkurencją do tej pory są fejsbuk (messenger + whatsapp) i telegram pozostawiajace bardzo wiele do życzenia w kwestiach bezpieczeństwa. Ostatnio jednak trafiłem na krytykę Signal choćby tutaj:

https://resist.berlin/goodbye_signal.txt

Kluczowe wydają mi się następujące punkty

  • Numer telefonu, aczkolwiek Moxie nigdy nie obiecywał anonimowości, wszak Signal jest reklamowany jako zapewniający prywatność.

  • Scentralizowana infrastruktura i brak woli przejścia na federacyjność

  • Spora zależność od rządowego finansowania z rąk USA

  • Z założenia niebezpieczne endpointy w postaci Androidów i iOS-ów, a wiadomo że większośc osób ma na telefonie zaguglowaną wersję z nakładką producenta.

Czy w związku z powyższymi pomimo ogromnej wygody Signala warto się skupić na alternatywach jak Matrix, stare dobre PGP, apkach z założenia desktopowych itp? Bo rzeczywiście Signal jest świetny jeśli chodzi o upowszechnienie prywatności w życiu codziennym ale czy to wystarcza osobom wymagającym więcej bezpieczeństwa poprzez narażanie się państwom czy prawicowym ekstremistom?

Jak to jest u was? Jak bardzo ufacie Signalowi?

  • harc@szmer.info
    link
    fedilink
    arrow-up
    1
    ·
    3 years ago

    Prywatność i anonimowość to dwie jednak tylko powiązane kategorie, reszta jest w zasadzie aplikowalna do wszystkiego innego. Matrix też nie jest jakimś cudem jeśli chodzi o bezpieczeństwo i jeśli ma być wykorzystywany na telefonie wracamy do tych samych problemów.

    Z signala korzystam na co dzień do absolutnie codziennej komunikacji i tej nieprzesadnie wrażliwej. Pewnie nie pisałbym tam gdybym robił coś o czym na pewno nie chciałbym żeby wiedziały jakieś złe siły, chociażby właśnie ze względu na niemożliwe do osiągnięcia bezpieczeństwo samego telefonu. Gdybym chciał faktycznie komunikować prywatnie i anonimowo pewnie szedłbym w kierunku Briara, Toxa czy czegoś w podobnym modelu, krok wcześniej byłoby XMPP z OTR albo PGP. Tylko ponownie, ciężko ufać telefonom, więc bardziej ufałbym PGP na bezpiecznym systemie i hardwarze do którego nikt nie ma dostępu, ale tu ponownie jest problem przesyłania, już nie mówiąc o overheadzie trzymania takiego sprzętu…
    Wcześniej czy później można dojść do poziomu zabezpieczania śrubek w laptopie, żeby wiedzieć czy ktoś przy nich manipulował, podobno dobrze sprawdza się lakier z brokatem - ciężko idealnie odtworzyć konfigurację, więc ze zdjęciami można weryfikować ew. dostęp. No i warto pamiętać, że są badania wskazujące na możliwość analizy wciskanych klawiszy po skokach napięcia w sieci, z sąsiedniego pomieszczenia…
    Inaczej mówiąc - prywatność i bezpieczeństwo zawsze trzeba zbalansować z komfortem i kosztem (ekonomicznym/czasowym) zabezpieczeń. Jeśli nie planujesz rewolucji, Signal powinien moim zdaniem wystarczać, chociaż pewnie nie pisałbym tam pewnych słów kluczowych.