Szerző: Habók Lilla

2018. október 31. 16:00

Egy új Signal-funkció a feladó metaadatát is eltávolítja

A biztonságos üzenetküldést kedvelő felhasználók kedvenc Signal alkalmazása egy újabb funkcióval jelentkezett. Az egyelőre bétában lévő megoldás a felhasználót is képes eltávolítani az üzenetből, hogy a csevegések megfigyelőit ettől az információtól is megfossza.

Újabb biztonsági funkcióval állt elő Edward Snowden kedvelt titkosított csevegőalkalmazása, amellyel a feladó kilétét is olvashatatlanná tenné a megfigyelők számára. Gyakori probléma ugyanis, hogy az üzenetek tartalmát jól titkosítják a rendszerek, de bizonyos esetekben a hatóságoknak vagy más érdekelt feleknek éppen elég a titkosítatlan adat, mint például a feladó, a címzett vagy az üzenetküldés ideje - magyarázza az Ars Technica. Úgyhogy az egyelőre csak bétában megjelenő Signal zárolt feladó (sealed sender) funkció ezt a helyzetet szeretné kiküszöbölni, amely a küldőre vonatkozó információkat törli az üzenet fejlécéből.

Az üzenet megérkezéséhez elméletben ugyanis elég a címzett adata, és nincs hozzá szükség a küldőre. Azonban a legtöbb üzenetküldő megoldáshoz hasonlóan az autentikációs folyamat során a Signal is eddig az üzenet fejlécében szereplő információkra támaszkodott, hogy megakadályozza a felhasználói azonosító hamisítását és korlátozza a platformon a spam és más típusú visszaéléseket. Az új funkcióból eredő problémának a megoldására két új eszközt dolgoztak ki a fejlesztők.

A felhasználói azonosításhamisítás megakadályozása érdekében az üzenetküldők rendszeresen letölthetnek majd a szolgáltatásból egy ideiglenes küldő-tanúsítványt (sender certificate), amely igazolja a személyüket. A tanúsítvány tartalmazni fogja a felhasználó telefonszámát, a nyilvános azonosító kulcsát és egy lejárati időbélyegzőt. Innentől kezdve mikor a Signal-felhasználó elküld egy levelet, akkor ahhoz a tanúsítványát is csatolhatja, amely alapján a fogadó meggyőződhet a küldő kilétéről és így a levél hitelességéről.

signal_sealed-sender

Másrészt pedig a visszaélések megakadályozása érdekében a vállalat bevezeti a küldő profilkulcsából származtatott 96 bites kézbesítési tokeneket, mellyel a kliensnek rendelkeznie kell az üzenethez való hozzáférés előtt. Mivel a Signal adatlapok ponttól pontig titkosítottak (az üzenetküldéshez és híváshoz is használt Signal Protocollon keresztül), ezért csak akkor lehet érvényes tokeneket létrehozni, ha a küldő már a fogadó névjegyzékében is szerepel, vagyis a profilkulcsát ismeri. Így ha a küldő spameket vagy más nem kívánt tartalmakat kezd küldeni, akkor a fogadó letilthatja a küldőtől érkező leveleket a tokenen keresztül. Azonban arra is lesz lehetőség, ha a felhasználó olyanoktól is szeretne üzeneteket fogadni, akik nem szerepelnek a címjegyzékében, és nem osztották meg egymással a profiljaikat, de ez természetesen növeli a nem kívánt levelek érkezésének esélyét.

Az üzenetek tartalma természetesen ebben az esetben is ponttól pontig titkosított a Signal Protocollon keresztül, de ebben az esetben "a feladói tanúsítványt tartalmazó boríték" is titkosított a feladó és a címzett azonosító kulcsain keresztül, amelyet csak a fogadó fejthet vissza. A funkció viszont egyelőre csak bétában jelenik meg a "következő néhány napban", úgyhogy ha valaki szeretné kipróbálni, akkor a Signal Beta tesztelésére így jelentkezhet.

a címlapról