Kommentare zu folgendem Beitrag: Signal und der Datenschutz: Gruppen-Chats sollen Google-Server nutzen
Mike Kuketz berichtet, Signal nutzt für die Erstellung und Verwaltung neuer Signal-Gruppen ausgerechnet Server der Datenkrake Google.
Man sollte aber auch den Artikel von Kukez ganz lesen, so kritisch schein das nicht:
…
Insgesamt reduziert das die Metadaten zwar nicht, aber die dargestellten Maßnahmen machen es eben schwierig bis unmöglich Metadaten in irgendeiner Form sinnvoll zu verwerten. Der Ansatz lässt sich vielleicht auch so umschreiben:
Was ich nicht weiß, macht mich nicht heiß
Insgesamt bedeutet das: Die Signal-Server transportieren nur verschlüsselte Nachrichten und Statusinformationen, ohne die Absender zu kennen. Außer der Messenger Briar (der einen dezentralen Ansatz verfolgt) gibt es aktuell keinen Messenger, der das Zero-Knowledge-Prinzip konsequenter umsetzt.
…
Also können die Tech Giganten mit den Metadaten nix anfangen.
Ob die IP-Adressen wirklich viele Nachteile haben?
…
Signals Anstrengung die Metadaten bestmöglich zu vermeiden hat allerdings auch seine Grenze: Zumindest die IP-Adresse der Signal-Nutzer ist für die Tech-Giganten (Amazon, Google etc.) einsehbar. Bspw. besteht für Amazon die Möglichkeit herauszufinden, welche zwei IP-Adressen miteinander kommunizieren. Davor schützt auch das Zero-Knowledge-Prinzip bzw. der Sealed-Sender-Ansatz nicht. Ob man daraus verwertbare Informationen gewinnen kann, lässt sich allerdings schwierig beurteilen und ist ein grundsätzliches Problem von zentralisierten Lösungen.
…
3 „Gefällt mir“
endlich jemand der briar ebenfalls kennt. *jubel
die sache mit den ip’s kann doch mit vpn locker gelöst werden. oder nicht?
1 „Gefällt mir“
Ohne VPN weiß die Amazon Cloud die IP-Adressen der Gesprächsteilnehmer. Also genau die Informationen, die die Geheimdienste haben wollen. Und wer sagt, dass sie sie von einem VPN-Anbieter auf Anfrage nicht bekommen?
1 „Gefällt mir“
Mike Kuketz lebt anscheinend hinter dem Mond.
Dass Signal für Attachments usw. auf Cloud-Anbieter zurückgreift, ist schon lange bekannt. Das sieht man z.B. im Quellcode des Signal-Servers: https://github.com/signalapp/Signal-Server/blob/master/service/config/sample.yml
Das Thema wurde schon vor ein paar Jahren in Mike Kuketz’ eigenem Forum diskutiert und ER SELBER hat sogar geantwortet https://forum.kuketz-blog.de/viewtopic.php?t=735
Keine Ahnung wieso er deswegen erneut ein Fass aufmachen muss?
Stimmt. Die meisten Leute benutzen aber ihr Smartphone so ohne VPN.
1 „Gefällt mir“
Bei zwei sichtbaren, miteinander kommunizierenden IPs (inkl. der Benutzer dahinter) ist das für eine Behörde schon eine verwertbare Information, wenn Beschuldigte z.B. behaupten, den anderen nicht zu kennen! 
Wo ist jetzt der Skandal daran, Telegram speichert doch seine Daten auch fleißig auf den CDNs von Amazon/Google und co.
1 „Gefällt mir“
Kurz zur Info: Weiterhin keine Antwort auf unsere Presseanfrage von Signal.
nun ich glaube an:
https://de.wikipedia.org/wiki/OpenVPN
schade eigentlich.
noch eine anmerkung zu briar.
da er mit
https://guardianproject.info/apps/org.torproject.android/
ohne probs zusammen arbeitet, ist bei diesem messenger die frage nach einem vpn eigentlich obsolet.
Nicht ganz…ich benutze Orbot auch seit Jahren auf meinem Smarti. Nur was ist mit PCs unter Linux, Windows, Mac und anderen OS, wenn es kein Android ist??
stimmt. Briar werkelt nur mit dem Druiden. vergass ich zu erwähnen. sorry. ändert jedoch nix an der sicherheit von Briar für Druiden. *gg
während Signal unter gentoo auch mit einem Desktop betrieben werden kann.
net-im/signal-desktop-bin
Verfügbare Versionen: (~)1.39.5
Danke gut zu wissen signal ist somit weg, bleibt Telegram und Threema aber nutz noch fast keiner, am schluss bleiben doch fast alle bei whatshit -.-
Warum?
Wie kann es sein, dass Signal für seine Server-Infrastruktur ausgerechnet auf Firmen mit zweifelhaftem Datenschutzniveau - Google, Amazon und Microsoft - und zudem in den USA zurückgreift?
Weil es nichts an den zuvor getroffenen Aussagen bezüglich Sicherheit, Anonymität usw. ändert !!!
- Signal arbeitet nur nach dem Zero-Knowledge-Prinzip
- Das beginnt mit einer konsequenten Ende-zu-Ende-Verschlüsselung
- Das Signal-Protokoll. Dieses wurde bereits von mehreren Messengern übernommen, unter anderem von Whatsapp und in leicht abgeänderter Form auch von Wire und Matrix/Element.
- Eine Besonderheit des Signal-Protokolls ist, dass zusätzlich bei jedem Nachrichtenaustausch auch neue Schlüssel ausgetauscht werden, die anschließend für weitere Nachrichten verwendet werden
- Durch den kontinuierlichen Schlüsselaustausch bietet das Signal-Protokoll zudem Perfect Forward Secrecy. Das bedeutet, dass Angreifer mitgeschnittene, verschlüsselte Nachrichten auch im Nachgang nicht entschlüsseln können - selbst wenn sie in den Besitz des Hauptschlüssels der jeweiligen Signal-Installation gelangen sollten
- Signal nutzt sogenannte Message Authentication Codes (MACs), mit denen die Integrität der Nachricht sichergestellt wird
- Signal wirkt mit dem Konzept des Sealed Sender dem Abfangen des Absenders (z.B. IP) entgegen
- Analog dazu übermittelt auch Signal die Nachrichten ohne Absender
- Bei der integrierten GIF-Suche fungieren die Signalserver als Proxy und leiten die Anfragen an Giphy weiter, so dass der Anbieter nur den Signal-Server, nicht jedoch die IP-Adresse des Signal-Clients zu sehen bekommt
- Da die Verbindung zwischen Signal-Client und Giphy-Server TLS-verschlüsselt ist, kann der Signal-Server trotzdem nicht auf die Inhalte der Abfragen schließen
- Ähnliche Vorgehensweise bei der Link-Vorschau
- Es ist bei Signal schwierig, eine serverseitige Überwachungsschnittstelle einzubauen, wenn der Server von der App ohnehin nur verschlüsselte und metadatenreduzierte Daten erhält
- Veränderungen an App und Server sind zudem öffentlich einsehbar, da beide Open Source sind
- Findet die Verschlüsselung und Verschleierung der Daten primär an den Endpunkten statt, wird der Server nur noch zu einer Relaisstation, die unlesbare Daten verteilt