Czy Pentagonem rządzi przedszkolak? Małostkowe i niecelne ataki na Signala

Kilka dni po głośnym skandalu, gdy redaktor naczelny The Atlantic Jeffrey Goldberg został przypadkowo włączony do grupowej konwersacji w aplikacji Signal, w której wysoko postawieni urzędnicy administracji Trumpa omawiali szczegóły planowanego ataku na Huti w Jemenie, Pentagon wydał ostrzeżenie dotyczące bezpieczeństwa tej aplikacji.

Analizując zarówno ostrzeżenie, jak i samą aplikację, możemy lepiej zrozumieć, czy zarzuty są uzasadnione, czy może stanowią formę zniesławienia. Niestety wiele wskazuje na to drugie, co brzmi dość przerażająco, mając na uwadze domniemane kompetencje Departamentu Obrony Stanów Zjednoczonych.

18 marca, kilka dni po ujawnieniu incydentu z wyciekiem informacji w The Atlantic, Pentagon rozesłał wewnętrzny biuletyn ostrzegawczy dotyczący aplikacji Signal. Według dokumentu uzyskanego przez NPR komunikat rozpoczynał się od słów Zidentyfikowano lukę w aplikacji Signal Messenger. Dokument ostrzegał, że rosyjskie profesjonalne grupy hakerskie wykorzystują funkcję "połączonych urządzeń" do szpiegowania zaszyfrowanych rozmów. Ponadto Pentagon podkreślił, że aplikacje tego typu są dozwolone przez politykę dla niejawnych ćwiczeń odpowiedzialności/przywołania, ale NIE są zatwierdzone do przetwarzania lub przechowywania niepublicznych niejawnych informacji. Problem w tym, że w informacji brakuje kilku ważnych szczegółów, których Pentagon z pewnością jest świadom,

Rzecznik Signala, Jun Harada, odpowiedział na ostrzeżenia Pentagonu, twierdząc, że nie dotyczą one poziomu bezpieczeństwa samej aplikacji, lecz ataków phishingowych. Phishing to technika, w której hakerzy próbują uzyskać dostęp do wrażliwych informacji poprzez podszywanie się pod zaufane źródła lub inne podstępne metody. Harada stwierdził: Gdy dowiedzieliśmy się, że użytkownicy Signala są celem ataków i w jaki sposób są atakowani, wprowadziliśmy dodatkowe zabezpieczenia i ostrzeżenia w aplikacji, aby pomóc chronić ludzi przed atakami phishingowymi. Te prace zostały ukończone miesiące temu.

Jest to istotne rozróżnienie, ponieważ sugeruje, że problem nie leży w samym protokole szyfrowania czy bezpieczeństwie aplikacji, lecz w atakach społecznych skierowanych na użytkowników.

Ważne:

Nie można ignorować faktu, że ostrzeżenie Pentagonu pojawiło się kilka dni po bardzo kompromitującym incydencie, który postawił administrację Trumpa w niekorzystnym świetle. Pentagon już wcześniej zakazywał używania aplikacji mobilnych nawet do kontrolowanych niejawnych informacji, które są znacznie mniej wrażliwe niż informacje o trwających operacjach wojskowych. Jest to spójne z ogólnymi protokołami bezpieczeństwa, które często zakazują używania komercyjnych aplikacji do komunikacji rządowej, niezależnie od ich faktycznego poziomu bezpieczeństwa.

Signal wykorzystuje własny protokół szyfrowania end-to-end, znany jako Signal Protocol, który zapewnia poufność, integralność, autentykację, spójność uczestników, weryfikację odbiorcy, forward secrecy, post-compromise security i wiele innych właściwości bezpieczeństwa. Protokół ten jest tak ceniony, że został zaadoptowany przez inne popularne komunikatory, w tym WhatsApp.

Protokół Signal łączy algorytm Double Ratchet, prekeys (jednorazowe efemeryczne klucze publiczne) i potrójny protokół wymiany kluczy elliptic-curve Diffie-Hellman (3-DH), wykorzystując Curve25519, AES-256 i HMAC-SHA256 jako prymitywy. Signal przeszedł wiele audytów bezpieczeństwa przeprowadzonych przez niezależne podmioty. Jeden z istotnych audytów przeprowadzony przez naukowców z uniwersytetów w Wielkiej Brytanii, Kanadzie i Australii potwierdził, że protokół Signal jest bezpieczny i odporny na ataki, oferując właściwości takie jak forward secrecy.

Autorzy audytu stwierdzili: Nasza analiza pokazuje, że kryptograficzny rdzeń Signala zapewnia użyteczne właściwości bezpieczeństwa. Te właściwości, choć złożone, są zakodowane w naszym modelu bezpieczeństwa, i udowadniamy, że Signal je spełnia przy standardowych założeniach kryptograficznych.

Signal jest aplikacją open-source, co oznacza, że jego kod źródłowy jest publicznie dostępny. Dzięki temu każdy specjalista ds. bezpieczeństwa może przeanalizować działanie aplikacji i potwierdzić, że nie ma w niej ukrytych luk ani niepożądanych funkcji. Ten poziom transparentności buduje zaufanie, ponieważ użytkownicy mogą mieć pewność, że aplikacja działa zgodnie z deklaracjami jej twórców.

Signal przechowuje minimalne dane o swoich użytkownikach. Najbliższą metadanym informacją, jaką serwer Signala przechowuje, jest ostatni czas połączenia każdego użytkownika z serwerem, a dokładność tej informacji jest zmniejszona do dnia, a nie godziny, minuty i sekundy. W 2016 r., gdy Signal otrzymał nakaz sądowy dotyczący udostępnienia danych, firma mogła przekazać jedynie datę utworzenia konta oraz datę ostatniego połączenia z serwerami Signala.

W 2022 r. doszło do incydentu bezpieczeństwa, ale był on związany z włamaniem do dostawcy usług Signala (Twilio), a nie do samej aplikacji. Hakerzy uzyskali dostęp do 1900 kont, co pozwoliło im na wysyłanie i odbieranie wiadomości z tych numerów telefonów, ale nie mogli zobaczyć historii wiadomości, listy kontaktów ani informacji profilowych użytkowników, ponieważ wszystkie te dane są przechowywane na urządzeniu użytkownika. Co więcej, Signal oferuje funkcję Registration Lock, która mogła zapobiec temu incydentowi, gdyby użytkownicy ją włączyli.

Pentagon to nie sztab wizerunkowy prezydenta Stanów Zjednoczonych. Skandal związany z wyciekiem informacji o planach militarnych Stanów Zjednoczonych poprzez aplikację Signal, a następnie ostrzeżenia Pentagonu dotyczące bezpieczeństwa tej aplikacji, stanowią co najmniej fascynujący przypadek na styku technologii, polityki i bezpieczeństwa narodowego.

Choć Signal pozostaje jednym z najbezpieczniejszych dostępnych komunikatorów, przypadek ten przypomina, że nawet najlepsze narzędzia kryptograficzne nie mogą zapewnić bezpieczeństwa, jeśli są używane niewłaściwie lub gdy użytkownicy padają ofiarą ataków socjotechnicznych.

Spider’s Web niezmiennie jednak śladem największych autorytetów w branży rekomenduje Signala jako najbezpieczniejszy i najbardziej szanujący prywatność użytkowników środek komunikacji cyfrowej na świecie. Warto dać mu szansę, nawet jeśli samemu interfejsowi daleko do przyjemnej estetyki WhatsAppa czy iMessage.