TL;DR
Non pretendo dicirche a aplicación que debes utilizar, nin si debes utilizar algunha en absoluto, só traio unhas ligazóns para entender cómo funciona Signal e a cantidade de empresas e servizos que toman parte no proceso de comunicarnos vía telemática. Fai o que estimes mellor para ti.
Escribo tras ver esta conversa no fediverso, onde tras unha pregunta simple varias persoas respostamos con opinións e crenzas (eu o primeiro). Así, fun mirar si atopaba datos.
Signal
Mellor que na web de Signal, comeza pola wikipedia.
Photo by Andrej Lišakov on Unsplash
Igual que confiamos nos Admin de un servidor XMPP sobre o qué fai cos datos que recolle de nos (non menores en potencia que os de Signal); cos que recolle o cliente que utilizamos; cos que recolle o noso ISP (proveedora de internet); cos que recolle o noso proveedor VPN; cos que recolle o noso navegador de internet; cos que recollen as extensións do noso navegador; cos que recolle o noso sistema operativo; con que ninguén en Tor se queda con un cacho da nosa tarta de xeito espúreo; confiemos en que o Admin de Signal non minte na información que proporciona.
Si non estamos de acordo en esto entón creo que é excusado seguir lendo, pois o relevante do caso é a confianza nos termos do servicio e intimidade. Certo que algúns están redactados para que non os comprendas e moito menos entendas o que implican, pero ahí están como un compromiso legal.
Outra asunción básica: o cifrado e2e é do mellor de Signal que hai e está correctamente auditado. É dicir, só os clientes autorizados e ben configurados teñen acceso ao contido da conversa. O do cifrado é unha guerra que dura séculos e que non rematará, pero a día de hoxe este cifrado superou as probas as que foi sometido (ver abaixo a ligazón a auditoría). Igual que OMEMO1, con quen ten puntos en común.
Os metadatos son outro asunto, pero de eso escribo máis abaixo.
E outro paso máis alá vai o tema das funcións que leva a cabo o Baseband processor2 nos dispositivos móbiles. Si a paranoia chega a este punto entón é mellor que non utilices dispositivos móbiles nin aplicacións de mensaxería en internet. En realidade, non utilices internet. En serio, non pasa nada, ate hai tres décadas vivíamos igual de felices sin internet así que non teñas medo en deixalo para comunicarte con outras persoas.
Traduzo
de esta entrada do blog de Signal, sobre a axenda de contactos
At Signal, we’ve been thinking about the difficulty of private contact discovery for a long time. We’ve been working on strategies to improve our current design, and today we’ve published a new private contact discovery service.
Using this service, Signal clients will be able to efficiently and scalably determine whether the contacts in their address book are Signal users without revealing the contacts in their address book to the Signal service.
En Signal levabamos tempo dándolle voltas a dificultade do descubremento de contactos. Estivemos traballando en estratexias para mellorar o deseño actual, e hoxe publicamos o novo servizo de descubremento privado de contactos. Utilizando este servizo, os Clientes de Signal poderán determinar de xeito eficiente e escalable cales dos seus contactos na axenda de direccións son usuarias de Signal sin revelarlle ao servizo Signal os datos dos seus contactos.
Tras esto ven a explicación técnica, que podes verificar no código fonte de cliente e servidor, ou ben confiar en quen auditou o servizo e que quen o xestiona está a utilizar o código auditado.
Importante: Signal ten o teu número e ten o número dos teus contactos que utilicen Signal, pero non as relacións entre eles.
Metadatos
[…]the only information we can produce in response to a request like this is the date and time a user registered with Signal and the last date of a user’s connectivity to the Signal service.
Fonte: https://signal.org/bigbrother/eastern-virginia-grand-jury/
[…]a única información que podemos proporcionar a unha petición como esta [de un xulgado ou axencia do estado] son a hora e data na que se rexistrou a usuaria de Signal e a última data na que se conectou ao servizo.
O que segue é unha opinión no artigo referido, pero que aclara o anterior
In addition to protecting communications, Signal collects vanishingly small amounts of data on its users. That means that when a government requests data from the company, they don’t find much. Earlier this month, an FBI subpoena and gag order revealed a Signal user’s account creation date and its last connection date.
Fonte: https://www.cyberscoop.com/signal-security-audit-encryption-facebook-messenger-whatsapp/ (fala tamén da auditoría de 2016).
A maiores de protexer as comunicacións, Signal recolle unha mínima cantidade de datos dos seus clientes. Esto significa que ante a petición de un goberno dos datos que posúe a compañía non atoparán moitos que entregar. A comezos de mes, ante unha dilixencia do FBI mostrouse só a súa data de creación e a última conexión.
Does Signal Keep Metadata?
De un artigo en bestvpn (é unha opinión), e que sirve para entender que no proceso de comunicación interveñen varios actores, non só o cliente e servidores para operar o servizo. Ante esto, cada parte ten a súa responsabilidade e non podemos inferir que todo depende de Signal (en este caso).
The Signal Protocol does not prevent a company from retaining information about when and with whom users communicate. The only metadata information that Signal itself retains is “the date and time a user registered with Signal and the last date of a user’s connectivity to the Signal service.” This claim has been proven in court.
Other companies that have incorporated the Signal Protocol into their products, however, may not have such a robust attitude to users’ privacy.
Fonte: https://www.bestvpn.com/guides/signal-private-messenger/
O Protocolo Signal (o Protocolo, non a App nin o Servidor) non evita que unha compañía rexistre información sobre cando e con quen se comunican as usuarias. Os únicos metadatos que Signal retén son “a data e a hora que unha usuaria se rexistrou en Signal e a última vez que se conectou ao servizo.” Esto foi probado nun xuizo (como se ve no caso superior sobre a petición do FBI).
Engadido: en 30/10/2018 publicouse este artigo no blog de Signal onde explican que están a traballar para ter aínda menos acceso aos metadatos. https://signal.org/blog/sealed-sender/
Outras compañías que incorporan o Protocolo Signal (como whatsapp) nos seus produtos poderían non ter unha actitude tan forte con respecto a intimidade das usuarias.
Aquí diferencian a responsabilidade do protocolo da do cliente que o utiliza.
Google, as usual
En este artigo de eldiario.es, de 2016, a autora explícanos que Signal depende dos servizos de Google e dos servizos para Android de Google e Amazon (xa non?). Pero o artigo non invalida a información recopilada por este artigo, o que fai é por de manifesto cantidade de actores que interveñen nas comunicacións e qué información pode obter cada un. Android tamén sabe si estás utilizando, e cando, Conversations instalado desde f-droid.
Si esto é un problema para ti, deberías deixar de utilizar a versión de Android que depende de Google. Busca alternativas como LineageOS ou Replicant. Concordemos en que instalar algunha de estas opcións é inviable para persoas comúns.
Quén paga?
Porque non hai nada gratis, alguén ten que pagar a factura da luz, os cafés, etc. Segundo a súa web:
Signal is made for you. As an Open Source project supported by grants and donations, Signal can put users first. There are no ads, no affiliate marketers, no creepy tracking. Just open technology for a fast, simple, and secure messaging experience. The way it should be.
Signal está feito para vostede. Como proxecto de Código Aberto soportado por doazóns e subvencións, Signal por as usuarias primeiro. Non hai anuncios, comercios asociados, rastrexo rastreiro. Só tecnoloxía aberta para unha experiencia de comunicación rápida, simple e segura. Tal como debe ser.
e na ligazón da wikipedia que encabeza o artigo podes ver qué institucións aportan cartos (entre elas o exército dos EEUU) a Fundación que controla o desenvolvemento de Signal desde 2018.
A auditoria do protocolo
https://eprint.iacr.org/2016/1013.pdf de 2017
non dos clientes. Esto hai que diferencialo, porque algo semellante pasa co protocolo Matrix e os seus clientes.
EFF, cómo utilizar Signal
Surveillance Self-Defense Tips, Tools and How-tos for Safer Online Communications
Opinión
O primeiro que opino é que cada persoa debe utilizar a ferramenta que máis lle acae ao seu caso e que cada unha debe valorar as súas circunstancias.
Privacy Tools, IM
https://www.privacytools.io/#im
Certo que hai uns mínimos esixibles como son o respeto pola intimidade das comunicacións e non ser monetizada como usuaria (esto é o modelo de negocio das principais empresas tecnolóxicas do mundo).
O relevante para o caso, na miña opinión
O segundo é que, incluso sen cifrar as mensaxes e con todos os metadatos imaxinables a disposición de Signal, non terían máis información nin de mellor calidade da que ten Facebook (caso hipotético). Terían a mesma. Como vemos nas ligazóns superiores, Signal non accede ao contido das conversas nin almacena (virtualmente) metadatos, polo que o 99% do mundo estaría mellor servido si utilizase esta aplicación en lugar de Whatsapp xa que, sumado ao que saca das outras ferramentas de minado (Facebook, Instagram e o rastraxedores publicitarios instalados en virtualmente todas as webs de maior audiencia) tería ademáis os metadatos relacionais das persoas (que non as súas conversas).
Sobre os metadatos: Why metadata matters
O terceiro é que ten un sistema de cifrado activado por omisión e prácticamente transparente para a usuaria. Non se pode dicir o mesmo de XMPP en canto a que sexa de un uso tan intuitivo si activas OMEMO. Non ten excesiva complicación para persoas iniciadas e proactivas en canto a seguridade, pero para persoas normais e non educadas en estos temas é confuso e non se preocuparían en activalo.
Cuarto, tes que dar o número de teléfono. Sobre esto xa escribín arriba, pero comprendo que esto sexa unha preocupación para algunhas persoas que necesitan anonimato e non deixar pegada na rede. A maioría das persoas só precisa intimidade e respeto a non ser monetizado. Podes abrir unha conta nun servidor XMPP sin dar número de móbil nin conta de correo e utilizala en múltiples clientes. Debes lembrar activar OMEMO e que a persoa con quen falas non te delate. Sen dúbida o eslabón máis débil da cadea é a persoa e esto vale para calquer sistema de comunicación íntima.
Para ser anónimo e non deixar pegada hai que tomar bastantes máis medidas e ser moito máis precavido que simplemente utilizar unha conta anónima de XMPP a través de Tor (por exemplo). Esto resulta totalmente excesivo para un usuario común.
Revisión por Infosec HandBook
Non é unha auditoría como tal, se non unha revisión recurrente para ver o funcionamento do servizo
https://infosec-handbook.eu/tags/signal/
Así que fai o que vexas ti.
Para que conste, eu no móbil levo
- Conversations
- Telegram (update, xa non)
- Signal (funciona perfectamente en LineageOS sen openGapps, MicroG, …)
Tiña tamén Riot e a rede [Matrix] pero non me gustou precisamente o xeito en que recollen datos polo que só utilizo cliente web (para grupos de desenvolvemento principalmente).
Podes comentar este artigo utilizando a túa conta no fediverso, non precisas abrir unha conta en este servidor, aquí federamos!.
