Auf einen Blick: Signal gilt als besonders sicher. Die Lücke traf nicht Nachrichten und Anrufe. Die App schaut regelmäßig im Telefonbuch nach, wer sonst noch Signal hat und schickte diese Anfragen an einen Signal-Server. Genau das sollte selbst Signal nicht mitlesen können. Tester haben gezeigt: Wer diese Server kontrolliert, kann bei der Überprüfung mitlesen. Signal hat das auf seinen Servern bereits geschlossen.
Was neu ist: Das Sicherheitstool V12 hat zwei Fehler in diesem Abgleich gefunden – eingesetzt von einem Fachmann (@rt1rz), getestet auf derselben Server-Struktur, die Signal in der Cloud nutzt.
Das große Ganze:
- Alltag: Damit die App anzeigt, welche Kontakte Signal nutzen, geht eine Abfrage vom Handy zu Signal. Oft automatisch, etwa alle zwei Tage.
- Versprechen: Signal selbst sollte bei diesem Vorgang blind bleiben. Die Prüfung läuft in einem abgeschotteten Bereich. Wie ein Tresor zu Hause, zu dem auch der Hausmeister oder die Putzfrau keinen Schlüssel hat.
- Bruch: Zwei Programmierfehler haben den Tresor aufgemacht. Nicht irgendwer im WLAN.
Zwischen den Zeilen:
- Fehler eins: Derselbe Job durfte doppelt laufen. Geheimes landete dort, wo der Datenraum als sicher galt und so wurde die Verschlüsselung hinausgetragen.
- Fehler zwei: Erst prüfen, dann zugreifen. In der winzigen Pause dazwischen ließ sich der Inhalt austauschen.
- Mit dem Schlüssel konnte der Server so tun, als wäre er der Tresor, und die Kontaktprüfung lesen.
Warum es wichtig ist: Es ging nur um die Frage: Wer aus meinem Telefonbuch ist auf Signal? Nicht um den Chatverlauf. Trotzdem: Wer Signal nutzt, weil niemand die Kontakte sehen soll, hat hier gesehen, dass dieses Versprechen am Server scheiterte, jedoch nicht am Handy.
Go deeper: V12 Compromising Signal’s Contact Discovery Enclave
Kein Grund, die App im Affekt zu löschen.
Frank sagt:
