Signal bereitet die Einführung einer Telefonnummer-freien Registrierung vor, die auf Zero-Knowledge-Proofs (ZKPs) basiert und durch Google Play Billing zur Spam-Prävention ergänzt wird. Parallel dazu ermöglicht der aktualisierte Release-Zyklus für Android die native Kopplung von SIM-losen Tablets als gleichberechtigte Zweitgeräte ohne den Einsatz von Drittanbieter-Forks. Die vorliegenden Code-Commits verdeutlichen einen architektonischen Wandel hin zu gebührenbasierten Anti-Spam-Hürden für Konten ohne Mobilfunkverifizierung.
Wichtigste Punkte
Telefonnummer-freie Registrierung: Signal integriert kryptografische Zero-Knowledge-Proofs (ZKPs), um Benutzern die Erstellung von Konten ohne Verknüpfung einer Mobilfunknummer zu ermöglichen.
Spam-Mitigation via Google Play Billing: Quellcode-Commits zeigen, dass für die Registrierung ohne SMS-Verifizierung ein In-App-Kauf über Google Play Billing zwingend erforderlich ist, um automatisierte Botnet-Registrierungen einzudämmen.
Erweiterte Tablet-Unterstützung: Die Android-App unterstützt nun offiziell SIM-lose Android-Tablets als reguläre gekoppelte Sekundärgeräte über das Standard-Release-Paket.
Diskussions-Highlights
Anonymitätskonflikt durch Zahlungsdienstleister: Nutzer bemängeln, dass der Zwang zu Google Play Billing ein Google-Konto sowie verknüpfte Zahlungsmittel erfordert, was die Identität des Nutzers offenlegt. Gefordert werden datenschutzfreundliche Alternativen wie Monero (XMR) oder der Signal-eigene MobileCoin.
Kryptografische Implementierung und Enklaven: Die ZKP-Umsetzung könnte auf blinden Signaturen (Blind Signatures) basieren. Kritiker befürchten jedoch, dass Signal auf Trusted Execution Environments (TEEs) setzt, was zusätzliche Vertrauensannahmen an die Hardware erfordert. Zudem wird betont, dass ZKPs mathematisch probabilistisch arbeiten.
Client-Forks und Push-Architektur: Der gehärtete Android-Fork Molly wird als Alternative genannt, da er Push-Benachrichtigungen über WebSockets oder UnifiedPush ohne Google Play Services erlaubt. Signal-Entwickler stellen klar, dass auch die offizielle Android-App im Fallback-Modus per WebSocket ohne Google-Dienste funktioniert.
Geopolitische Risiken und staatliche Überwachung: Berichte aus Indien verdeutlichen, dass die Nutzung verschlüsselter Apps wie Signal oder VPNs von Behörden pauschal kriminalisiert wird. Diskussionsteilnehmer merken an, dass indische Behörden WhatsApp tolerieren, da dort Zugriffe auf Metadaten oder staatliche Backdoors vermutet werden.
Metadaten-Exposition gegenüber Ende-zu-Ende-Verschlüsselung: Es wird hervorgehoben, dass Ende-zu-Ende-Verschlüsselung (E2EE) zwar Inhalte schützt, globale Netzüberwacher aber weiterhin Metadaten (Wer kommuniziert wann mit wem) erfassen können. Für strikten Metadaten-Schutz wird auf Protokolle wie SimpleX mit Onion-Routing verwiesen.
Infrastruktur-Transparenz von Non-Profit-Organisationen: Es wird kritisiert, dass die Signal Foundation trotz ihres Status als gemeinnützige 501(c)(3)-Organisation die Bereitstellungsskripte und den Quellcode ihrer Backend-Infrastruktur nicht vollständig veröffentlicht.
Glossar
Zero-Knowledge-Proof (ZKP): Ein kryptografisches Protokoll, mit dem eine Partei einer anderen beweisen kann, dass eine bestimmte Aussage wahr ist, ohne dabei jegliche Geheimnisse oder Zusatzinformationen offenzulegen.
End-to-End Encryption (E2EE): Verschlüsselungsverfahren, bei dem Daten auf dem Sendergerät verschlüsselt und erst auf dem Empfängergerät entschlüsselt werden, sodass Zwischeninstanzen oder Serverbetreiber keinen Klartextzugriff haben.
Google Play Billing: Ein von Google bereitgestelltes Abrechnungssystem für In-App-Käufe auf Android-Geräten, das Transaktionen an das Google-Konto des Endnutzers bindet.
Trusted Execution Environment (TEE): Ein isolierter, abgesicherter Hardwarebereich innerhalb eines Hauptprozessors, der Code und Daten geschützt vor dem restlichen Betriebssystem ausführt.
Blind Signature (Blinde Signatur): Ein digitales Signaturverfahren, bei dem der Inhalt einer Nachricht vor dem Signieren kryptografisch verborgen wird, sodass der Unterzeichner die Nachricht validieren kann, ohne deren Inhalt zu kennen.
WebSocket: Ein auf TCP basierendes Netzwerkprotokoll, das eine dauerhafte, bidirektionale Vollduplex-Kommunikation zwischen Client und Server ermöglicht.
UnifiedPush: Ein dezentraler, offener Standard für Push-Benachrichtigungen unter Android, der eine herstellerunabhängige Infrastruktur abseits von Google Firebase bietet.
Molly: Ein inoffizieller, sicherheitsgehärteter Fork der Signal-Android-App mit Fokus auf Härtung gegen forensische Analysen und Entkopplung von proprietären Google-Diensten.
SimpleX: Ein dezentrales Messaging-Protokoll, das ohne dauerhafte Benutzeridentifikatoren (wie Telefonnummern oder Kontonummern) arbeitet, um Metadaten maximal zu schützen.
MobileCoin: Eine datenschutzorientierte Kryptowährung, die auf schnellen Transaktionen basiert und historisch in die Signal-Anwendung integriert wurde.
501(c)(3): Eine Bestimmung des US-Bundessteuerrechts, die steuerbefreite, gemeinnützige Organisationen klassifiziert.