Mel
Der beliebte Messenger Signal (App Store-Link) baut die eigenen Sicherheitsfunktionen aus und macht die Überprüfung von Verschlüsselungsschlüsseln deutlich komfortabler. Die neue Funktion „Automatic Key Verification“ soll Nutzern und Nutzerinnen dabei helfen, automatisch zu bestätigen, dass die Ende-zu-Ende-verschlüsselte Verbindung zu einem Kontakt korrekt abgesichert ist. Wichtig dabei: Die Funktion bestätigt nicht, wer tatsächlich hinter einem Signal-Konto steckt. Sie überprüft vielmehr, ob die verwendeten Verschlüsselungsschlüssel stimmen.
Bisher konnten Signal-User die sogenannte Sicherheitsnummer eines Kontakts manuell überprüfen. Dafür mussten beide Seiten eine Zahlenfolge oder einen QR-Code miteinander vergleichen, idealerweise über einen sicheren Kanal außerhalb von Signal. Gerade bei besonders sensiblen Gesprächen ist diese Prüfung sinnvoll, im Alltag aber entsprechend umständlich. Die automatische Schlüsselverifizierung soll diesen manuellen Schritt nun weitgehend überflüssig machen.
Hinter der neuen Funktion steckt Signals System zur Schlüsseltransparenz, kurz Key Transparency. Es soll sicherstellen, dass verschiedene Signal-Geräte sich darüber einig sind, welcher Verschlüsselungsschlüssel zu welcher Konto-ID gehört. Die automatische Prüfung basiert dabei auf mehreren unabhängigen Kontrollen: Neben den Nutzern bzw. Nutzerinnen und ihren Kontakten spielen auch externe, unabhängige Anbieter eine Rolle. Bei Signal übernehmen Cloudflare und Trail of Bits diese Aufgabe als vertrauenswürdige Drittanbieter.
Wer Drittanbieter nicht möchte, kann sie abschalten
Wer seine Verschlüsselung lieber ohne Beteiligung externer Dienste überprüfen möchte, kann die automatische Schlüsselverifizierung deaktivieren. Die entsprechende Option findet sich in Signal unter „Einstellungen > Datenschutz > Weitere Einstellungen > Automatische Schlüsselverifizierung“. Danach bleibt die klassische manuelle Überprüfung der Sicherheitsnummer weiterhin möglich.
Einen kleinen Haken gibt es bei der Verfügbarkeit: Die automatische Schlüsselverifizierung funktioniert nicht zwangsläufig mit jedem Signal-Kontakt. Voraussetzung ist, dass Signal die Telefonnummer des Kontakts kennt. Wer ausschließlich über einen Signal-Benutzernamen verbunden ist, kann die automatische Prüfung deshalb möglicherweise nicht nutzen. An der Ende-zu-Ende-Verschlüsselung ändert das allerdings nichts: Nachrichten bleiben auch dann geschützt, wenn die automatische Schlüsselverifizierung nicht verfügbar ist.
Die Funktion ist in den aktuellen Signal-Versionen für Android, iOS und Desktop verfügbar. Für die Überprüfung öffnet man das Profil eines Kontakts und wählt „Sicherheitsnummer anzeigen“. Ist die automatische Schlüsselverifizierung für diesen Kontakt verfügbar, erscheint dort die Option „Automatisch verifizieren“. Wer tiefer in die Technik einsteigen möchte, kann außerdem den Quellcode des Key-Transparency-Servers von Signal auf GitHub (https://github.com/signalapp/key-transparency-server) einsehen.
Signal kann kostenlos für iPhones, iPads und den Mac im deutschen App Store heruntergeladen werden und benötigt zur Installation iOS/iPadOS 15.0 oder neuer sowie rund 216 MB an freiem Speicherplatz. Die Nutzung des Messengers basiert auf freiwilligen Spenden, lediglich erweiterte Chat-Backups können per In-App-Kauf für 1,99 Euro/Monat aktiviert werden.
Freddy