Signal führt automatische Schlüsselüberprüfung ein, um Identitätsdiebstahl zu erkennen

Signal hat die automatische Schlüsselüberprüfung (Automatic Key Verification, AKV) eingeführt. Die Funktion soll Nutzern helfen, Versuche zu erkennen, verschlüsselte Unterhaltungen an einen Betrüger umzuleiten. Das Update stärkt das bestehende Sicherheitsschlüsselnummern-System der App, mit dem Kontakte die kryptografischen Fingerabdrücke vergleichen können, die ihren Unterhaltungsschlüsseln zugeordnet sind.

Die Ende-zu-Ende-Verschlüsselung schützt Nachrichten während der Übertragung, beweist aber nicht automatisch, dass ein Nutzer mit der vorgesehenen Person kommuniziert. Ein Angreifer, der das Kontoverzeichnis eines Dienstes manipuliert, könnte möglicherweise einen anderen öffentlichen Schlüssel einschleusen und Nachrichten empfangen, ohne die Verschlüsselung zu knacken.

So funktioniert die automatische Überprüfung

Nutzer können das Profil eines Kontakts öffnen, Sicherheitsnummer anzeigen auswählen und anschließend Automatisch überprüfen wählen. Signal prüft dann, ob der öffentliche Schlüssel des Kontakts mit den Informationen übereinstimmt, die im Schlüsseltransparenzsystem hinterlegt sind. Ein grünes Häkchen zeigt an, dass die Überprüfung erfolgreich war.

Signal zufolge erfasst die Transparenzinfrastruktur Kontoänderungen wie eine neue Telefonnummer, eine Aktualisierung des Benutzernamens oder die Neuerstellung eines Kontos in einem manipulationssicheren Protokollbaum. Indexstrukturen ermöglichen es der App, relevante Einträge für Nutzer und ihre Kontakte zu finden und zu vergleichen.

Das System nutzt außerdem eine unabhängige Überwachung. Cloudflare und Trail of Bits werden als externe Prüfer genannt, die die Transparenzdaten auf Anzeichen unbefugter Änderungen untersuchen. Ihre Prüfungen sollen zeigen, dass Nutzer dieselben Informationen vom Dienst erhalten, und so bestimmte Man-in-the-Middle-Szenarien aufdecken.

Nutzer spielen weiterhin eine Rolle

Prüfungen können Änderungen an den Datensätzen erkennen, aber nicht feststellen, ob jeder Datensatz korrekt ist. Signal kombiniert die Prüfung daher mit einer Überwachung: Die App überprüft regelmäßig die eigenen Einträge eines Nutzers, während die Kontaktüberprüfung es Nutzern ermöglicht, die mit einer anderen Person verknüpften Informationen zu vergleichen.

Es gibt eine wichtige Einschränkung. Für die automatische Überprüfung eines anderen Kontakts ist dessen Telefonnummer erforderlich – entweder über Signal oder über einen übereinstimmenden Eintrag im Adressbuch des Geräts. Personen, die diese Information nicht besitzen, können AKV für den betreffenden Kontakt nicht verwenden.

Nutzer können die automatische Überprüfung deaktivieren und Sicherheitsnummern oder QR-Codes weiterhin manuell überprüfen. Die Funktion bietet einen zusätzlichen Mechanismus zur Erkennung von Angriffen, doch Nutzer müssen die Überprüfungsergebnisse weiterhin kontrollieren und die Identität eines Kontakts über einen vertrauenswürdigen Kanal bestätigen, wenn viel auf dem Spiel steht.