En näe Signalin ja Whatsappin kohdalla niinkään snake-oilia tuon E2EE:n suhteen. Telegram taas on onnistunut markkinoimaan itseään vuosikaudet turvallisenä vaihtoehtona, vaikka todellisuudessa sen ainoa E2EE-toteutus on vieläkin kehnommin toteutettu mitä näissä kahdessa muussa. Pikemminkin koko palvelun toiminta salausta (tai sen puutetta) myöten on lähempänä Facebook Messengeriä.
Suuri ongelma on siinä, että Signali ja WhatsApp molemmat abstraktoivat avaimet ja avainhallinnan pois. -> Helpottaa käytettävyyttä, mutta sitten yksi aivan kriitinen ja olennainen osa kokonaisuudesta puuttuu. - Kyllä verifiointi on mahdollista, mutta kuinka moni teistä on verifioinut kontaktit? Lisäksi verifiointi-statuksen muuttumisesta tuleva ilmoitus on varsin vaisu. mm. Matrixissa on tuon suhteen tehty juuri toisin päin. Selvästi varoitetaan (jatkuvasti) jos kontakti on verifioimaton. Vasta kun verifiointi on suoritettu, saadaan luottamus. Teknisesti se on TOFU, eli avain otetaan kyllä käyttöön, mutta sen tarkitamisesta on jatkuva muistutus. Mulla mm. Matrixissa kaikki kontaktit on vahvistettu joko vähintään out of band tunnettua luotettua kanavaa tai out-of-band / in-band + kryptografinen sertifiointi, esim PGP avaimilla / shared-key + HMAC, etc.
signal.org
Tämä haiskahtaa: "Se pyytää päästä käsiksi puhelimen osoitekirjaan. Tämä tapahtuu siksi, että puhelinnumerot toimivat viestinnän pohjana WhatsAppin tapaan. Käyttäjistä ei kerätä tietoja." Miksei sovelluksessa voi olla sisäistä kontaktiluetteloa? Miksi pitää saada puhelimen kaikki kontaktit? Signal nopealla testillä jopa toimii ilman osoitekirjaa, mutta mm, WhatsApp hukkaa nimet ja kaikki.
Signal on jopa sellainen, että kun olet jo kerran jonkun kanssa viestitellyt, mutta chatin poistanut ja myös koko henkilön puhelimen yhteystietoluettelosta, jää se silti kummittelemaan Signalissa, kun aloittaa uuden viestin kirjoittamista ja valitsee kontaktiluettelosta. Eli Signalissa onkin oma luettelokirjansa, jopa typerän kiinteä sellainen.
Aa no hitto.
signal.org
Tuttavissa tein saman homman että vain lopetin whatsapp käytön ja kerroin että siirryin signaliin. Osa sitten fvain pyyteli takaisin mutta ilmoitin että whatsapp en enää käytä ja jos haluaa viestitellä muutoin kuin tekstiviestillä niin signalist alöydyn ja kaikki vähääkään tärkeämmät henkilöt sitten viimeistään myöhemmin siirtyi käyttämään signalia vähintään whatsappin rinnalla. Empä olisi signal käyttöä lopettanut vaikka eivät olisi siirtyneetkään koska olen periaatteen mies.
Jos haluat custom ROMeja lähteä asentamaan, niin Galaxy A3 2016 malliin saisi ainakin Andoid 9 version ja Xperia Z1 Compactiin Android 10 version. Toki jos löytyy toimiva sovellus muuten, niin sama mennä sillä.
Tuota...jos tässä haetaan "luotettavaa" sovellusta pikaviestintään ja esim. Whatsappin käyttöä ei haluta, mitä järkeä on koko touhussa, jos puhelin on niin vanha että sen Android on täynnä haavoittuvuuksia? Esimerkiksi Stagefright-haavoittuvuus, jonka avulla puhelimen voi ottaa haltuun ilman että käyttäjä tietää siitä mitään oli ongelma ainakin vielä 2016. Vasta Android 10:ssä kai korjattu kunnolla. Ja liuta muita ongelmia. Eli mitä järkeä on luotettavassa sovelluksessa, jos sitä ajaa reikäisen käyttöjärjestelmän päällä?
Taitaa johtua juurikin Samsungin liian aggressiivisesta virranhallinnasta. Dontkillmyapp sivuston ohjeilla voi yrittää korjata ongelmaa.
Sovelluksen tietoturvalla ei ole paljoakaan merkitystä kun OS on reikiä täynnä. Jos pelkäät jonkun lukevan viestejä Whatsappissa, tuollaisessa reikäisessä luurissa voi se sama joku tai joku muu lukea kaiken muunkin, Signalista huolimatta. Voi myös käyttää mikrofonia ja kameraa yms yms. En nyt todellakaan väitä, että sellainen olisi tavallista, mutta jos nimenomaan tieturvaa haetaanl, onhan se aivan älytöntä rakentaa vanhentuneen puhelimen varaan.
Jos mikään muu ei auta ja on aikaa ja halua säätää niin adb:llä voisi kokeilla disabloida dozen. Eli asentaa SDK Platform Toolsin tietokoneelle, puhelimesta Sovelluskehittäjän asetukset päälle ja sieltä USB-vianetsintä päälle, puhelin kaapelilla kiinni tietokoneeseen ja adb:llä komento adb devices ja sen jälkeen komento adb shell dumpsys deviceidle disable.
