Annonse
sikkerhet
Nei, Cellebrite knekket ikke Signal-krypteringen
Signal-tjenesten er like sikker som tidligere.
Like før jul skrev Digi.no en sak om at israelske Cellebrite hadde publisert et blogginnlegg hvor det ble omtalt at selskapet hadde funnet ut hvordan de skulle lese den krypterte databasen som meldingsappen Signal benytter lokalt på brukerenhetene. Riktignok kun på Android-baserte enheter som man har fysisk tilgang til.
Da Digi.no skrev saken, var det opprinnelige blogginnlegget erstattet med en mye enklere versjon. I vår sak spekulerte vi på om denne endringen kunne skyldes at Cellebrite opprinnelig hadde gått ut med for mye informasjon. Det var nok ikke tilfellet.
Ble kritisert
Digi.no mottok kritikk fra enkelte lesere fordi saken kanskje ikke tydelig nok gjorde det klart at Cellebrite ikke hadde greid å dekryptere meldingene under transport eller knekke krypteringsteknologiene som var blitt brukt. Dette til tross for følgende avsnitt i saken:
Cellebrite har ikke greid (eller forsøkt) å knekke krypteringen, men selskapet har greid å finne nøkkelen som databasen er kryptert med, i tillegg til metodene for hvordan denne kan brukes til å dekryptere databasen.
Det dreide seg altså kun om den lokale databasen lagret på brukerens enhet.
Digi.no fikk også kritikk for en vinkling i sosiale medier hvor vi stilte et spørsmål om brukere som Snowden og regimekritikere nå burde se seg om etter en ny kommunikasjonsapp. Dette spørsmålet kunne ha vært tydeligere besvart i saken.
Et viktig detalj som vi ikke hadde fått med oss i den opprinnelige saken, var at metoden Cellebrite omtalte, krever at enheten er ulåst. I alle fall på enheter hvor brukeren ikke har aktivert Signal-appens fingeravtrykksbaserte innloggingsbeskyttelse, vil det være langt enklere å bare åpne appen for å lese meldingene, enn å benytte metoden til Cellebrite.
«Pinlig»
Annonse
Lille julaften kom Signal-gründer Moxie Marlinspike med et blogginnlegg som en reaksjon på BBCs nyere sak om samme tema, hvor det i tittelen opplyses at Cellebrite hevder å ha knekket krypteringen til appen. Det var ingenting i blogginnlegget til Cellebrite – verken den opprinnelige eller nåværende – som antydet dette.
Marlinspike legger ikke skjul på at han mener at i alle fall den opprinnelige utgaven av blogginnlegget til Cellebrite var pinlig, og at dette nok var årsaken til at det raskt ble endret.
Blogginnlegget og de ulike presseoppslagene ble diskutert i stort omfang i desember, blant annet på Twitter. Flere syntes det var betryggende å høre at krypteringen ikke var blitt knekket, men andre stiller spørsmål ved at sikkerheten til Signal-appen og app-dataene lokalt avhenger av sikkerheten til operativsystemet. Mange benytter enheter med Android-versjoner som ikke lenger blir oppdatert og som har kjente sårbarheter.
