Een bericht van de BBC waarin wordt gesteld dat forensisch softwarebedrijf Cellebrite claimt de encryptie van Signal te hebben gekraakt is onjuist, zo stelt Signal. Cellebrite biedt software waarmee opsporingsdiensten forensisch onderzoek kunnen doen. Ook heeft het bedrijf in het verleden oplossingen geboden voor het ontsleutelen van vergrendelde iPhones.

Twee weken geleden kwam Cellebrite met een blogposting waarin het laat weten dat de software die het aanbiedt in staat is om via Signal versleutelde berichten en bijlagen te ontsleutelen. Voorwaarde is wel dat politie fysieke toegang tot een ontgrendelde telefoon heeft. Signal biedt end-to-end versleutelde communicatie, wat inhoudt dat alleen de afzender en ontvanger de inhoud van berichten kunnen inzien.

Cellebrite claimde in de blogposting niet dat het deze encryptie had gekraakt, maar dat onderzoekers met fysieke toegang tot een ontgrendeld toestel via de Cellebrite-software de chatgeschiedenis van gebruikers kunnen zien. Daarop kwam de BBC met een artikel met de volgende titel: "Signal: Cellebrite claimed to have cracked chat app's encryption."

Volgens Moxie Marlinspike, de man achter Signal, is dit onjuiste berichtgeving. Cellebrite kan de encryptie van Signal niet kraken, maar claimt ook niet dit te kunnen. De BBC had Signal niet om een reactie gevraagd, waarop Marlinspike de berichtgeving nu via een eigen blogposting ontkracht. De Signal-ontwikkelaar noemt het artikel van Cellebrite gênant. De mogelijkheid die het bedrijf beschrijft is namelijk hetzelfde wanneer iemand met fysieke toegang tot het toestel de Signal-app zou openen om verstuurde berichten te bekijken, merkt Marlinspike op.

De blogposting werd door Cellebrite offline gehaald en in aangepaste vorm teruggeplaatst waarbij er niets meer werd vermeld over "de moeite" die het kostte om toegang tot de berichten op een ontgrendeld toestel te krijgen. Marlinspike vraagt zich af hoe het kan dat deze "gênante" blogposting door de BBC en andere media als "succes" werd gepubliceerd.

Het feit dat Cellebrite de blogposting offline haalde en aanpaste laat juist zien dat de technische mogelijkheden van de software helemaal niet zo geavanceerd zijn, gaat de Signal-ontwikkelaar verder. "Het is jammer dat dergelijke misleidende en onnauwkeurige verhalen zich zo snel verspreiden, met name omdat zoveel mensen alleen de kop lezen en zo weinigen de correctie zien", besluit Marlinspike.