In de Signal-app staat naast Back-ups een klein “Bèta”-label. Dit is bewust gedaan omdat er nog uitzonderlijke gevallen zijn die verder getest moeten worden. Ook staan er nog extra functies op de planning, zoals geoptimaliseerde opslag. Het kan daarom nog maanden duren voordat het bèta-label verdwijnt. Ondanks het label werkt de functie al goed.

https://signalapp.nl/signal-app-nieuws/signal-back-ups-weer-een-stapje-dichterbij-voor-android/

Waarom moet die backup altijd naar de servers van de app eigenaar? Waarom niet een optie om zelf een pad in te voeren die naar een eigen server wijst?

Als ik het verhaal zo lees is dit nu geen echte backup. De sleutel blijft op je toestel staan en met 64 tekens is hij wel erg lang om even over te schrijven. Dus als je telefoon weg is, ben je je backup ook kwijt. Maar volgens mij is het kwijtraken (of stuk gaan) van de telefoon de enige reden waarom je een backup wilt hebben.

Op dit form een klacht over een te lang wachtwoord? Bijzonder ... mijn wachtwoordmanager heeft geen probleem met die lengte gelukkig.

Signal kan al lokale backups maken, die kun je dan bijvoorbeeld met Nextcloud of Syncthing zelf uploaden. Het nieuwe backup format wordt later ook voor lokale backups beschikbaar, daarmee ook voor iOS, en het wordt incrementeel en crossplatform.

Overigens heb je voor de end-to-end encryptie van iCloud bijvoorbeeld ook zo'n lange sleutel. Als je je backups in de cloud echt veilig wilt houden moet je er iets voor over hebben.

Ik wis altijd alles onmiddelijk, ik heb geen zin om voortdurend oude koeien uit de sloot te kunnen drenken... Wel kan ik me voorstellen dat anderen van oude koeien houden.

Signal biedt nu al een versleutelde backup-mogelijkheid van je chat-dababase op je apparaat zelf. Deze backup bevat al je chats en kan gebruikt worden als er een nieuwe, schone, Signal instantie geïnitialiseerd moet worden.

Omdat de meest voorkomende usecase van het gebruik van een backup betekent dat je niet meer de beschikking hebt over je telefoon (stuk of kwijt) en de backup ook op die telefoon staat, verdient het aanbeveling om de backup naar een extern device te kopiëren.

Edit: spuit 11, ook al gemeld om 12:23 door Anoniem.

Signal had vele jaren de databases onversleuteld (!) op de telefoon opgeslagen. De Signal Foundation redeneerde "als je toestel lek is heb je toch al een ander/groter probleem" , dit was best wel amateuristisch.

Nog een minpuntje:

Signal is eenvoudig af te luisteren door de VS inlichtingendiensten.

Hoe ?

Nou, via de Notificaties op Android, die lopen namelijk zodra je online bent via Google servers -unencrypted. Dit gaat over AL jouw Notificaties op Android (genoeg bronnen over te vinden als weer iemand te lui is en om "bewijs"gaat vragen- dit is oude koek en al jaren bekend) . Je moet niet voor niets bij elke app expliciet Toestemming geven om die App Notificaties te laten gebruiken.

Hoe zit dit specifiek met Signal?

Net zoals vroeger, een default=insecure instellling. Je hebt (verstopt in een submenu) namelijk 3 keuzes:

1) Niets melden bij inkomend bericht
2) Naam en content melden (inclusief afbeeldingen) op notificatie screen
3) Alleen de naam ("u heeft een bericht van X")

Uiteraard is alleen de 3de optie veilig voor uw privacy.

En het erge is, om uw privacy te waarborgen moeten al uw contacten die setting dus die instelling op hun toestel instellen.

Ondoenlijk.

Je hebt dus wel E2EE met Signal, dus encryptie , maar dat betreft alleen het TCP verkeer/signal protocol wat daarover gaat.
Je Signal app stuurt de chats+content van jouw contact (inkomend) gewoon unencrypted naar de Google Notification services...... en jouw contact stuurt jouw berichten weer naar hun Google Notification service ......

Dus... ze hoeven Signal niet te kraken, want ze konden bij Signal en alle andere apps al meekijken..........

Signal Foundation is te lui om die setting op "Name only" te zetten, zodat Google wel weet met wie jij wanneer communiceert, maar niet de inhoud van de gesprekken krijgt.

Daarbij kan Signal een voorbeeld nemen aan Session, of Matrix , of aan SimpleX , die een eigen Notification service implementeren.

Conclusie: SIGNAL == ONVEILIG , het is verder cleane code maar alles is marketing , elkaar napraten hoe secure deze app is. Het is dus secure tegen cybercriminelen , niet -westerse landen of een boze ex. Als dit jouw threatlevel is.

Gebruiker liever Matrix of SimpleX wil je niet dat Uncle Sam meekijkt .

Einde relaas