新闻快讯
< >

知名加密通讯应用Signal计划强化隐私保护

E安全10月2日讯 全球知名加密通讯应用程序Signal计划使用英特尔Skylake芯片内置的DRM(数字版权管理)Secure Enclave隐藏用户的连接方式。

知名加密通讯应用Signal计划强化隐私保护-E安全

Signal由此解决了追踪端对端加密通讯的隐私薄弱环节。这种弱点表现在:当用户希望了解其它联系人是否也使用相同的服务时,可以使用常规的通讯应用程序咨询中心“社交图谱”查看使用相同服务的联系人。而Signal自身的加密功能会阻止通过这种方式读取用户的消息,因此能结束暴露联系人的更多信息。

Signal加密工作原理

Signal不使用自己的集中化社交图谱,而是通过用户的通讯录解决问题。

要了解在使用Signal的联系人,Singal首先会将号码变成删减版的SHA256哈希,与中心哈希目录匹配对比(与密码验证方式类似)。试图拦截流量或入侵该目录的任何人只会看到哈希码,而非电话号码。

黑客要利用被窃哈希码的唯一方式是猜测电话号码。黑客需猜测号码,通过哈希算法运行号码,并查看是否与被窃哈希匹配。若不匹配,就得继续尝试,直到匹配成功。

知名加密通讯应用Signal计划强化隐私保护-E安全

Signal开发商OpenWhisperSystems表示,这种做法存在一个问题,因为10位数的预映射空间(Pre-image Space)较小,转化这些哈希基本上就算是一种直接的字典式攻击,换句话讲,计算机可能会快速猜测出电话号码,打破哈希的安全性。

字典式攻击:

指在破解密码或密钥时,逐一偿试用户自定义词典中的单词或短语的攻击方式。

Signal不会保存用户执行的查询记录,这让用户表示放心。

如果用户信任Signal服务运行的是官方开源服务器源代码,用户就会认为就算遭遇黑客入侵,Signal也不会持久获取用户的“社交图谱”。但如果实际上运行的并非Signal开源服务器源代码,毕竟黑客可能会修改服务来记录用户的发现联系人(Contact Discovery)请求。即使Signal毫无执行这类操作的动机,但入侵Signal的黑客可能会修改该代码来记录用户的寻找联系人请求,亦或一些政府机构可能会要求Signal修改服务,以记录发现联系人的请求。

Open Whisper Systems的创始人Moxie Marlinspike(莫西·马琳斯巴克)将英特尔芯片内置的“软件防护扩展”(Software Guard Extensions,SGX)功能视为DRM的Secure Enclave。

英特尔现代芯片支持“软件防护扩展”(Software Guard Extensions,SGX)功能。SGX允许应用程序提供与主机操作系统和内核隔离的Secure Enclave,其与ARM的信任区技术类似。SGX区域还支持远程认证功能,即为在远程运行的代码提供加密保证。

由于Secure Enclave会验证远程运行的软件,以及远程服务器和操作系统看不到Enclave的内容,这几乎相当于客户端设备在本地执行请求。

因此Signal加密通讯应用能够进行更好的端对端佳迷通讯及隐私保护。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。