Signal

Tausta (2010-2013)

Signal on salattuja puheluita tarjonneen RedPhone -nimisen sovelluksen ja salattuja tekstiviestejä tarjonneen TextSecure -nimisen sovelluksen seuraaja. Näiden beta-versiot julkaisi ensimmäisen kerran toukokuussa 2010 Whisper Systems -niminen startup-yritys, jonka perustivat tietoturva-asiantuntija Moxie Marlinspike ja robotiikan asiantuntija Stuart Anderson. Whisper Systems tuotti myös palomuurin ja muita salaamiseen tarkoitettuja työkaluja. Nämä olivat yrityksille suunnattuja omisteisia ohjelmia ja olivat tarjolla vain Android käyttöjärjestelmälle.

Open Whisper Systems (2013 alkaen)

Marraskuussa 2015 TextSecure ja RedPhone -sovellukset yhdistettiin ja lopputulos nimettiin Signaliksi. Kuukautta myöhemmin, Open Whisper Systems julkaisi Chrome-sovelluksen, jonka voi linkittää Signalin mobiilisovellukseen. Sovellus on ollut betassa 7. huhtikuuta 2016 lähtien. 26. syyskuuta 2016 lähtien sen on voinut linkittää sekä Android-versioon että iPhone-versioon.

Ominaisuudet

Signalin käyttäjät voivat tehdä toisilleen ääni- ja videopuheluita ja lähettää toisilleen pikaviestejä Internet-yhteyden kautta. Yksityis- ja ryhmäviesteihin voi liittää kuva- ja videotiedostoja.
Kaikki puhelut ja viestit muille Signalin käyttäjille ovat automaattisesti salattuja päästä päähän. Salauksen purkuun tarvittavat avaimet luodaan ja tallennetaan ainoastaan päätepisteissä (eli käyttäjien laitteilla, ei palvelimilla). Signaliin on myös sisäänrakennettu mekanismi, jolla sen käyttäjät voivat varmistaa, ettei mies välissä -hyökkäystä ole tapahtunut. Todennuksen voi tehdä vertaamalla avainten sormenjälkiä (tai skannaamalla QR-koodit). Sovellus käyttää TOFU-mekanismia ilmoittaakseen käyttäjälle, jos yhteyshenkilön sormenjälki on muuttunut.
Viesteihin voi myös säätää ajoittimen, jonka jälkeen sovellus poistaa viestin sekä lähettäjän että vastaanottajien laitteilta.

Rajoitukset

Signal vaatii, että käyttäjällä on puhelinnumero todennusta varten. Numeron ei tarvitse olla sama kuin laitteen SIM-korttilla, se voi olla myös VoIP-numero tai lankapuhelinnumero kunhan käyttäjä voi vastaanottaa vahvistuskoodin ja hänellä on erillinen laite ohjelmiston asennusta varten. Numeron voi rekisteröidä vain yhteen laitteeseen kerralla.
Signal vaatii myös, että ensisijainen laite on Android- tai iOS-pohjainen älypuhelin, jossa on Internet-yhteys. Chrome-sovellus, jonka voi linkittää Signaliin on kehitteillä. Sovellus on ollut betassa 7. huhtikuuta 2016 lähtien.

Android-rajoituksia

Signalin virallinen Android-asiakasohjelma tarvitsi Google Playn 2014 ja 2017 välisenä aikana, koska sovellus oli riippuvainen Googlen GCM-kehyksestä. Maaliskuusta 2015 lähtien, viestien toimituksen on hoitanut Open Whisper Systems itse ja asiakasohjelma on käyttänyt GCM-kehystä ainoastaan sovelluksen herätykseen. Helmikuussa 2017, Open Whisper Systems lisäsi Android-sovellukseen WebSocket-tuen. Tämä mahdollisti sen käytön puhelimissa, joissa ei ole Google Playta.

Salaus

Kommunikaatioiden päästä päähän -salaukseen sovellus käyttää Signal Protocol -nimistä salausprotokollaa. Protokolla yhdistää Double Ratchet Algorithm -nimisen algoritmin, esiavaimet (engl. prekeys) ja kolminkertaisen Diffie–Hellman avaimenvaihdon ja käyttää Curve25519, AES-256 ja HMAC-SHA256 -salausmenetelmiä.
Protokolla on myös integroitu WhatsAppiin, Facebook Messengeriin ja Google Alloon, salaten "yli miljardin ihmisen viestinnät maailman ympäri".