Wie viel Open Source steckt im Server von Signal?

Zitat von schuschu

Signal Server is effectively closed source software right now

https://news.ycombinator.com/item?id=26345937

Und weil der andere Thread Berichte und nicht Diskussionen über andere Messenger heisst, mache ich hier mal eine neue Diskussion auf.

Zitat von tbranchon

Auf der einen Seite versteh ich Dich, auf der anderen Seite aber auch nicht.

Ich schaue mir das Ergebnis an. Im Ergebnis weiß man weder bei Threema noch bei Signal, was genau auf dem Server läuft.

Im Ergebnis kann ich in beiden Fällen den Client aber auf Opensource Basis selbst bauen und sicherstellen, dass auf meinem Gerät die versprochene Version läuft - wenn ich das will.

Das heißt, wenn man das Bauchgefühl abzieht und rein auf die Fakten schaut, dann nehmen sich beide Lösungen nichts. Das gilt aber mMn für alle Lösungen die über einen zentralen Server laufen.

Alternative müsste man sich peer-to-peer Lösungen anschauen, oder Lösungen wo man seinen eigenen Server betreiben kann, Beispiel Matrix.

Wie oft überprüfst du, ob die richtige Version veröffentlicht wurde? Bei jedem Beta-Release oder bei jedem Release?

Wie oft liest du dir den gesamten Change durch und überprüfst ihn auf Fehler?

Die Kommunikation zählt ebenfalls zu den Fakten und Signal kommuniziert im App Store (https://apps.apple.com/us/app/signal-…ger/id874139669), dass sie dank Ihrem Server und Intel SGX deine Telefonnummer und deine Idenität bei Signal trennen können. Threema, Wire, Telegram und co behaupten dies alle nicht.

Sollte dies nun tatsächlich so funktionieren wie Signal behauptet, dann müsste der Code des Servers schon auch komplett öffentlich sein, sonst bringt die Verifizierung mit SGX gar nichts. (Ob sie mit all den Bugs in SGX überhaupt etwas bringt ignorieren wir hier mal.)

Du kannst somit das von Signal behauptete Angriffsmodell nicht nachprüfen während dies für Threema problemlos anhand des veröffentlichten Codes geht.

Der Server von Wire ist zum Beispiel vollständig Open Source, ist aktuell und dokumentiert: https://github.com/wireapp/wire-server

Zitat von tbranchon

Ersteres ist dann wohl DAS Argument schlechthin in der Opensource Diskussion. Wahrscheinlich kann man sagen, dass von der breiten Nutzermasse kaum einer den Code im Detail lesen wird.

Naja, du behauptest ja gerade, dass du dir nur das Ergebnis anschaust und nicht auf Berichte von anderen Experten vertraust. Das geht ja gerade nicht, wenn viele den Server von Signal als Open Source missverstehen. Selbst Kuketz (den einige im Forum mögen) schreibt:

Zitat von https://www.kuketz-blog.de/signal-hohe-sicherheit-und-zero-knowledge-prinzip-messenger-teil9/

Grundsätzlich wäre es möglich einen eigenen Signal-Server zu hosten und damit eine förderale Serverstruktur aufzubauen – der Quellcode von Signal (Client & Server) ist für jeden unter GitHub einsehbar

Und das stimmt ja offenbar nicht, es ist nur eine veraltete und undokumentierte Version des Codes verfügbar.

Zitat von tbranchon

Dann könnte man auch die Frage in den Raum stellen, warum Threema den Code überhaupt veröffentlicht hat

Threema hat eine Anleitung wie der Code zu builden ist, veröffentlicht jedes Update zeitnah auf Github und hat zumindest unter Android reproducible builds.

Der Server von Signal hat nichts davon. (Eine Anleitung für Reproducible Builds für die Clients sehe ich übrigens auch nirgendwo.)

Zitat von tbranchon

mit dem Punkt, dass doch eh keiner den Code liest, kannst du im Grunde jede Diskussion erschlagen.

Ich wollte nur wissen wie oft du dir den Code anschaust.

Zitat von tbranchon

Zum zweiten Punkt eine Frage: von welchem Code sprichst Du bei Threema, vom Servercode oder vom Clientcode?

Threema hat den Code für den Server nicht veröffentlicht, also nur von den Clients. Das wird von Threema zumindest im App Store aber auch sauber kommuniziert. Signal auf der anderen Seite verspricht zusätzlich zum Client noch Eigenschaften die nur mithilfe des Servers gewährleistet werden können.

Zitat von tbranchon

Das ist grundsätzlich zwar interessant - aber wie willst du kontrollieren, ob diese Version auch wirklich im Betrieb ist?

Das geht nicht, will ich auch gar nicht und das Angriffsmodell von Wire geht auch nicht davon aus, dass ich das können muss.