Signal ist nicht “nicht kommerziell”. Das sieht man alleine schon anderen Ausrichtung mit zentralem Server und der Abschnüffelung der Telefonnummern und Adressbücher der User.
XMPP mit eigenem Server oder direkt serverless (XEP-0174), ausschließlich mit OTR oder OMEMO. Hat vor allem den Vorteil, man muss niemandem seine Telefonnummer geben, sich nicht bei einem Zentralen Dienst registrieren, und man kann zu 100% selbst bestimmen, welche Daten wohin gelangen und wie sie genutzt werden.
Außerdem kann man jeden beliebigen Client auf jedem beliebigen Betriebssystem benutzen.
Ja und das Beste daran ist, dass man endlich seine Ruhe hst, weil das im Familien- und (nicht technisch versierten) Freundeskreis erst recht niemand nutzt.
Mittlerweile gibt es ganz brauchbare Brücken, …und ein Teil meiner Familie nutzt (Dank meines drängends) meinen xmpp Server😁
Brücken heißen aber immer auch dass du effektiv die Sicherheit der weniger sicheren der beiden verbundenen Technologien hast.
und der Abschnüffelung der Telefonnummern und Adressbücher der User.
Dazu der Artikel:
Ein bereits im Dezember 2019 veröffentlichter Signal-Blogpost, der im Erklärartikel und im Blogpost zur PIN verlinkt ist, erläutert die Funktionsweise der von Signal entwickelten »Secure Value Recovery«-Technologie: Aus der PIN leitet die App auf dem jeweiligen Smartphone zuerst einen komplexeren Schlüssel ab, mit Hilfe einer Ableitungsfunktion namens Argon2. Daraus wiederum wird unter anderem ein »Master Key« erzeugt. Dieser dient als Ausgangspunkt für Unterschlüssel, mit denen Daten in der Signal-Cloud verschlüsselt werden, etwa das Telefonbuch.
Mit Hilfe des aus der PIN abgeleiteten Unterschlüssels und einer Zufallszahl erzeugt die App schließlich noch ein weiteres, hoch komplexes Passwort – und verschlüsselt damit das Telefonbuch. Das verschlüsselte Telefonbuch, die Zufallszahl sowie die PIN, in mathematisch umgewandelter (»gehashter«) Form, sendet die App an den Signal-Server.
Dort werden die übermittelten Informationen in einem zweiten Schritt zusätzlich per Hardwareverschlüsselung geschützt. Das Signal-Projekt speichert sie auf den eigenen Datenbanken in einem abgeschirmten Bereich – einer auf Intel-Chips verfügbaren SGX-Enklave (»Intel Software Guard Extensions«). Auf diese Enklave kann selbst das Signal-Projekt nicht frei zugreifen.
Stattdessen sind nur Einzelanfragen möglich: Melden Nutzerinnen oder Nutzer eine Nummer auf einem neuen Gerät an und übermitteln korrekt die dazu gehörige PIN (beziehungsweise ein Hash der PIN), erhalten sie als Antwort das verschlüsselte Telefonbuch sowie die Zufallszahl. Aus dieser und der PIN vermag die App auf dem Smartphone das Passwort zu berechnen. Damit lässt sich das Telefonbuch entschlüsseln – und somit nach einem Gerätewechsel wiederherstellen.
Zumindest die Adressbücher liegen wohl nur verschlüsselt bei der Signal-Foundation.
Gibt’s für XMPP eigentlich noch vernünftige public Server? https://www.jabber.org/ hat sich zu Jahresanfang zerlegt und war wegen zuviel Spam auch davor nicht mehr benutzbar.
