Privacy
- Wat niemand over je mag weten
Signal verbant waarschuwers
07-02-2021, 14:06 door Erik van Straten, 11 reacties
Vertaald uit https://www.bleepingcomputer.com/news/security/signal-ignores-proxy-censorship-vulnerability-bans-researchers/: omdat Signal geblokkeerd wordt door Iran, riepen de makers van Signal recentelijk gebruikers in vrijere landen op om een proxy te installeren (https://signal.org/blog/help-iran-reconnect/), zodat Iraniërs via die proxies toch van Signal gebruik zouden kunnen maken.
Uit het Bleepingcomputer artikel:
Kennelijk houden de makers van Signal niet van kritiek, want genoemde waarschuwers werden, naar verluidt, verbannen van Github en hun waarschuwingen verwijderd. Ook zou hen de toegang zijn ontzegd tot het Signal community forum, maar die blokkade zou ondertussen weer zijn opgeheven.
Uit het Bleepingcomputer artikel:
However, on analyzing the code in the repository, researchers DuckSoft and studentmain found various issues that can enable a censor, such as law enforcement agency, to easily detect Signal proxies and either trace back the traffic to the users or block the proxies altogether.
M.a.w. de Iraanse overheid kan zelf eenvoudig vastellen dat een computer in een "vrij land" specifiek als een Signal-proxy is geconfigureerd (en de toegang daarop blokkeren), maar ook welke Iraanse burgers met die proxies communiceren en dus van Signal gebruikmaken. Schijnveiligheid dus.Kennelijk houden de makers van Signal niet van kritiek, want genoemde waarschuwers werden, naar verluidt, verbannen van Github en hun waarschuwingen verwijderd. Ook zou hen de toegang zijn ontzegd tot het Signal community forum, maar die blokkade zou ondertussen weer zijn opgeheven.
Reacties (11)
Mijn indruk is dat de berichtgeving van Bleepingcomputer.com voorbarig is geweest. Het lijkt er op meer dat Twitter klokkenluider @DuckSoft en zijn vriend op GitHub met hun toetsenbord aanslagsnelheid en kopieer gedrag, als nieuwe gebruikers op het Discourse forum van Signal, het slachtoffer zijn geworden van een vorm van spam preventie.
Een van de moderatoren van het Signal forum spreekt dat vermoeden uit. Hoe dan ook, het probleem van hun tot zwijgen gebrachte accounts op het Signal forum werd twee dagen geleden al opgelost: @DuckSoft's account is sindsdien weer actief of het Signal forum, waarna pas op deze 7de februari dat artikel van Bleeping verscheen.
https://community.signalusers.org/t/tls-proxy-server-unable-to-survive-active-probing-from-internet-surveillance-systems/27282/9
Wat Signal zou kunnen overwegen, in plaats van die klungelige proxy's, zo melden andere Signal forum gebruikers, is het Signal verkeer door Tor te routeren met gebruikmaking van obfs4, of een andere vorm van steganografie, maar zelfs dat is voor de Tor gebruikers in Iran een hachelijke zaak, omdat de censuur in Iran geavanceerde DPI technieken inzet.
Een van de moderatoren van het Signal forum spreekt dat vermoeden uit. Hoe dan ook, het probleem van hun tot zwijgen gebrachte accounts op het Signal forum werd twee dagen geleden al opgelost: @DuckSoft's account is sindsdien weer actief of het Signal forum, waarna pas op deze 7de februari dat artikel van Bleeping verscheen.
DuckSoft k4yt3x 2d
So it’s not until now that they’ve unblocked my account. That’s very fast!
Thanks for speak out for me!
So it’s not until now that they’ve unblocked my account. That’s very fast!
Thanks for speak out for me!
https://community.signalusers.org/t/tls-proxy-server-unable-to-survive-active-probing-from-internet-surveillance-systems/27282/9
Wat Signal zou kunnen overwegen, in plaats van die klungelige proxy's, zo melden andere Signal forum gebruikers, is het Signal verkeer door Tor te routeren met gebruikmaking van obfs4, of een andere vorm van steganografie, maar zelfs dat is voor de Tor gebruikers in Iran een hachelijke zaak, omdat de censuur in Iran geavanceerde DPI technieken inzet.
Hoe professioneel ook om waarschuwingen op github en community van signal te plaatsen. :S
copy paste blogje bleeping computer heeft het artikel verwijderd. PIJNLIJK
https://www.bleepingcomputer.com/news/security/removal-notice-for-signal-article/
https://www.bleepingcomputer.com/news/security/removal-notice-for-signal-article/
08-02-2021, 12:00 door
Erik van Straten
Door Anoniem: copy paste blogje bleeping computer heeft het artikel verwijderd. PIJNLIJK
https://www.bleepingcomputer.com/news/security/removal-notice-for-signal-article/
Dank voor de alertheid, ik zie het.https://www.bleepingcomputer.com/news/security/removal-notice-for-signal-article/
Of de issues-sectie van de Github-repo van die proxy de juiste plaats is om op de risico's ervan te waarschuwen, kun je over discussiëren, maar lijkt mij terecht. De toon waarop kan natuurlijk wel onhandig zijn.
Neemt niet weg dat ik het eens ben met Anoniem van 07-02-2021 15:56:
Door Anoniem: Wat Signal zou kunnen overwegen, in plaats van die klungelige proxy's, zo melden andere Signal forum gebruikers, is het Signal verkeer door Tor te routeren met gebruikmaking van obfs4, of een andere vorm van steganografie, maar zelfs dat is voor de Tor gebruikers in Iran een hachelijke zaak, omdat de censuur in Iran geavanceerde DPI technieken inzet.
Feitelijk om deze gebruikers niet in gevaar te brengen en eventueel binnen Iran letterlijk aan de galg te helpen
(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Lieden als DuckSoft etc. zijn derhalve onverantwoordelijk bezig en doen meer kwaad dan goed.
Publiceer meer over ValdikSS/GoodbyeDPI en SymTCP tegen zulke verradelijke surveillance network stacks,
luntrus
(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Lieden als DuckSoft etc. zijn derhalve onverantwoordelijk bezig en doen meer kwaad dan goed.
Publiceer meer over ValdikSS/GoodbyeDPI en SymTCP tegen zulke verradelijke surveillance network stacks,
luntrus
Door Anoniem: Feitelijk om deze gebruikers niet in gevaar te brengen en eventueel binnen Iran letterlijk aan de galg te helpen
(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Het lijkt me dat je daar ook over kunt nadenken voor je zo dom bent als dienstaanbieder om diensten aan te bieden die als enige doel hebben het omzeilen van de autoriteiten. Sterker nog, daar anderen bij te proberen te werven.(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Ik vind dat eigenlijk behoorlijk dom, om niet te zeggen schandalig. Men begeeft zich op een politiek vlak, werkt mee aan het in gevaar brengen van mensen, daar zou een dienstaanbieder als Signal zich verre van moeten houden.
Door Anoniem:
Door Anoniem: Feitelijk om deze gebruikers niet in gevaar te brengen en eventueel binnen Iran letterlijk aan de galg te helpen
(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Het lijkt me dat je daar ook over kunt nadenken voor je zo dom bent als dienstaanbieder om diensten aan te bieden die als enige doel hebben het omzeilen van de autoriteiten.(als in de dagen van de boze Haman uit het boek Esther), zou je niet over dit soort zaken moeten corresponderen.
Ligt aan het regime en de mate van waarborgen van burgerrechten. Zou je ook moeilijk doen wanneer de autoriteiten van Islamitische Staat "worden omzeild" om daarmee de verhalen van tienduizenden gevallen van martelingen, verkrachtingen, massa-executies, sexslavinnen en kindsoldaten in de openbaarheid te brengen? Niet alles is zwart-wit, en het is makkelijk om te bepalen wat anderen wel of niet moeten doen als je in een veilig land woont waar vrijheid van zowat alles heerst.
Signal heeft in tegenstelling tot Telegram en WhatsApp geen eigen infrastructuur maar huurt bij AWS.
Het is dus makkelijk te blokkeren door een schurkenstaat maar ook makkelijk te verplaatsen voor de organisatie achter Signal.
JudoQus "Q"
Het is dus makkelijk te blokkeren door een schurkenstaat maar ook makkelijk te verplaatsen voor de organisatie achter Signal.
JudoQus "Q"
Zo zie je maar weer dat Big Tech eigenlijk heel klein is, in gedachtegoed bedoel ik.
Door Anoniem: Signal heeft in tegenstelling tot Telegram en WhatsApp geen eigen infrastructuur maar huurt bij AWS.
Het is dus makkelijk te blokkeren door een schurkenstaat maar ook makkelijk te verplaatsen voor de organisatie achter Signal.
JudoQus "Q"
Het is dus makkelijk te blokkeren door een schurkenstaat maar ook makkelijk te verplaatsen voor de organisatie achter Signal.
JudoQus "Q"
Waarmee je heel AWS moet blokkeren en daarmee het halve internet. Dus ja, de schurkenstaat kan ook de stekker uit hun backbone trekken.
Het is allemaal niet zo simpel.
AJ Kwak.
@ JudoQus "Q",
Dus onze "eigen" systemen, zijn daarbij onze grootste vijand. Ik denk hierbij aan de Cloud en andere Big Commerce partijen,
zoals natuurlijk Google, Amazon etc. waarover al onze data gejast worden. Top-down total surveillance.
Als je dan ook nog maar 1 enkele staatsprovider hebt, zoals vaak in MO-landen, ben je als onafhankelijke partij/persoon vrij snel "het bokkie". Ook als je niet weet wie bepaalde organisaties in feite aanstuurt. Daarbij tevens ook niet alle afleidende ruis vergeten, de zogeheten "mimi-Katz berichtgeving" van de MSM uit het rijk van "the not so bold and the not so free" (inmiddels grotendeels zo op te vatten - een enkeling uitgezonderd).
Joris Goedbloed
Dus onze "eigen" systemen, zijn daarbij onze grootste vijand. Ik denk hierbij aan de Cloud en andere Big Commerce partijen,
zoals natuurlijk Google, Amazon etc. waarover al onze data gejast worden. Top-down total surveillance.
Als je dan ook nog maar 1 enkele staatsprovider hebt, zoals vaak in MO-landen, ben je als onafhankelijke partij/persoon vrij snel "het bokkie". Ook als je niet weet wie bepaalde organisaties in feite aanstuurt. Daarbij tevens ook niet alle afleidende ruis vergeten, de zogeheten "mimi-Katz berichtgeving" van de MSM uit het rijk van "the not so bold and the not so free" (inmiddels grotendeels zo op te vatten - een enkeling uitgezonderd).
Joris Goedbloed
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
