A Signal lançou a Verificação Automática de Chaves, um novo recurso de segurança que oferece aos usuários uma forma adicional de garantir que suas conversas criptografadas não tenham sido interceptadas.
A novidade faz parte de um sistema de “transparência de chaves” que usa Cloudflare e Trail of Bits como auditores independentes de terceiros para verificar a integridade das conversas no Signal.
“Ela funciona por meio de um sistema de verificações realizadas por você, pelas conexões do seu Signal e por auditores de terceiros, que juntos oferecem o mesmo nível de garantia da verificação manual dos números de segurança. Diferentemente dos números de segurança, essas verificações são feitas de forma independente e não exigem um encontro presencial nem um canal secundário de comunicação”, afirmou Katherine Yen, engenheira de software da Signal.
“Esse sistema de verificações garante que a associação entre um número de telefone ou nome de usuário e sua chave pública de criptografia seja globalmente consistente e transparente para todos os participantes do ecossistema do Signal. Isso protege contra cenários em que uma chave é trocada sem o conhecimento do seu proprietário, por exemplo, se uma parte maliciosa comprometesse o Signal e vinculasse uma chave diferente ao número de telefone da sua conexão.”
Os usuários podem ativar a Verificação Automática de Chaves no Signal acessando Configurações > Privacidade > Avançado e ativando a opção correspondente.
Eles também podem verificar a chave pública dos usuários com quem conversam clicando em “Verificar automaticamente” na tela de verificação do número de segurança. Se a verificação for bem-sucedida, o aplicativo exibe um check verde e a mensagem “Criptografia verificada”.
Usuários que não quiserem depender do Signal ou de auditores independentes podem desativar o recurso de verificação automática de chaves nas configurações de privacidade e continuar usando a verificação manual dos números de segurança.
“A transparência de chaves oferece uma forma fácil de confirmar uma parte importante da segurança das mensagens, complementando nosso sistema já existente de números de segurança”, disse a Signal.
“Com o tempo, essa verificação, combinada com as que são realizadas continuamente pela sua conexão no Signal e por auditores de terceiros, garante a consistência da chave dessa conexão em todo o ecossistema do Signal.”
Em maio, o Signal também introduziu novas mensagens de alerta e confirmações dentro do aplicativo, criadas para dar aos usuários tempo de avaliar a segurança de uma solicitação externa como proteção adicional contra phishing e tentativas de engenharia social.
A medida foi motivada por ataques atribuídos a hackers patrocinados pelo Estado russo, que miraram usuários de alto perfil com alertas falsos de “Suporte do Signal” e abusaram do recurso de Dispositivos vinculados do aplicativo para obter acesso à conta, às conversas e às listas de contatos das vítimas, segundo o FBI, as autoridades alemãs e o governo holandês.
Um mês depois, o Departamento de Estado dos Estados Unidos anunciou recompensas de até US$ 10 milhões para quem puder ajudar a identificar ou localizar integrantes dos grupos de hackers UNC5792 e UNC4221, ligados a campanhas em larga escala de phishing contra usuários do Signal.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...