Es ist einer der großen Nachteile von Messengern, die Telefonnummern als Identität verwenden: Um festzustellen, welche der eigenen Freunde auch auf diesem Weg erreichbar ist, braucht die App Zugriff auf das Adressbuch – und damit unweigerlich auf jede Menge sensibler Daten. Doch nun arbeitet man beim freien Krypto-Messenger Signal an einem neuen System, das eben dieses Privacy-Problem lösen soll.

Privatsphäre

Mit der "Private Contact Discovery" soll sichergestellt werden, dass der Serverbetreiber keinerlei Einblick in die Kontaktdaten bekommt. Kernstück sind dabei Änderungen am Server: Dank der Verwendung von Technologien wie SGX und ORAM soll der Kontaktabgleich so abgesichert werden, dass keinerlei andere Prozesse am Server Einblick in die Vorgänge haben – und das gilt auch für den Administrator. Damit können selbst bei einer polizeilichen Anordnung keinerlei Daten weitergegeben werden, da eben die Betreiber gar keine Zugriffsmöglichkeit haben.

Bislang versucht Signal die Privatsphäre seiner User dadurch zu schützen, indem statt der eigentlichen Telefonnummer Hashes davon übertragen werden. Den Entwicklern ist aber natürlich bewusst, dass das keinen optimaler Schutz bildet, immerhin könnten Dritte mit Zugriff auf dieses Hashes mit ausreichend Ressourcen theoretisch eine Rückführung auf die Telefonnummern erzielen. Die Private Contact Discovery entfernt diesen potentiellen Angriffsvektor nun.

Nebeneffekt

Doch der neue Ansatz von Signal könnte nebenbei auch noch ein anderes Problem lösen: Immerhin ist die Übertragung des Adressbuchs an die Messenger-Betreiber gerade in der EU aus datenschutzrechtlichen Gründen äußerst umstritten. Die Private Contact Discovery könnte nun auch für andere Messenger-Anbieter einen Ausweg bieten, mit dem die rechtlichen Probleme umschifft werden, ohne die Funktionalität einzuschränken. Freilich würde man damit auch Zugriff auf viele wertvolle Daten verlieren, insofern muss sich erst zeigen, welche Betreiber überhaupt zu so einem Schritt bereit wären.

Zeitablauf

Die Signal-Entwickler betonen, dass sich all dies derzeit erst in der Aufbauphase befindet. Den zugehörigen Source Code hat man aber schon einmal unter der freien LIzenz AGPL veröffentlicht. Für Signal selbst hofft man diese Änderung auf den eigenen Servern in den kommenden Monaten durchzuführen. (apo, 1.10.2017)