<![CDATA[Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist?]]>Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist?

Signal und sein auf Telefonnummern basierendes Identitätsmodell oder doch die User?

]]>https://board.circlewithadot.net/topic/d3b01ad2-dd9a-4aab-bf8f-3d50172bf248/haben-wir-uns-schon-festgelegt-wer-am-erfolg-der-phishingkampagne-gegen-@signalapp-schuld-istRSS for NodeFri, 15 May 2026 08:25:30 GMTSat, 25 Apr 2026 15:50:56 GMT60<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 17:44:50 GMT]]>@linuzifer Handynummern von Top Politikern dürfte der Kreml haben. Es ist also vergleichsweise einfach das gewünschte Opfer zu targetten.

Dass man bei Signal seit 2024 nicht mehr mit Gott und der Welt, sondern nur noch mit AWS und allen angeschlossenen Diensten seine Handynummer teilen muss; da kann man schon mal klatschen. 👏

]]>https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466587431488009https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466587431488009Sat, 25 Apr 2026 17:44:50 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 17:42:17 GMT]]>@linuzifer Linus, das ist nicht das Problem.

Die Frage ist nicht, wie Du auf Signal Deine Identität gegenüber Dritten definierst, sondern wie Signal Dich identifiziert.

Für Signal bist Du eine Rufnummer, die SMS empfangen kann. Wenn ein Hacker jetzt an die SMS TAN (und ggf. Aktivierungscode) kommt, z.B. weil die User ein bisschen dumm sind, dann ist Game Over.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466577415693771https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466577415693771Sat, 25 Apr 2026 17:42:17 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 17:34:28 GMT]]>@Rainer_Rehak @signalapp Kryptographie ist nur so gut, wie das Key Agreement. Handynummer austauschen ist kein Key Agreement, sondern X-Keyscore strong Identifier. NSA dankt. 🤝

Vor dem Hintergrund: Was spricht dagegen, einen Out-of-Band Channel für den Austausch einer öffentlichen, kryptographischen Identität zu nutzen? Also z.B. QR Code unter die Nase halten oder URL über established Channel austauschen.

Simplex macht das IMHO gut.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466546702216577https://board.circlewithadot.net/post/https://chaos.social/users/fluepke/statuses/116466546702216577Sat, 25 Apr 2026 17:34:28 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 17:19:51 GMT]]>@fluepke mit Blackberry wäre das nicht passiert!

]]>https://board.circlewithadot.net/post/https://defcon.social/users/recumbenttravel/statuses/116466489220868125https://board.circlewithadot.net/post/https://defcon.social/users/recumbenttravel/statuses/116466489220868125Sat, 25 Apr 2026 17:19:51 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:50:05 GMT]]>@mrtoto @fluepke
Pfuhhh....

]]>https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466372153517039https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466372153517039Sat, 25 Apr 2026 16:50:05 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:46:58 GMT]]>@koehntopp @fluepke Ja so ist es. Sie könnten das natürlich freiwillig mitmachen und manche machen es vielleicht aber sehr viele nicht. Hat halt alles 2 Seiten. Man will vielleicht auch nicht das der Admin das Device des MdB kontrollieren kann.

]]>https://board.circlewithadot.net/post/https://social.mrtoto.net/users/mrtoto/statuses/116466359890844301https://board.circlewithadot.net/post/https://social.mrtoto.net/users/mrtoto/statuses/116466359890844301Sat, 25 Apr 2026 16:46:58 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:32:08 GMT]]>@mrtoto @fluepke
Das heisst, die können vertrauliche Arbeit über beliebige Software machen???

]]>https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466301539229232https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466301539229232Sat, 25 Apr 2026 16:32:08 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:28:35 GMT]]>@koehntopp @fluepke @signalapp Aus Erfahrung kann ich sagen: MDM ist bei MdBs nicht. Wegen der verfassungsmäßig garantierten Unabhängigkeit der Abgeordneten (Bei z.B. Fraktionsmitarbeitern sieht das anders aus).

]]>https://board.circlewithadot.net/post/https://social.mrtoto.net/users/mrtoto/statuses/116466287614759742https://board.circlewithadot.net/post/https://social.mrtoto.net/users/mrtoto/statuses/116466287614759742Sat, 25 Apr 2026 16:28:35 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:25:48 GMT]]>@fluepke @signalapp
Warum erlaubt man den höchsten Ämtern des Staates die Nutzung einer Software, in der so etwas möglich ist?

Ich würde erwarten, dass man da per MDM konfigurierte Software erhält, die sich für Aussenstehende nicht autorisieren lässt.

(Das ist explizit keine Kritik an Signal)

]]>https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466276645909749https://board.circlewithadot.net/post/https://infosec.exchange/users/koehntopp/statuses/116466276645909749Sat, 25 Apr 2026 16:25:48 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:17:00 GMT]]>@fluepke https://signal.org/blog/phone-number-privacy-usernames/ (20 Feb 2024)

]]>https://board.circlewithadot.net/post/https://23.social/users/linuzifer/statuses/116466242044948444https://board.circlewithadot.net/post/https://23.social/users/linuzifer/statuses/116466242044948444Sat, 25 Apr 2026 16:17:00 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:16:10 GMT]]>@fluepke @signalapp Was schlägst Du stattdessen für Parlamentarier:innen vor? PGP-Keys vergleichen klappt mEn leider nicht so gut, per nPA wäre jetzt nicht mein Ansatz, SSI auch nicht, QR-Codes scannen fürs Handle-Tauschen scheint mir unrealistisch usw.

Ich mein' die Frage schon Ernst...

]]>https://board.circlewithadot.net/post/https://mastodon.bits-und-baeume.org/users/Rainer_Rehak/statuses/116466238754797068https://board.circlewithadot.net/post/https://mastodon.bits-und-baeume.org/users/Rainer_Rehak/statuses/116466238754797068Sat, 25 Apr 2026 16:16:10 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:15:28 GMT]]>@fluepke @signalapp und als jemand der selber schon erfolgreich gephished wurde: Auf "Hallo hier ist der Signal Support, schicken Sie uns doch mal diese Nummer, die Sie nicht aus der Hand geben sollten" einzugehen, obwohl Signal seine User regelmäßig vor *genau diesem Scheme* warnt, lässt für mich schon Kritik an der handelten Person zu. Gäbe es keine Nummernpflicht wie bei Threema, jede Wette Politiker*innen würden sie trotzdem angeben, weil einfach viel bequemer.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/danimo/statuses/116466236042194943https://board.circlewithadot.net/post/https://chaos.social/users/danimo/statuses/116466236042194943Sat, 25 Apr 2026 16:15:28 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 16:10:01 GMT]]>@fluepke @signalapp oder - hear me out - hat das gar nichts mit einem konkreten Messenger zu tun sondern mit dem Problem, dass Politiker mit Ämtern fließend zwischen "Privat", "Mandat" und "Parteifunktion" hin und herwechseln, um Compliance und Dokumentationspflichten auszuweichen?

]]>https://board.circlewithadot.net/post/https://chaos.social/users/danimo/statuses/116466214604723321https://board.circlewithadot.net/post/https://chaos.social/users/danimo/statuses/116466214604723321Sat, 25 Apr 2026 16:10:01 GMT<![CDATA[Reply to Haben wir uns schon festgelegt, wer am Erfolg der Phishingkampagne gegen @signalapp schuld ist? on Sat, 25 Apr 2026 15:57:34 GMT]]>@fluepke Wir hätten je nach Inhalt der Kanäle noch die untätigen Korruptionsbehörden (wenn nicht-dienstliche und damit nicht an Aufzeichnungspflichten gebundene Kommunikationskanäle für politische Entscheidungen genutzt werden) oder die IT-Abteilungen, die Signal für Dienstkommunikation freigegeben haben.
Aber das wär nicht so lustig.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/chrysn/statuses/116466165632281182https://board.circlewithadot.net/post/https://chaos.social/users/chrysn/statuses/116466165632281182Sat, 25 Apr 2026 15:57:34 GMT