Chatdienst Signal heeft last van storing - update

Chatdienst Signal had maandagochtend last van een storing. Hierdoor konden gebruikers geen berichten meer sturen of gesprekken voeren met elkaar. Het team achter de berichtendienst bevestigde de hinder en kon enkele uren na de storing de problemen grotendeels verhelpen.

Signal meldt op zijn Twitter-pagina dat het gaat op een hostingprobleem, maar geeft op het moment van schrijven geen verdere details. Gebruikers schreven op sociale media dat de problemen sinds 05u00 deze ochtend begonnen en meldingen op Downdetector bevestigden dat.

Ongeveer twee uur na de mededeling over de storing, lijken de meeste problemen verholpen te zijn. "De berichtendienst is voor 99 procent van de gebruikers online. We werken nog steeds aan die laatste procent", klinkt het op Twitter.

Reacties (73)

Dit is één van de redenen dat ik geen fan ben van gecentraliseerde services, en dus ook niet zal overstappen naar Signal. Je bent gewoon té afhankelijk van één partij. Ik gebruik dan liever Matrix; ja een homeserver kan neer zijn of geblokkeerd worden, maar mensen op andere servers kunnen gewoon door praten. En naderhand als de server weer online is wordt alles gesynced en kun je alles wat je gemist hebt gewoon terug lezen.

Het nadeel van matrix is wel dat je de metadata van je gespreken met veel meer services deelt. In signal is dit minimaal(zie bijvoorbeeld initiativen zoals de sealed sender functie)

Helemaal mee eens. Ik gebruik zelf vooral xmpp, ook vanwege de opzet met federated servers. Sowieso lijkt het me niet wenselijk zoiets belangrijks als dit te laten controleren door één partij, of dat nou Facebook is of Signal (al is die eerste natuurlijk helemaal een bedrijf dat heeft bewezen niet te vertrouwen te zijn).

Als Signal alternatief kan ik je dan Session aanraden. Dat is een anonieme chat app die van oorsprong vanaf signal is geforkt maar nu hun eigen protocol heeft. Het is de Tor onder de chat apps, geen centrale server, geen metadata die lekt en encryptie terwijl je niet tegelijk online hoeft te zijn.

Waarschijnlijk maken ze gebruik van AWS, aangezien die ook problemen heeft in de US: https://status.aws.amazon.com.

Er zijn meer diensten die problemen hebben/hadden deze ochtend.

Dit is inderdaaf bevestigd. Ze hebben een tijd (jaren) geleden bij GCP gezeten maar gebruiken nu al geruime tijd AWS.

Is dat niet een stap achteruit? Regelmatig hoor ik wel voorbij komen dat AWS offline is.

Elke IaaS aanbieder heeft wel eens wat downtime, daarin is AWS niet zozeer slechter of beter dan GCP of Azure.

Wat ook meespeelt:

• De kosten. Volgens mij was Signal (veel) goedkoper uit bij AWS. Zo uit mijn hoofd stond er in de jaarcijfers van 2018 dat het om een half miljoem ging. Let wel, dat was voor de explosieve groei van de laatste paar jaar.
• Een stukje techniek. Signal gebruikt bijvoorbeeld SGX. Dat was (in ieder geval destijds) een techniek die niet elke IaaS aanbieder beschikbaar stelde.
• En voorheen ook domain fronting. Volgens mij hebben GCP en AWS dit inmiddels verboden. Domain fronting is een techniek om censuur te kunnen tackelen, denk aan bijvoorbeeld China, Iran en vergelijkbare landen.

EDIT: In 2019 heeft Signal 887.069,- dollar naar AWS gebracht (link).

[Reactie gewijzigd door jurroen op 27 september 2021 14:45]

Niet is perfect, GCP (en azure, etc) heeft ook wel eens downtime.

Zie ook de 'officiële' (maar niet realtime) statuspagina: https://status.signal.org/

Ik denk dat de problemen gelinkt zijn aan de issues die spelen bij AWS : https://status.aws.amazon.com/

Je ziet het wel vaker dat als AWS uit ligt, er een groot deel van SaaS applicaties problemen heeft

Berichten lijken ook niet lekker gesynct te worden tussen devices.
Heb kennelijk wel een bericht "naar buiten" kunnen sturen, en de ontvanger heeft 'm kennelijk na paar minuten ontvangen, maar mijn andere device (PC/mobiel) ziet mijn verstuurde bericht niet.

Wel grappig om zo een beetje te kunnen "reverse filosoferen" (engineering mag je het niet noemen) over hoe het protocol waarschijnlijk werkt, nu het allemaal zo traag gaat.

De broncode van signal's protocol staat ook gewoon online, dus in principe kun je er best wel doorheen pluizen .

En als je geen zin hebt om het op basis van de broncode uit te pluizen:

Hier een uitgebreid rapport over de werking van het Signal protocol.
Geschreven door de medewerkers van Signal zelf.
https://eprint.iacr.org/2016/1013.pdf

Signal includes several uncommon security properties (such as “future secrecy” or
“post-compromise security”), enabled by a novel technique called ratcheting in which session keys are
updated with every message sent.

een iets leesbaarder artikel over hoe het protocol werkt kan je hier vinden:
https://signal.org/docs/specifications/doubleratchet/

[Reactie gewijzigd door triver op 27 september 2021 09:06]

Nice, thanks

Het meest populaire communicatie middel dat nog geen backdoor heeft kampt met een storing. Weet iemand hoe de server infra opgezet is bij Signal? Kan een identiteit dit met enige brute force plat (blijven) leggen?

Hoe weet jij dat er geen backdoor in zit? Heb je de source code volledig geanalyseerd? En heb je bewijzen van backdoors in andere systemen?

De code is in ieder geval open source voor iedereen om te lezen https://github.com/signalapp

Is de build deterministisch? Met andere woorden, kun je aan de hand van de sourcecode concluderen dat de binary die je op je telefoon hebt staan exact overeenkomst met die sourcecode ?

ja, ik kan alleen een wat ouder blog vinden, maar je snapt hopelijk het idee.

oh wacht, het staat gewoon op github zelf met uitleg hoe je het moet doen.

Dank je!

Kunnen -1-gevers op mijn vorige post eens uitleggen waarom ze dat doen? Wat denk je dat je aan broncode hebt als je niet kunt controleren dat de binary die je uit de store downloadt ook daadwerkelijk van die exacte broncode gemaakt is?

Het is niet dat ik de validiteit van Signal in twijfel wil trekken, maar een bericht met "hier staat de broncode" alleen doet het gegeven punt (dat er geen backdoor in zit) niet teniet.

Door een -1 te geven zeg je dus: "deze vraag mag hier niet gesteld worden". Dat lijkt me uitermate abject

[Reactie gewijzigd door .oisyn op 27 september 2021 15:47]

Er hoeft geen public backdoor in te zitten. In het geval van een rechterlijk onderzoek of bevel moet signal gewoon meewerken.

Privacy bestaat niet (meer). Ik heb die conclusie al getrokken toen ik las over het initieele GSM netwerk dat in de jaren 90 uitgerold werd, frankrijk als land afdwong dat de encryptie naar 40 bits werd gezet ipv de oorspronkelijke 64 bits. Zo niet kwam het er niet in.

Ga er maar ook vanuit dat mesengers en zelfs je OS op je telefoon niet 100% veilig zijn. In belgie is een privacy gebaseerde telefoon verkopen al strafbaar. Zie skynet. Resellers gingen stuk voor stuk de cel in daar. Als je echt iets privacy gevoeligs te bespreken hebt gooi je telefoon dan thuis neer en spreek in persoon af.

Ook de meta data die providers moeten bewaren etc (een jaar). Men kan precies in de tijd terugzien waar en wanneer je ergens bent geweest.

Ik weet niet hoe je aan al deze beweringen komt, maar een bedrijf kan niet meewerken aan het leveren van data die ze niet hebben. De inhoud van je berichten zijn onleesbaar voor derden, dus zelfs al zou een rechter het afdwingen, sucess met het ontsleutelen.

maar een bedrijf kan niet meewerken aan het leveren van data die ze niet hebben.

Dat is wat kort door de bocht. De maker kan weldegelijk meewerken door een software-update te pushen die ervoor zorgt dat de berichten van een specifieke telefoon alsnog worden doorgestuurd. In het geval van Signal is dat controleerbaar, zoals hierboven vastgesteld (reproducable build mbv de sourcecode), maar bij Whatsapp niet.

Meewerken is iets anders dan verplichten, en dat was mijn punt. Je kan wel een bedrijf verplichten om de data die je hebt verzameld alsnog vrij te geven (protonmail). Gelukkig is er nog geen wettelijke verplichting om encryptie zwakker te maken of een backdoor te maken (niet slim in een opensource project want iedereen kan dat zien) zoals sommige politici in Nederland en de EU graag zouden willen.

Dus in Whatsapp zit een backdoor... Daar heb je vast bewijs van?

Nouja, het is van facebook, genoeg reden om niets te geloven wat ze zeggen in ieder geval, Snowden heeft ook gewaarschuwd voor Whatsapp, ik blijf er ver van weg aangezien er genoeg alternatieven zijn.

Volgens mij was dit al algemene kennis? Via 1 of andere patriot act moeten ze als amerikaans bedrijf een toegang kunnen verlenen en facebook zelf heeft een peloton van werknemers die ook meelezen en actief doorsturen naar overheidsinstanties https://www.dailymail.co....ces-content-WhatsApp.html

Dit is dus een front-door, hiervoor moet je zelf het initiatief nemen.
Bij een back door heeft een externe partij toegang zonder dat je daar zelf actie voor onderneemt.
Vooralsnog is er nog geen enkel bewijs dat er een backdoor in WhatsApp zit.
Als je natuurlijk zelf je berichten gaat backuppen op Google of delen of rapporteren, tja.....

Lezen is ook een kunst, ik weet het. Dit is niet een backdoor in Whatsapp. Dit is het bewust doorsturen van berichten door de gebruikers zelf. Dus vooralsnog geen enkel bewijs dat er een backdoor is in de encryptie van Whatsapp. Maar zonder de broncode, is het niet voor 100% uit te sluiten.

Jazeker is er een backdoor. Als je backups aanzet is dit standaard zonder wachtwoord. Hetgeen dus betekent dat Google, Apple en Facebook de data kunnen lezen.

Ook geen backdoor, bovendien is deze tekortkoming in het beveiligen van backups (wat geen geheim was overigens) als het goed is opgelost.

Geen zelf gekozen wachtwoord, maar wel encryptie. De database van je berichten wordt al jaren versleutelt geüpload naar iCloud/Google Drive, maar WhatsApp beheert de key. Dat is niet ideaal en daarom komt de functie om zélf een sleutel te kiezen en deze zelf te kunnen bewaren er.

Daarnaast kan je back-ups ook uitzetten natuurlijk, maar dat terzijde. Van een backdoor is hier geen sprake.

[Reactie gewijzigd door WhatsappHack op 27 september 2021 16:31]

https://www.rtlnieuws.nl/...-bericht-privacy-facebook

Achterdeur of voordeur?

Noem eens een chatapp waar je geen screenshot kan maken van je berichten of een foto kan maken van de berichten op je telefoon. Is er geen? Dan hebben ze allemaal potentieel hetzelfde probleem. Je kan als ontvanger van de berichten alles doen met die berichten, doorzoeken aan de politie of uitprinten en op de lokale sufferd verspreiden.

Whatsapp biedt de optie aan de gebruiker om de ontvangen berichten, door te sturen naar Whatsapp/Facebook. Als je dat een backdoor wil noemen, dan heeft alle software in de wereld en backdoor.

Ik kan nog steeds met een ander toestel foto maken van het scherm, dus helaas. Dit probleem is onoplosbaar.

Als ik het goed begrepen heb dan gebruikt Signal aws en daar schijnt ook ergens een storing in te zitten.

Staat bij aws, getsession is decentralized

Het is een server verbonden met het internet, in theorie kun je dus gewoon voldoende data naar de server sturen om het ding zo bezig te laten zijn met onzin data dat het geen tijd heeft om z'n eigenlijke werk te doen.
Nu zijn daar natuurlijk heel erg veel oplossingen voor en is het al weer jaren een sport om andere hardware voor de server te hangen die de onzin data weg kan gooien voor het de server kan bereiken en omdat dat de taak is van deze hardware zou deze hardware er dus niet al te veel moeite mee moeten hebben ook niet al het heel veel data is. Maar goed ook daar zitten limieten aan en uiteindelijk kun je ook deze hardware overbelasten en is de server als nog onbruikbaar omdat er gewoon helemaal geen data meer bij de server aankomt.

Dus kun je met brute force een internet dienst plat leggen (ongeacht welke dienst) ja natuurlijk kan dat zeker in theorie. in de praktijk wil het nog wel eens zo zijn dat het erg lastig is om voldoende data te versturen (in een formaat dat niet makkelijk weg te filteren is) waardoor we in middels op een punt zijn aangekomen dat het heel erg afhangt van de manier waarop de eigenaar van de dienst de servers heeft neergezet.
Een dienst als Signal heeft tientallen zo niet honderden servers, en dus is het neerhalen van een van deze servers nooit voldoende om de hele service te verstoren. Afhankelijk van de overcapaciteit in het netwerk kan het zo zijn dat 10% van de servers neerhalen voldoende is om voor problemen te zorgen. Immers nu moet 90% van de servers het werk doen en het kan zijn dat dat te weinig rekenkracht is om het gewone verkeer in goede banen te leiden.
Aan de andere kant als ik een dienst draai en ik heb 25% van mijn servers draaien voor het geval dat... dan geef ik dus 25% meer geld uit dan nodig is voor het geval dat... Dat is waar auto-scaling kan helpen.

Auto-scaling zo als de grote cloud diensten dat allemaal aanbieden is een oplossing om automagisch meer machines te hebben als dat even nodig is, Je vertelt de cloud provider dat je een X aantal servers minimaal wilt hebben draaie. Als de X servers dan te veel werk hebben zal de cloud dienst automagisch een of meerdere servers starten om de initiële X servers te helpen. En als de piek weer daalt en een normaal niveau wordt bereikt dan zal de cloud dienst de extra machines weer stoppen tot dat er nog maar X servers over zijn.

Maar goed zelfs hier kunnen problemen optreden, je kunt om de kosten beheersbaar te houden ook een maximum instellen voor de auto-scaling en dus kan je in theorie ook dit soort systemen plat krijgen al is het wel heel erg veel moeilijker om te doen natuurlijk.

Maar het is uiteindelijk altijd mogelijk om service gebaseerd op centrale servers plat te krijgen met een brute force aanval. Het enige dat je daar in beperkt is de hoeveelheid force die nodig is om dat voor elkaar te krijgen. Zeker bij grote diensten is het al snel de moeite niet meer waard omdat je zo extreem veel data zult moeten versturen dat het alleen realistisch is als je er ook echt wat mee kan verdienen. En een bedrijf afpersen met dit soort dingen is vaak niet een goede methode omdat deze bedrijven niet zelden een ander bedrijf in de arm nemen en hun het losgeld betalen om jouw aanval af te slaan...

De melding bovenaan als je een bericht probeert te versturen zie ik nu voor het eerst. Nooit eerder gezien. Wel netjes om het in de app te vermelden. Nu maar hopen dat ze het snel kunnen fixen.

Ik had er ook al last van, maar na een paar minuten waren m'n berichten toch gewoon weer verzonden. Op dit moment doet hij het bij mij weer perfect.

Wat ik nog meer bijzonder vind, is dat ik gisteren spontaan 10 nieuwe contacten had in mijn Signal. Die contacten waren "nieuw" sinds 22 augustus en de app is dus al die tijd stil gebleven. Nog raarder: het zijn de contacten van mijn vriendin Deze mensen staan niet eens in mijn adresboek! Ik vind dat....eng.

Heb dit ook al eens beleefd. Kreeg toen opeens nummers in mijn contacten welke voor mij niet bekend waren. Bleken bekenden van mijn dochter te zijn. Die zij in contacten had staan.
Vond 't heel raar....
Geen verklaring voor

[Reactie gewijzigd door cocone op 27 september 2021 11:01]

Ik denk dat je meerdere accounts hebt op je telefoon (die van je dochter) en dat je daarvan de contacten synchroniseert. Dat zou ook verklaren waarom je berichten krijgt in Signal van contacten waarvan jij denkt dat ze niet in je contactenlijst staan. Het is dus een contacten probleem op je telefoon en niet iets raars wat Signal doet als ik dit zo terug lees

Dochter heeft eigen account en 'n iPhone ik android en maar 1 account draaien

Dan snap ik niet hoe contacten van je dochter bij jou in je contacten lijst komen. Daar zit de bron van het probleem en de reden dat je van "onbekende" nummers een bericht krijgt in Signal. Ergens worden contacten gedeeld, en aangezien het hier om een iPhone en een android toestel gaat, moet het ergens in een backup/sync gezocht worden. Vreemd is het in ieder geval wel.

Dat is wel raar. Is er hier iemand op Tweakers die hier uitleg over kan geven?

Ik heb in Telegram ook wel eens contacten die 'nu Telegram gebruiken' hoewel ik een deel van deze contacten niet (meer) in mijn adresboek heb staan. Hoe kan dit? Doen Telegram/Signal het adresboek met korte interval pollen en onthoudt deze contacten alsnog na het verwijderen?

Telegram slaat al je contacten, al je berichten en al je bijlagen (foto’s enzo) op in hun cloud en synct deze. Als je wil dat contacten weg zijn, dan zul je deze expliciet uit Telegram moeten trappen. Dat ze op device A niet meer in je lijst staan is niet per definitie voldoende aanleiding voor Telegram om deze data dan te wissen.

Signal’s contact discovery werkt op heel andere wijze, sinds multi-device is dit idd wat temperamental zullen we maar zeggen. Maar het kan niet dat een gebruiker notificaties krijgt over contacten van een ander, als de Signal server deze contacten nooit gekregen heeft. In dit geval zal @martijn946 ergens een adresboek van vriendin (deels) gedeeld moeten hebben op zijn account, bijvoorbeeld door het gebruik van Signal Desktop op een gedeelde PC/Mac of gebruik op een tablet waar beide personen hun contacten syncen met iCloud of Google Contacts. De Signal server moet die contacten ergens vandaan getoverd hebben, en gezien het geen contacten zijn van wildvreemden maar die van zijn vriendin moet er ergens een gedeeld device gebruikt zijn of ergens op elkaars device ingelogd zijn geweest of een gedeelde contactenlijst. Kan niet anders.

[Reactie gewijzigd door WhatsappHack op 27 september 2021 16:38]

Thanks, makes sense!

Beetje offtopic voor dit nieuwsitem, maar weet je ook of mensen van jou kunnen zien dat je Telegram hebt, als zij jouw nummer niet hebben maar jij die van hun wel?

Mogelijk hebben die contacten jouw nummer in hun adresboek en stuurt Signal van daaruit een signaal?

Nee deze contacten hadden mijn nummer niet. Dus wazig
Enige connectie is dat ze op mijn dochters telefoon stonden en ik uiteraard ook als contact daarin sta.

Dat komt, omdat Signal niet je contact gegevens op dezelfde manier verwerkt als WhatsApp. Ze halen ze een keer op en blijven daarna als Signal-contacten aan je account gekoppeld i.t.t. WhatsApp die eigenlijk constant je contacten scant.

De workaround is dus om deze contacten uit je lijst te verwijderen, blokkeren als je ze nog in Signal hebt, van unblock halen en dan je lijst verversen. Dan zijn ze verdwenen als het goed is.

Dit werkt niet....
Ze blijven in de lijst staan.

Verwijderen uit lijst - blokken in Signal - unblock in signal - lijst verversen...

Staat er nog in

Geen probleem, dan gebruik je toch gewoon whatsapp.