Signaal is niet perfect en we zijn er niet zeker van of het ontworpen is met activisten in gedachten – zo kunnen jij en je vrienden het bijvoorbeeld niet gebruiken zonder allemaal echte telefoonnummers te gebruiken. Maar toch kost Signal bijna geen tijd of training en rust het activisten uit met 5-sterren end-to-end tekst-, stem- en videoversleuteling met een bijbehorende desktopapp die het veilig delen van bestanden een fluitje van een cent maakt. Wij hier bij CLDC raden het constant aan bij mensen. Hier is hoe we aanbevelen dat jullie er allemaal het beste van maken:

(A) Houd uw Signal-apparaten veilig en beveiligd. Houd je telefoon (en eventuele gesynchroniseerde desktopapps) versleuteld, vergrendeld met een sterke toegangscode en up-to-date. Als een tegenstander je telefoon te pakken krijgt en deze kan ontgrendelen, krijgen ze alle versleutelde gesprekken in handen, evenals de telefoonnummers van de mensen met wie je hebt gecommuniceerd, wat vaak hun echte, actuele telefoonnummers zijn. Niet goed. Als je apparaat verouderd is, is het ook gemakkelijker te hacken, en als het gehackt wordt en iemand je scherm kan lezen of naar je microfoon kan luisteren, kan de geavanceerde cryptografie van Signal je niet beschermen.

Weet met wie je praat. Controleer de veiligheidsnummers van je contacten (persoonlijk of anders dan via Signal). Stuur geen berichten naar enorme groepschats zonder te weten wie er in de groep zit. Je krijgt een klein vinkje nadat je het veiligheidsnummer van iemand hebt bevestigd. Zoek naar dat vinkje in een gesprek zodra je iedereen daarin hebt geverifieerd. Gebruik het als een kans om de gemeenschap op te bouwen en hallo te zeggen tegen al je medewerkers, minstens één keer.

(C) Berichten instellen om te verdwijnen. Vooral met groepschats!  Beschouw groepschatlijsten (namen, telefoonnummers en alle andere informatie die u aan uw mobiele provider/account hebt verstrekt) alsof ze als bewijs in een civiele of strafrechtelijke vervolging (samenzwering of anderszins) kunnen worden gebruikt en verwijder deze informatie zodra u deze niet meer nodig hebt. Laat geen gevoelige berichten rondslingeren op de apparaten van iedereen. Stel berichten in om te verdwijnen *voordat* ze worden verzonden, anders is er geen manier voor u om ze van de apparaten van uw vrienden te wissen. (Merk op dat de groepschat zelf *niet* verwijderd door verdwijnende berichten; dus als de lijst van mensen die een gesprek voeren topgeheim is, moet de groepschat handmatig van alle apparaten worden verwijderd). Hoe snel moeten berichten verdwijnen? Als je slogans bedenkt of tijden voor openbare bijeenkomsten vastlegt, is een week waarschijnlijk prima. Als het erop aankomt, is het een goed idee om berichten na een uur te laten verdwijnen. We denken dat het veilig is om erop te vertrouwen dat de berichten echt verdwijnen - het is alsof de berichten met een zelfvernietigingstimer zijn ingesteld. Maar houd er rekening mee dat de timer afzonderlijk begint te lopen voor de kopie van elke ontvanger, pas nadat deze is gedecodeerd en gelezen. Om het heel duidelijk te maken: als Clara deelneemt aan een supergeheime groepschat met verdwijnende berichten en haar telefoon een maand lang opslaat en uitgeschakeld laat, zullen alle verdwijnende berichten die tijdens die periode zijn verzonden, nog lang wachten op Clara's telefoon nadat die berichten op de apparaten van iedereen anders zijn verlopen. Bewaar de groep dus voor gevoelige gesprekken zo klein mogelijk, zorg ervoor dat iedereen actief zijn berichten controleert, en voordat de actiedag aanbreekt, moeten ze allemaal hun Signal Desktop-apps ontkoppelen. Dit is een best practice die deel moet uitmaken van de basisrichtlijnen van je organisatorische groep - onderwijs het en verspreid het lang voordat je het echt nodig hebt.

Erken je fouten. Hey, we maken allemaal wel eens fouten, en we moeten de schade aan onze bewegingen en onze gemeenschappen beperken. Het eerste wat je moet doen is eerlijk zijn en iedereen met wie je organiseert laten weten of je de controle over je Signal-apparaat bent kwijtgeraakt en hoe erg het is (het is verloren of een politieagent heeft het; het was vergrendeld of niet). Mensen moeten hun eigen beslissingen kunnen nemen, wetende dat privéberichten die met jou zijn uitgewisseld mogelijk niet langer privé zijn. Dit is een erg goede reden om verdwijnende berichten in te stellen. Als je je telefoon niet meteen terug kunt krijgen, probeer dan zo snel mogelijk de controle over je oude telefoonnummer terug te krijgen. Registreer Signal daarna onmiddellijk opnieuw op een nieuwe telefoon met je oude nummer. Dit zal de servers van Signal vertellen om je oude sleutels te laten verlopen, waardoor de gecompromitteerde telefoon geen verdere berichten meer kan ontsleutelen.

Begrijp hoe het werkt. Signal gebruikt wat geavanceerde cryptografie. In tegenstelling tot PGP/GPG (waar we fan van zijn!) is er geen enkele encryptiesleutel die ten koste van alles beschermd moet worden, anders krijgt een tegenstander de mogelijkheid om al je berichten te lezen. In plaats daarvan verandert de sleutel constant (“ratcheting”). Voor stervelingen betekent dit dat een Signal Desktop-app geen berichten kan ontsleutelen die zijn verzonden voordat deze werd gekoppeld. En een tegenstander zou voortdurende controle over een apparaat nodig hebben om doorlopend versleutelde berichten te kunnen lezen - tijdelijke toegang zou niet volstaan.

Verwijder dingen die je niet nodig hebt.  Oefen regelmatig met het veilig back-uppen van uw apparaat (naar een versleutelde back-updrive of computer, en nooit naar de cloud) en verwijder daarna ALLES wat je niet nodig hebt van je telefoon. Sms'jes, e-mails, foto's... haal alles van je mobiele apparaat als je van plan bent het mee te nemen naar politieke activiteiten.

Gepubliceerd op 6 september 2017

————————————

Bekijk onze aankomende post over authenticatie. Een veiligheidsnummer wordt aangemaakt bij het eerste gesprek dat je met een vriend hebt — tik op de naam van je vriend en selecteer “Veiligheidsnummer weergeven”. Je ziet een 2D-barcode (die je persoonlijk op de telefoon van je vriend kunt scannen) en het veiligheidsnummer zelf, dat bestaat uit 12 reeksen van vijf cijfers. De eerste 6 reeksen van vijf zijn jouw (of de) unieke ID van je vriend en de laatste 6 reeksen zijn de unieke ID (“vingerafdruk”) van je vriend (of de jouwe). Ontdek welke vingerafdruk van jou is door deze te vergelijken met de veiligheidsnummers van een paar andere vrienden op je apparaat. Als je met een groot aantal mensen organiseert of als je wilt dat onbekenden je op Signal kunnen verifiëren en contact met je kunnen opnemen, kun je je vingerafdruk handmatig op je socialemediaprofielen of website plaatsen. Dit is vooral belangrijk als je een nieuwe telefoon krijgt of als je je oude telefoon moet wissen en opnieuw moet installeren, wat iedereen zal waarschuwen dat je veiligheidsnummer is gewijzigd. Als het veiligheidsnummer van een contactpersoon verandert, neem dan contact op buiten Signal om er zeker van te zijn dat dit werd veroorzaakt door een legitieme telefoonwijziging.

Bekijk onze aankomende post over hoe je “mijn iPhone zoeken” of andere locatiediensten kunt gebruiken om te bepalen waar je telefoon fysiek is vanaf een ander apparaat. Leer ook hoe je je telefoon op afstand kunt wissen in het ergste geval om verlies van persoonlijke informatie te voorkomen.