Für die Messaging-App Signal können Nutzerinnen und Nutzer eine PIN einrichten. Wozu diese gut ist, ist vielen Usern jedoch nicht klar. Das zeigt eine Befragung vom Horst-Görtz-Institut für IT-Sicherheit (HGI) der Ruhr-Universität Bochum und von The George Washington University. Signal nutzt die PIN für ein verschlüsseltes Cloud-Backup von Kontaktdaten, Einstellungen und Profilinformationen sowie – auf Wunsch – zur Authentifizierung der User bei der Erstanmeldung. Fast die Hälfte der Befragten ging jedoch von einem anderen Zweck aus, etwa dass die PIN zum Entsperren der App verwendet würde.
Die Forscher erhoben von Anfang September bis Anfang November 2020 Daten von 235 Signal-Nutzerinnen und -Nutzern, hauptsächlich aus Deutschland, den USA und Großbritannien. Die Ergebnisse der Online-Befragung stellen Daniel Bailey und Philipp Markert vom HGI zusammen mit dem US-Forscher Adam Aviv auf dem USENIX Symposium on Usable Privacy and Security vor. Es findet vom 8. bis 10. August als virtuelle Tagung statt. Die Daten sind vorab als frei zugänglicher Preprint verfügbar.
Viele kennen den Sinn der PIN nicht
14 Prozent der Befragten hatten keine PIN in Signal gesetzt. Als Hauptgrund nannten die meisten, dass dies zu umständlich sei. Unter den übrigen Befragten konnten 43 Prozent nicht richtig angeben, wozu Signal die PIN verwendet. Häufig vergaben sie zudem kurze PINs, die nur aus Ziffern bestanden. Die 57 Prozent der Befragten, die den Zweck der PIN hingegen kannten, nutzten oft komplexe alpha-numerische Passwörter, die sie in einem Passwort-Manager speicherten.
Kommunikation nicht für neue Zielgruppen geeignet
„Die Kommunikation von Signal scheint hauptsächlich bei den Nutzerinnen und Nutzern zu funktionieren, die sich in Foren und Blogs über die Funktionsweise der App informieren“, sagt Philipp Markert von der Arbeitsgruppe Mobile Security am HGI. „Viele der User, die Anfang 2021 aufgrund einer Änderung in den Nutzungsbedingungen von WhatsApp zu Signal wechselten, gehören vermutlich nicht zu dieser Gruppe.“
Von einer optimierten User-Kommunikation könnte die Sicherheit profitieren: „Hilfreich könne es etwa sein, nicht von einer PIN zu sprechen, da das User dazu verleite, eine kurze Ziffernfolge einzugeben. Die Autoren der Studie schlagen eine Bezeichnung wie „Account Recovery Password“ vor, die den Zweck mit beschreiben würde und außerdem Nutzern verständlich macht, dass sie bei der Wahl der Zeichen nicht eingeschränkt sind.
Eine klarere Kommunikation mit den Userinnen und Usern könnte außerdem helfen, unliebsame Überraschungen zu vermeiden. Anders als etwa WhatsApp erstellt Signal beispielsweise kein Backup aller Nachrichten in der Cloud. Dieses Feature muss erst in den Einstellungen aktiviert werden.
Erweiterte Sperrliste würde mehr Sicherheit bringen
Auch eine erweiterte Sperrliste, die User davon abhält, besonders beliebte PINs zu vergeben, würde mehr Sicherheit bringen. „Signal hat bereits eine kurze Sperrliste implementiert, die besonders schwache PINs aus Ziffern unterbindet, etwa solche, die aus mehrmals derselben Ziffer bestehen, oder aufsteigende Ziffernabfolgen wie 1234“, erklärt Philipp Markert. Möglich seien aber beispielsweise beliebte Kombinationen wie Jahreszahlen. Eine erweiterte Sperrliste hielten die Forscher daher für sinnvoll. Diese sollte auch häufig genutzte Passwörter ausschließen, etwas das Wort „password“.
Wozu PINs in Signal nützlich sind
Signal verspricht im Gegensatz zu anderen Messaging-Diensten mehr Privatsphäre, etwa dadurch, dass es Nachrichten und Kontakte nicht zentral unverschlüsselt speichert. Früher wurden solche Daten gar nicht zentral gespeichert, sondern nur auf den Telefonen der User. Das führte dazu, dass alle Daten verloren waren, wenn jemand ein neues Gerät in Betrieb nahm. Um einen Wiederherstellungsservice anzubieten, führte Signal Ende 2019 die Secure Value Recovery ein. Über dieses Feature können die in der Cloud gespeicherten Daten bei einem Handywechsel wiederhergestellt werden. Sie werden verschlüsselt gespeichert – entschlüsseln kann man sie nur mit seiner PIN.
Die gleiche PIN nutzt Signal seit März 2018 auch für das sogenannte Registration Lock. Meldet sich ein Nutzer oder eine Nutzerin erstmalig bei dem Dienst an, bekommt er oder sie eine SMS zugeschickt, um zu bestätigen, dass er Zugriff auf die registrierte Handynummer besitzt. Dieser Prozess kann mit der PIN abgesichert werden, damit niemand, der die SMS abfängt, sich mit einer fremden Nummer registrieren kann.
Die Forscher informierten Signal über ihre Ergebnisse vor der Veröffentlichung.
Förderung
Die Arbeiten wurden unterstützt von der National Science Foundation (Grantnummer 184530), dem Land NRW im Rahmen der Forschungsgruppe „Human Centered Systems Security“ und der Deutschen Forschungsgemeinschaft im Rahmen des Exzellenzclusters Cyber Security in the Age of Large-Scale Adversaries, CASA (EXC 2092 – 390781972).
Originalveröffentlichung
Daniel V. Bailey, Philipp Markert, Adam J. Aviv: “I have no idea what they’re trying to accomplish:” Enthusiastic and casual Signal users’ understanding of signal PINs, USENIX Symposium on Usable Privacy and Security (SOUPS), 2021, Virtual Conference, Download Reprint.
Pressekontakt
Philipp Markert
Arbeitsgruppe Mobile Security
Horst-Görtz-Institut für IT-Sicherheit
Ruhr-Universität Bochum
Tel.: +49 234 32 28669
E-Mail: philipp.markert(at)rub.de
Allgemeiner Hinweis: Mit einer möglichen Nennung von geschlechtszuweisenden Attributen implizieren wir alle, die sich diesem Geschlecht zugehörig fühlen, unabhängig vom biologischen Geschlecht.