From: Boris Kraut Date: Sat, 17 Nov 2018 22:22:29 +0000 (+0100) Subject: Use Signal, they said... X-Git-Url: http://git.marmaro.de/?a=commitdiff_plain;h=3c8aadaf99c87821e4cabfae4d4937f93b87830f;p=msg Use Signal, they said... --- diff --git a/2018-11-17_Use_Signal_they_said.eml b/2018-11-17_Use_Signal_they_said.eml new file mode 100644 index 0000000..50d253b --- /dev/null +++ b/2018-11-17_Use_Signal_they_said.eml @@ -0,0 +1,148 @@ +From: Boris Kraut +Subject: [.plan] Use Signal, they said... +Message-ID: +Date: Sat, 17 Nov 2018 23:22:29 +0100 +MIME-Version: 1.0 +To: undisclosed-recipients: ; +Content-Type: text/plain; charset=utf-8; format=flowed +Content-Language: en-US +Content-Transfer-Encoding: 7bit + +Nutz Signal, haben sie gesagt. Genau so einfach wie WhatsApp, aber freie +Software und es loest die OTR-Verschluesselungsprobleme in einer mobilen +Welt mit staendigen Verbindungsabbruechen und und und... und? Sie hatten +absolut recht. Doch diese Sicherheit und Freiheit hatte seinen Preis. So +sehr ich Matthew Rosenfield aka Moxie Marlinspike als Koautor (zusammen +mit Trevor Perrin) des Signal-Protokolls und als Sicherheitsforscher +schaetze, so war doch sehr schnell klar, dass er andere Kompromisse +eingeht. Dezentralisierung ist ihm nicht wichtig, teilweise ist sie sogar +schaedlich fuer sein grosse Ziel "Krypto fuer die Masse", und er ist sich +nicht zu Schade Verschluesselung gegen Geld auch in proprietaere Software +einzubauen -- nichts dagegen zu sagen, nur sollte auch ihm klar sein, dass +man dieser Crypto nicht vertrauen kann. + +Anyway, auch waehrend meiner Zeit bei F-Droid, bin ich einige Male mit +ihm aneinander geraten, aber nichts hat meine fachliche Einschaetzung +ueber ihn -- die mir eigentlich nicht zusteht -- wirklich getruebt. Von +einem gewissen Standpunkt aus hatte er eben durchaus recht. Doch eine +aktuelle Sache zeigt mir, wie haeufig mit zweierlei Mass gemessen wird: + +## Teil I + +Moxie beschwert sich lauthals ueber F-Droid (und andere 3rd party builds), +die es nicht schaffen ihre Nutzer zu schuetzen und zeitnah Updates zu +liefern. Klar haette man u.a. was proprietaere Libraries angeht auch +seitens des Upstream-Entwicklers etwas mehr Weitsicht erwarten koennen, +aber ja, F-Droid hat aus diversen Gruenden -- Projekte werden um- +strukturiert, beinhalten nicht-freie Teile, IDs aendern sich, die eigene +Buildinfrastruktur ist ueberlastet, zu wenig Manpower... -- ab und zu +Probleme aktuelle Builds zu liefern. Von daher ist die Schelte berechtigt. +Ich selbst werde mir nie verzeihen, dass ich mich beschwatzen hab lassen +Fennec F-Droid als stabil genug fuer das Mainline-Repo anzusehen... ein +paar Updates spaeter war das Build kaputt und Endanwender standen ohne +aktuellen Browser da. + +## Teil II + +Signal fuehrt eine Desktop-Version fuer Chrome und ChromeOS ein -- Crypto +fuer die Masse und eine total tolle Plattform: + +https://signal.org/blog/signal-desktop/ + +## Teil III + +Moxie weigert sich wehement, ein eigenes F-Droid Repo zu pflegen (wo er +seine signierten Binaries hochladen und verteilen kann) oder eine andere +Form von Nicht-Playstore-Updates anzubieten. Seine (druchaus verstaendliche) +Argumentation: + +moxie0 (https://github.com/signalapp/Signal-Android/issues/127): +> First, I'm concerned primarily with the security of our users, +> and am interested in targeting a demographic that does not know +> what a checksum or signature is. You might call them "newbies," +> but personally I think we're doing a good job if these are the +> bulk of our users. +> +> [...] +> +> No upgrade channel. Timely and automatic updates are perhaps +> the most effective security feature we could ask for, and not +> having them would be a real blow for the project. + +## Teil IV + +Nach langem hin und her, wird Signal endlich auch ausserhalb des Playstores +zum Download angeboten und erhaelt einen eigenen Updater, der leider auch +relativ schnell Probleme bekommt, u.a. beginnt er nach einigen Updates zu +crashen -- evtl. ein Fall von zu wenig Tests, aber Moxie meint dazu nur... + +moxie0 (https://github.com/signalapp/Signal-Android/issues/7654): +> My preference is to let the folks who are into free +> software make the necessary changes for free software +> features, so I've added a help wanted tag. + +Als ich das damals gelesen habe, war ich durchaus etwas angepinkelt. Erst +erklaert er uns, wie wichtig Updates sind und nachdem er alle funktionierenden +Loesungen abgelehnt hat und seinen eigenen Updater ausgerollt hat, dann soll +es die Community fixen? Seriously? + +Wie dem auch sei, im Endeffekt war auch das mit egal. Auf der Website wurde +ja explizit vor dem APK-Download gewarnt. Das einzige, was ich mir in der +Situation erhofft haette, waere das Messen mit gleichem Augenmass: Ich denke +es ist fair anzunehmen, dass F-Droid-Nutzer und Signal-APK-Download-Nutzer +eine sehr aehnliche Zielgruppe sind, von denen man etwas technischen Sach- +verstand erwarten kann. Keine Updates zu liefern ist scheisse, ja, aber zu +sagen, dass F-Droid seine User im Stich gelassen hat, aber selbst es nicht +besser hinzubekommen ist durchaus..mh.. "anruechig". + +## Teil V + +Signal fuer Chrome wurde deprecated und ist seit dem 15. November 2018 im +Read-Only-Modus. Es gibt auch eine Migrationsanleitung: + +> After 380 days of extended support, the legacy Chrome version +> of Signal Desktop will stop working on November 15, 2018. The +> new standalone version of Signal Desktop is available now, and +> it has received regular updates in the past year -- including +> numerous feature enhancements and significant performance +> improvements. +> +> The built-in migration process will help you switch to the +> latest release. All of your information will be saved, and the +> upgrade should only take a few minutes. Thanks for using Signal! + +Die trifft aber nur fuer Nutzer des Chrome-Browsers zu. ChromeOS-Nutzer +sehen den gleichen Anleitungstext, koennen ihm aber nicht folgen. Fuer +sie gibt es schlicht (noch) keine Upgrade-Option. Und das macht mich +richtig wuetend. Nicht, dass es _mich_ treffen wuerde, nein, es trifft +genau die Zielgruppe, die sich eben nicht helfen kann, die "Newbies" +wie Moxie damals schrieb. Und das ist fahrlaessig und arrogant. + +Man kann ueber ChromeOS jetzt schimpfen wie man will, aber es wird von +der Zielgruppe eben verwendet. Insbesondere in den Staaten, gerade in +Bildungseinrichtungen, aber auch hier in Deutschland nimmt sein +Marktanteil zu -- insbesondere weil Google hier im Gegensatz zu Android +einen Account erzwingen kann. Anyway, Signal laesst hier genau die Nutzer +im Stich, die es vorher als eigene Zielgruppe ausgemacht hat... und die +Poweruser, die sich jetzt mit gestrandeten Signal-Nutzern in der Familie +konfrontiert sehen. + +Ja, Signal fuer ChromeOS war depecated. Aber es war in Benutzung. Und es +gibt keinen Upgrade-Pfad. Ich denke sie werden die ChromeOS-Linux- +Umgebung fuer die Web-Version nutzen oder gleich die Android-App fuer +ChromeOS erlauben, aber das ist Zukunftsmusik. Das haette man vorher +bedenken koennen... und es gibt genuegend Issue-Tickets genau zu den +Themen. Aber egal was kommt: Das Vertrauen ist verspielt. + +... und das nicht nur bei Signal. In letzter Zeit habe ich immer mehr +Software von grossen Herstellern gesehen, die ihre Upgrade-Pfade nicht +testen, User im Regen stehen lassen, gar Daten beim Update loeschen -- +ich schau dich an, Microsoft! -- und dann muss ich mir anhoeren, dass +Linux so problematisch waere? Ernsfhaft? + +Doch was ist die Loesung? Ich fuer mich habe nur zwei Antworten: + +Weniger Komplexitaet und muendige Nutzer. + +-- +Boris Kraut