Onko Signal-sovellus oikeasti turvallinen?

Tietoturva nousi otsikoihin, kun Yhdysvaltain ylin johto paljasti viestipalvelu Signalin ryhmään vahingossa lisätylle toimittajalle sotasuunnitelmiaan etukäteen.

Vahinkopainallukset muodostavat yhden merkittävimmistä tietoturvariskeistä, sanoo tietoturva-asiantuntija Mikko Hyppönen.

”Tyypillinen tietoturvariski, johon normaali ihminen törmää, on viestin lähettäminen vahingossa väärään osoitteeseen.”

Hyppönen ei näe ratkaisevia turvallisuuseroja suosituim­pien sovellusten Whatsappin, Telegramin tai Signalin välillä.

”Siviilikäytössä normaalille kansalaiselle riittää mikä tahansa yleinen viestisovellus. Ne salaavat viestiliikenteen niin, ettei satunnainen sivullinen näe viestejä eikä pysty murtamaan niiden salausta.”

Yhdysvaltalaispoliitikkojen kuuluisaksi tekemä Signal on Hyppösen mielestä varsin pätevä sovellus. Sen ohjelmoijat ovat Hyppösen mukaan kokeneita ja tietoturva-alalla luotettuja, ja sovelluksen algoritmit ovat vahvoja. Sovellus ei kerää käyttäjästä mitään tietoja omiin käyttötarkoituksiinsa.

Toisin kuin esimerkiksi Whatsappin, Signalin lähdekoodi on avoin, eli sovelluksen turvallisuuden voi testata kuka tahansa asiantuntija.

Kaikkien viestisovellusten heikkous on kuitenkin ilmiselvä: jos pahantahtoinen toimija haluaa perehtyä puhelimen viesteihin, riittää, että hän saa haltuunsa lukitsemattoman puhelimen tai joissain tapauk­sissa pelkän SIM-kortin. Tämän takia turvaluokiteltua dataa pitäisi käsitellä erityisissä turvatiloissa, Hyppönen sanoo.

Viestisovelluksen salauksen murtaminen vaatii kalliin mobiilivakoiluohjelman. Niistä kuuluisin on israelilaisen kyberaseyhtiö NSO Groupin Pegasus. YK:n mukaan useiden autoritaaristen valtioiden viranomaiset ovat käyttäneet ohjelmaa opposition ja median edustajien viestien vakoiluun.

Yksityishenkilön viestisovelluksen salauksen murtaminen ohjelmalla maksaa kuitenkin noin 100 000 euroa.