Автор admin 
Як працює Signal
Signal — це месенджер із наскрізним шифруванням для повідомлень, голосових дзвінків і відеозв’язку. Його творці будували сервіс так, щоб доступу до листування не мали навіть вони самі.
Читайте также: Клітини старіють повільніше. Вчені довели користь щоденного прийому полівітамінів
Як працює наскрізне шифрування? Фішка сервісу — це Signal Protocol, система шифрування, яку пізніше запозичили WhatsApp і Facebook Messenger. Для кожного повідомлення створюється окремий ключ, який видаляється після використання. Завдяки цьому компрометація одного ключа не допоможе зловмиснику прочитати ані старі, ані майбутні листування.
Щоб переписка розпочалася, месенджер створює кілька типів ключів — довгостроковий, попередній та набір тимчасових одноразових. Приватні частини цих ключів залишаються на пристрої користувача, а на сервер надсилаються лише публічні дані, потрібні для старту зашифрованої розмови.
Така система забезпечила Signal репутацію одного з найнадійніших інструментів приватного зв’язку. Втім, має він і слабкі місця.
Що не так із Signal
Розробники запевняли, що Android-версія месенджера підтримує відтворювані збірки — підхід, за якого будь-хто може зібрати APK із відкритого коду і перевірити, чи відповідає він тому, який поширюють через Google Play або сайт Signal.
Але на практиці з’ясувалося, що не все так гладко. У травні 2024 року дослідниця безпеки Фей Стегерман виявила, що APK, зібрані за наданими Signal інструкціями, у деяких файлах не збіглися з офіційними.
Водночас Стегерман була обережною у висновках. «Я не знайшла жодних доказів будь-яких компромісів. Деякі розбіжності все ще залишаються нез’ясованими, але все, що я знайшла, здається нешкідливим», — зазначила вона. «Я розчарована, що відтворювані збірки не працюють уже кілька місяців, але у мене немає жодних підстав сумніватися в безпеці Signal».
Також Signal залежить від зовнішньої інфраструктури. Месенджер частково працює на Amazon Web Services та інших великих хмарних платформах, а для перевірки телефонних номерів використовує сторонніх провайдерів, зокрема Twilio.
У серпні 2022 року така залежність вилізла Signal боком. Тоді Twilio зазнала фішингової атаки. За атакою стояла хакерська група 0ktapus: вона розіслала співробітникам Twilio SMS-повідомлення, нібито від ІТ-відділу компанії. У них пропонувалося увійти в систему через фейковий портал. Щойно співробітники вводили свої дані, хакери отримували доступ до внутрішніх систем Twilio — а отже, й до SMS із кодами верифікації, які Twilio надсилав цим користувачам.
У відповідь Signal скасував реєстрацію потенційно постраждалих користувачів на всіх пристроях, які вони використовували на той момент або на які їх могли зареєструвати зловмисники, і закликав їх повторно зареєструвати Signal зі своїм номером телефона. У компанії підкреслили: історія повідомлень, списки контактів, дані профілю та заблоковані контакти не постраждали, адже месенджер не зберігає цю інформацію на своїх серверах.
А в жовтні 2025 року в роботі AWS стався масштабний збій. У результаті низка сервісів по всьому світу, зав’язаних на AWS, не могли нормально працювати кілька годин. Серед них — і Signal: протягом збою користувачі скаржилися на перебої з доставкою повідомлень і дзвінками.
Читайте также: Чоловік Анни Кошмал: біографія, особисте життя та кар’єра
Критики, включно з Ілоном Маском, одразу використали це як аргумент проти месенджера. «Я більше не довіряю Signal», — написав мільярдер у своїй мережі X.
I don’t trust Signal anymore https://t.co/QBbwf8018S
— Elon Musk (@elonmusk) October 20, 2025
На додачу Маск репостнув допис Кунала Ганді, одного з керівників ШІ-криптоагента HeyElsa. Той написав на адресу Signal: «Чому збій AWS на вас вплинув? Я думав, ви децентралізовані?»
Що цікаво, за тиждень до інциденту проблему Signal прокоментував співзасновник Matrix(протоколу з відкритим кодом для децентралізованого та безпечного зв’язку) Метью Годжсон.
«Signal — це чудовий месенджер із високим рівнем конфіденційності та шифрування, але він побудований на централізованій системі, що базується в США. Сервіс, який існує тільки в одному місці, набагато легше заблокувати або атакувати», — сказав тоді Метью Годжсон виданню TechRadar. Його слова виявилися пророчими.
Чи варто відмовитися від Signal
Та, попри інциденти, Signal залишається чи не найбезпечнішою з-поміж масово доступних платформ для захисту листування. У різні роки його шифрування підтвердили провідні криптографи, як-от Метью Грін з Університету Джонса Гопкінса. А міністр цифрової трансформації України Михайло Федоров у 2023 році називав Signal найкращим і найзахищенішим месенджером в Україні.
«[Signal] є золотим стандартом у галузі не без причини, а саме тому, що його перевірили, підтвердили і він витримав випробування часом, — так президентка Signal Foundation Мередіт Віттекер відповіла на допис Ілона Маска про недовіру. За її словами, понад 3 мільярди людей щодня спілкуються за допомогою сервісів на основі протоколу Signal.
Хакери з Росії та інших країн, власне, і не намагаються зламати сам протокол шифрування. Натомість — обходять його через людський фактор, тобто неуважність самих користувачів.
Як ми вже писали, у березні нідерландські спецслужби попередили про глобальну кампанію росіян проти користувачів Signal, зокрема урядовців, військових і журналістів. Хакери видавали себе за службу підтримки Signal і писали жертвам про нібито«підозрілу активність», «витік даних» або спроби отримати доступ до приватної інформації. Далі — просили передати SMS-код верифікації та PIN. Ці дані дозволяли зловмисникам перереєструвати акаунт або прив’язати до нього контрольований пристрій.
А цього місяця ціллю атаки став Доннча О’Карбейлл, керівник Security Lab Amnesty International, який досліджує шпигунське ПЗ. Йому надійшло повідомлення від фейкового чатбота із вимогою пройти«перевірку» і передати код.
О’Карбейлл зрозумів, що це спроба захоплення акаунта, і використав її для розслідування ширшої кампанії. За словами дослідника, він виявив понад 13,5 тисячі цілей, а також систему ApocalypseZ, яка дозволяла масово розсилати фішингові повідомлення з мінімальним ручним контролем. Інтерфейс і кодова база цієї системи були російською, листування жертв перекладали цією ж мовою.
Читайте также: Рівень спротиву рекордний. Американці більше бояться жити біля ШІ-дата-центрів, ніж АЕС — опитування
Для безпечного листування в Signal варто:
- Приховати номер телефону. У Signal можна обмежити, хто бачить ваш номер, і користуватися іменем користувача. Це зменшує ризик атак.
- Не передавати коди й PIN. Signal не просить користувачів надсилати SMS-коди, PIN або QR-коди. Такі повідомлення майже напевно є фішингом.
- Увімкнути блокування реєстрації. Це робиться в меню Налаштування > Акаунт > Блокування реєстрації(Registration Lock).Тоді для повторної реєстрації акаунта знадобиться не лише SMS-код, а й PIN.
- Перевіряти прив’язані пристрої. У розділі Зв’язані пристрої(Linked Devices) видаліть усе, чого не впізнаєте. Чужий пристрій може дати зловмиснику доступ до нових повідомлень.
- Увімкнути блокування екрана. Захистіть сам застосунок PIN-кодом, паролем або біометрією. Це допоможе, якщо хтось отримає фізичний доступ до телефона.