Signal Law Enforcement Data Request: Przewodnik dla policji i rządu
Co organy ścigania mogą uzyskać od Signal: tylko daty rejestracji i ostatniego połączenia oraz dlaczego dowody są na urządzeniu, a nie na serwerach.
Signal to komunikator z pełnym szyfrowaniem (end-to-end), zarządzany przez Signal Technology Foundation oraz Signal Messenger LLC, amerykańską organizację non-profit. Jest on spotykany w poważnych dochodzeniach właśnie dlatego, że został zaprojektowany tak, aby nie przechowywać niemal żadnych danych: z założenia Signal nie ma wglądu w treść wiadomości i celowo nie gromadzi metadanych, które przechowuje większość usług. Najważniejszą rzeczą, jaką musi zrozumieć śledczy, jest to, że wniosek skierowany do Signal nie przyniesie niemal żadnych rezultatów — prawdziwe dowody znajdują się na zabezpieczonym urządzeniu, a nie na serwerach Signal. Signal publikuje otrzymywane wnioski prawne oraz swoje odpowiedzi pod adresem signal.org/bigbrother.
- Jak składać wnioski: Prawidłowy amerykański proces prawny skierowany do Signal Messenger LLC (agencje zagraniczne za pośrednictwem MLAT). Signal kwestionuje zbyt szerokie żądania i publikuje otrzymywane wnioski.
- Akceptowane identyfikatory: Numer telefonu zarejestrowany w koncie — jest to w zasadzie jedyny identyfikator konta, na podstawie którego Signal może podjąć działania.
- Co jest realnie zwracane: Tylko data rejestracji (utworzenia) konta oraz data ostatniego połączenia z usługą. Brak treści wiadomości, brak kontaktów, brak przynależności do grup, brak nazwy profilu czy awatara oraz brak rejestru tego, z kim użytkownik prowadził rozmowy.
Identyfikatory dla wniosku o dane
Konta Signal są powiązane z numerem telefonu, więc jest to identyfikator, który należy podać. Nie ma nazwy użytkownika, adresu e-mail ani grafu społecznościowego, które można by przeszukać. Znajomość numeru telefonu pozwala Signal potwierdzić, czy konto istnieje, i zwrócić dwa poniższe pola daty — nic więcej.
Jakie dane udostępnia Signal
Ponieważ Signal stosuje szyfrowanie end-to-end i minimalizuje zakres przechowywanych danych, odpowiedź nawet na ważny nakaz sądowy jest niezwykle ograniczona:
| Dostępne w Signal | NIEDOSTĘPNE (z założenia) |
|---|---|
| Czy dany numer telefonu jest zarejestrowany w Signal | Treść wiadomości (szyfrowanie end-to-end; Signal nigdy nie posiada kluczy) |
| Data rejestracji konta | Kontakty, przynależność do grup oraz informacje o tym, z kim użytkownik rozmawiał |
| Data ostatniego połączenia konta z usługą | Nazwa profilu, awatar oraz rodzaj metadanych, które przechowują inne aplikacje |
Praktyczny wniosek: nie należy oczekiwać, że serwery Signal pomogą w sprawie. Dowody komunikacji w Signal odzyskuje się poprzez legalną informatykę śledczą punktu końcowego — telefonu podejrzanego lub ofiary — na podstawie nakazu dotyczącego urządzenia, co obejmuje wszelkie wiadomości, załączniki i zawartość grup przechowywaną lokalnie. Kod PIN Signal / blokada rejestracji może również wpływać na dostęp do konta na nowym urządzeniu.
Jak złożyć wniosek
- Potwierdź rejestrację i dwie daty, kierując prawidłowy amerykański proces prawny do Signal, podając numer telefonu. Jest to górna granica tego, co przechowuje serwer.
- Zabezpieczenie danych (preservation) ma tu ograniczoną wartość, ponieważ poza datą rejestracji i ostatniego połączenia niewiele jest do zabezpieczenia; nie należy polegać na tym w celu uzyskania treści.
- Skup się na urządzeniu. Skieruj swoje wysiłki dowodowe na uzyskanie i poddanie analizie śledczej telefonu na podstawie odpowiedniego nakazu, gdzie faktycznie znajduje się zawartość Signal.
Wnioski w sytuacjach awaryjnych
Nawet w prawdziwej sytuacji awaryjnej obejmującej bezpośrednie zagrożenie życia lub poważnego uszczerbku na zdrowiu, dane, które Signal może dobrowolnie udostępnić, to ten sam minimalny zestaw (data rejestracji i ostatniego połączenia). Firma nie może ujawnić treści, których nie posiada. Traktuj urządzenie oraz inne legalne ścieżki dochodzeniowe jako drogę do uzyskania dowodów wrażliwych na czas.
Dla Indii: podstawa prawna i proces
- IT Act, 2000 — Sekcja 69 oraz BNSS, 2023 — Sekcja 94 stanowią podstawę krajową, a wniosek MLAT za pośrednictwem Centralnego Urzędu MHA do Departamentu Sprawiedliwości USA, Biura Spraw Międzynarodowych, jest formalną drogą do Signal.
- Zarządzaj jednak oczekiwaniami: proces transgraniczny nadal zwróci tylko datę rejestracji i ostatniego połączenia. W przypadku dochodzeń w Indiach, podobnie jak w innych miejscach, realistycznym źródłem dowodów jest legalna informatyka śledcza zabezpieczonego urządzenia, a nie serwery Signal.
Czego będziesz potrzebować
- Zarejestrowanego numeru telefonu (jedyny użyteczny identyfikator konta);
- Prawidłowego procesu prawnego w celu potwierdzenia rejestracji i uzyskania dwóch pól daty;
- Co najważniejsze, planu legalnego zabezpieczenia i poddania analizie śledczej urządzenia, na którym przechowywana jest zawartość Signal;
- Dla agencji indyjskich: wniosku MLAT za pośrednictwem MHA — przy jednoczesnym uznaniu, że serwer nie dostarcza niemal niczego.
Pełny katalog portali wniosków organów ścigania dla głównych platform znajduje się w naszym centrum portali LERS lub w przewodniku LERS po poszczególnych platformach.