加密通信应用Signal使用明文存储密钥 死活不承认漏洞直到引起马斯克的关注
内容提要
加密通信应用Signal长期使用明文存储加密密钥，导致其他软件可以读取并解密用户对话。埃隆马斯克关注后，Signal修改了密钥加密机制，其他软件无法再直接读取解密密钥。Signal总裁回应称没有已知漏洞，但开发者已尝试修改加密机制。问题将在过渡后解决，旧密钥将被删除，Signal无法再直接查看密钥信息。
延伸解读
争议焦点：明文存储密钥是否构成漏洞
Signal长期将加密密钥以明文形式存储在桌面客户端中，导致其他软件可读取并解密用户对话。尽管2018年就有研究人员反馈，Signal官方始终否认这是安全漏洞，认为其安全策略没有问题。这一立场引发争议，因为明文存储密钥确实降低了攻击门槛，使恶意软件能够轻易获取密钥并解密通信内容。
马斯克关注成为转折点
埃隆·马斯克在社交媒体上提及Signal存在已知漏洞但未解决，虽未明确具体问题，但普遍认为指向明文存储密钥。马斯克的关注给Signal带来了舆论压力，随后Signal开发者开始修改加密机制，测试在macOS上使用安全存储机制，要求访问密钥需用户授权。这表明外部关注推动了问题的解决。
过渡方案与未来影响
为了平稳过渡，Signal开发了回退机制，允许客户端在遇到问题时使用旧数据库密钥恢复对话。完成过渡后，旧密钥将被彻底删除，未来Signal自身也无法直接查看密钥信息，其他软件和恶意软件将无法再利用明文密钥解密用户对话。这一改变将提升桌面客户端的安全性，但过渡期间用户可能面临兼容性问题。
处理方式引发责任质疑
问题持续六年才得以解决，Signal最初否认漏洞存在，直到马斯克关注后才采取行动。这种处理方式被批评为不负责任，因为安全漏洞的延迟修复可能使用户长期暴露于风险之中。尽管Signal总裁仍称没有已知漏洞，但实际修改行为间接承认了问题的存在。这提醒用户，即使是注重隐私的应用，也可能在安全实践上存在不足。
Q&A
Signal应用存储加密密钥的方式是什么？
Signal长期使用明文存储加密密钥，导致其他软件可以解密用户对话。
埃隆·马斯克对Signal的看法是什么？
马斯克认为Signal存在已知漏洞但未解决，特别是明文存储加密密钥的问题。
Signal如何回应关于明文存储密钥的质疑？
Signal总裁回应称没有已知漏洞，仍不认为明文存储密钥是问题。
Signal在处理密钥存储问题上采取了哪些措施？
Signal开发者尝试修改加密机制，并引入安全存储机制，需要用户授权。
Signal的旧密钥会如何处理？
旧密钥将在过渡后彻底删除，未来Signal无法直接查看密钥信息。
Signal的明文存储密钥问题持续了多久？
这个问题持续了六年，Signal的处理方式被认为不负责任。
