Je adressenboek

Heel veel apps halen heel veel data van je telefoon, maar ik wil het hebben over de ergste privacy schending, namelijk niet jouw data, waar je bent, welke zoekwoorden je gebruikt of hoe lang je op een app zit. Nee, data die niet van jou is maar die je wel weg hebt gegeven. Je hele adressenboek, daar heb ik het over. Niet jouw eigen naam en adres, maar die van al je vrienden en bekenden en collega's. Al die data wordt door veel apps meteen doorgestuurd naar de servers van die bedrijven. En daarmee hebben ze heel veel kennis. Ze zien wie er bij wie bekend is, ze kunnen hele netwerken uittekenen en weten dus ook van iedereen "waar haar huis woont".

Al die persoonlijke gegevens heb je met bedrijven gedeeld zonder dat je je daar waarschijnlijk ooit over nagedacht hebt.

Maar Signal kijkt toch ook in mijn adressenboek, Signal laat weten dat er iemand die ik ken ook Signal is gaan gebruiken. Dus wat is je probleem?

Goed dat je dat vraagt. Want Signal heeft hier heel goed over nagedacht, ze willen namelijk zo min mogelijk data op hun servers hebben en hebben daarom iets slims bedacht. Ik vertel het hier in mijn eigen woorden, de precieze techniek zit net wat anders in elkaar maar als je het wilt kun je het hier lezen: Private contact discovery for Signal

In plaats van je telefoonnummer in een database te stoppen versleuteld Signal eerst je telefoonnummer, met een SHA256 hash, die versleuteling zorgt ervoor dat je telefoonnummer verandert in een reeks van 65 letters en cijfers, mijn telefoonnummer is dan iets als: 8b6c352f00651814f2fb5c33c10b3dd7446096716eaec187ecd20cbd3c9aab18. Aan die hash kun je niet zien hoelang het telefoonnummer is, of uit welke cijfers het bestaat. De hash is altijd 65 tekens, en een telefoonnummer dat op die van mij lijkt geeft een compleet ander resultaat. Maar die hash is zo goed als zeker uniek, net zoals je telefoonnummer en daarmee een prima vervanger.

Het voordeel van die hash, is dat die altijd hetzelfde resultaat oplevert als je hem maakt maar dat je niet zomaar kunt terugdraaien, en dat is ook niet nodig.

Zo kan Signal op je telefoon alle nummers in je adressenboek veranderen in een hash, en die hash wordt vergeleken met een hash die bij Signal bekend is. Als dat zo is dan, en dat gebeurt op je telefoon niet in de cloud of op een server, kan de app je melden dat diegene ook op Signal zit. De naam die je in je eigen adressenboek gebruikt bij dat telefoonnummer wordt gebruikt als naam van het nieuwe Signal-contact. Want Signal heeft geen weet van dat soort informatie.

En zo kijkt de app Signal wel in je adressenboek maar kopieert niks naar hun eigen servers en blijven jouw gegevens op mijn telefoon en verder nergens.