Signal готовит регистрацию без номера телефона: платный «Signal Login» уже лежит в коде Android-клиента

Signal делает регистрацию без номера телефона, и вся работа лежит в открытом коде. За последние четыре недели разработчик Signal выложил в репозиторий Signal-Android серию коммитов под названием «Signal Login»: разовая покупка через Google Play, после которой пользователь получает идентификатор аккаунта и ключ восстановления из 64 символов вместо запроса номера. 9 сентября появился и сам экран оплаты с кнопкой «Pay» и ценой. Официального анонса нет, а в текущем коде функция включена только для внутренних сборок компании, так что снаружи попробовать её пока нельзя.

Что видно в коде, по порядку

Signal публикует код клиента и сервера, поэтому функцию можно проследить коммит за коммитом и без анонса. Android-часть подписана в основном Грейсоном Паррелли, давним разработчиком Signal; серверная параллельно идёт в репозитории Signal-Server. Внутренний флаг, который включает сценарий, 9 сентября перевели с «только staging» на «только внутренние сборки», поэтому участники публичной беты, у которых код лежит в телефоне с версии 8.26, ничего не видят.

1. 17-19 августа: сетевые заглушки и заглушки экранов настроек для «регистрации без номера»; на сервере появляется тест, регистрирующий аккаунт без номера по статическому credential (18 августа).
2. 25-26 августа: каркас экранов логина и 1632 строки текстов, включая «Сохранить как PDF» для ключей и предупреждение, что потерянный логин восстановить нельзя.
3. 2 сентября: «базовая возможность зарегистрировать аккаунт без номера» и «базовая возможность войти в существующий аккаунт без номера»; для таких аккаунтов скрываются напоминания о PIN, блокировка регистрации и настройка видимости по номеру; добавляется сохранение логина в менеджер паролей.
4. 9 сентября: «Add ability to pay for a signal login» подключает оплату через Google Play, receipt credential и логику продолжения после сбоя; тем же вечером добавляются сквозные тесты сценариев без номера.

Как платный логин должен остаться анонимным

Номер телефона для Signal никогда не был способом установить личность, это была защита от спама: номер стоит денег, и их конечное число. Технический директор компании Эрен Крет говорил об этом на конференции FUTO «Don't Be Evil», когда подтвердил, что регистрация без номера планируется «надеюсь, позже в этом году», а препятствие - злоупотребления, а не приватность. Платный логин сохраняет цену и убирает номер. Очевидное возражение: платёж идентифицирует не хуже SIM-карты. Код отвечает на него той же конструкцией, которую Signal ввёл для значков доноров в 2021 году и повторно использовал для платных резервных копий. Приложение проводит покупку в Google Play, затем формирует «ослеплённый» запрос на receipt credential; сервер Signal подписывает его, не видя аккаунт, к которому он будет привязан; при регистрации приложение предъявляет credential как доказательство, что некий логин оплачен. Комментарий в репозитории поясняет, что запись о покупке сохраняется до её погашения, «чтобы сбой на любом шаге после оплаты оставлял точку для продолжения», а погашенная покупка «потребляется», и человек может купить второй логин для второго аккаунта.

От чего отказывается аккаунт без номера

Строки и скрытые настройки описывают аккаунт другого типа. Нет блокировки регистрации по PIN, потому что нечего блокировать; вместо неё в настройках появляется карточка второго фактора «для защиты аккаунта при входе через Signal Login на новом устройстве», а вызов регистрации в коде принимает одноразовый код TOTP. Нет переключателя «кто может найти меня по номеру»: видимость жёстко выключена. Более ранний коммит, замеченный сообществом, говорит, что аккаунты без номера никогда не смогут его получить, а аккаунты с номером - потерять, то есть существующий аккаунт нельзя просто отвязать от SIM-карты; аккаунт без номера - это новый аккаунт. Имя пользователя становится способом вас найти, и приложение теперь показывает диалог подтверждения, если попытаться пропустить его создание. Главное: ключи и есть аккаунт. Экран с информацией прямо говорит: «если вы забудете ключи, восстановить аккаунт будет невозможно», и приложение заставляет ввести их заново, чтобы доказать, что вы их сохранили. Это та же сделка, которую заключает любой, кто переходит с SMS-кодов на приложение-аутентификатор или аппаратный ключ: никто не сможет сбросить доступ за вас, и в этом смысл.

Почему проблемой был именно номер

Signal годами сужал то, что выдаёт номер телефона. Приватность номера по умолчанию скрывает его от других пользователей, имена пользователей позволяют писать вам без него, а поиск контактов на сервере устроен так, чтобы не раскрывать ничего, кроме совпадений. Но ничто из этого не меняет момент регистрации: SMS-код приходит на номер, который во всё большем числе стран при продаже привязан к паспорту, биометрии или виду на жительство. Тот, у кого есть доступ к оператору или к человеку, оформившему SIM-карту, знает владельца аккаунта независимо от того, что приложение прячет потом. Логин, купленный без номера, переносит этот риск с оператора на магазин приложений. Сколько он будет стоить, доллар или десять, в коде нет: экран загружает цену из Google Play на лету, а в макетах стоит заглушка. Пока Signal не переключил флаг и не опубликовал товар, честный итог такой: клиент, сервер и путь оплаты написаны и протестированы, анонса нет.