Signal com número secundário

Os principais aplicativos de mensagens como WhatsApp, Telegram e Signal vinculam a conta do serviço ao número de telefone. Embora esse método de autenticação facilite a descoberta e encontro da sua agenda de contatos de forma bastante imediata, há muitas razões para ter uma conta secundária nesses aplicativos. Se você é um/a jornalista, ativista, defensor/a de direitos humanos ou apenas uma pessoa querendo mais privacidade nas suas comunicações, já se deparou com situações em que gostaria de ter um canal seguro de conversa com uma pessoa, porém não gostaria de ceder o seu número de telefone particular. O Signal está implementando outras formas de identidade e isso pode diminuir a exposição do seu número para terceiros, o que resolveria a questão da privacidade em alguns casos que descrevemos.

Separar os contatos da vida profissional e privada, evitar o doxxing e o assédio online, não vincular a sua localização física ao seu número de telefone ou ainda tornar mais custoso ou impossibilitar um ataque de SIM swap são alguns exemplos e motivações. Mas manter dois ou mais aparelhos de telefone é um trabalho grande e, além do mais, mal damos conta de ter um aparelho com a última atualização de segurança devidamente aplicada.

Este guia ajudará você a comprar um novo número secundário e a registrar com uma conta no Signal. Ter um número secundário ajudará a compartimentar as suas comunicações e a manter contas nos aplicativos desvinculadas ao seu número de telefone privado. Possivelmente será necessário um treinamento de segurança digital para aprender a operar as suas identidades digitais.

De forma resumida, as etapas para criar a conta secundária no Signal:

1. Obter um novo número de telefone através de um serviço de Voz sobre IP (VoIP).
2. No serviço de VoIP vamos configurar para encaminhar as mensagens de SMS e as chamadas para o seu número de telefone principal.
3. Por fim, utilizaremos o código para registrar a nossa nova conta no Signal.

E antes de começar:

• Para iOS: será mais fácil usar um segundo dispositivo móvel para instalar o Signal, por exemplo, outro smartphone, um iPad ou um iPod Touch. É possível seguir o guia somente com um aparelho, mas neste caso será necessário temporariamente apagar o Signal para criar a nova conta.
• Para Android: para criar um novo perfil de trabalho para o Signal, instale o aplicativo Shelter via Google Play ou F-Droid. Dica: há muitos aplicativos com o mesmo nome, clique no link acima para instalar ou se preferir, procure o aplicativo pelo nome do desenvolvedor.
• Avançado: também é possível registrar o novo número no seu computador usando o signal-cli, porém, deduzo que se você opta por uma ferramenta de linha comando, você saberá o que está fazendo e pode seguir o seu próprio caminho autodidata. ;-)

Número de telefone secundário

Há diversas formas para obter um novo número de telefone para registrar o Signal. É possível utilizar um telefone fixo, comprar um chip pré-pago na sua operadora favorita ou utilizar um serviço de VoIP. A vantagem do VoIP é que você pode comprar um número internacional, o que pode tornar um ataque de SIM swap mais trabalhoso, porém, não impossível. Uma outra vantagem é que o VoIP não estará vinculado à sua localização geográfica ou diretamente vinculado a uma operadora brasileira. De todo modo, é importante ressaltar que a sua conta VoIP estará associada a uma forma de pagamento, por exemplo, ao seu cartão crédito. Portanto, não estamos falando de uma comunicação anônima entre o VoIP e o seu número principal, na qual ninguém sabe quem é o proprietário daquele número de telefone, mas sim privada: a empresa de VoIP possui os dados cadastrais e de uso, mas só informará para as autoridades caso exista uma solicitação judicial.

Dito isso, toda a sua comunicação pelo Signal com os seus contatos estará criptografada e o número secundário será utilizado apenas para registrar a conta no aplicativo. Há uma funcionalidade de bloqueio de cadastro, em que uma pessoa não conseguirá registrar uma nova conta no Signal com o seu número de telefone (por exemplo, num ataque de SIM swap), se ela não souber o código PIN que você criou. Observe que o código PIN não é o mesmo código que você recebe via SMS ou chamada telefônica para criar uma nova conta. O código PIN é criado pelo próprio usuário(a).

Neste guia utilizarei o Twilio, pois uso o serviço em outros projetos e a criação da conta exigiu uma quantidade pequena de dados pessoais. Fique a vontade para explorar outros serviços de VoIP e criar o seu próprio roteiro de aprendizado. É realmente importante que você compre e tenha controle do número de telefone, por exemplo, adicionando crédito para garantir que o número continue ativo. Ao não manter o número ativo, alguém poderá registrá-lo e tentar assumir a sua conta no Signal.

Antes de ingressar no Twilio, leia a política de privacidade do serviço e saiba quais são os dados coletados. O endereço IP do(a) usuário(a), para qual número uma mensagem e/ou chamada telefônica foi encaminhada são exemplos de dados coletados pelo Twilio. A empresa também disponibiliza relatórios de transparência informando quantos pedidos de governos foram recebidos e quantos foram atendidos. Por exemplo, no segundo semestre de 2019, o governo brasileiro requisitou a informação de duas contas, porém os dados não foram fornecidos (não há maiores detalhes sobre).

Histórias de usuárias

Nessa hora é importante pensar no seu modelo de ameaça, entender os limites da solução proposta neste guia e o que estaremos protegendo. E ampliando um pouco, além do Signal, vamos imaginar algumas histórias de usuárias e como ter um número secundário pode ajudar na segurança da nossa comunicação.

1. A jornalista investigativa. Ana é uma jornalista investigativa e deseja ter duas identidades em aplicativos de mensagem, uma profissional e outra privada. Assim Ana segue esse guia e cria a sua conta profissional no Signal. Essa conta será usada para que as fontes entrem em contato de forma segura. Ela poderá divulgar o número Signal em seu site e nas redes sociais, já que esse número é exclusivo para esse uso. Ela usará o número de telefone privado para conversar com a família, as suas amigas e colegas próximos e também orientará essas pessoas que nunca compartilhem o seu contato privado. Usando o número público, Ana participa de grupos de discussão públicos.
2. A organizadora de movimentos. Luciana participa de vários grupos online em aplicativos de mensagens e ajuda ativamente na luta por mais direitos trabalhistas na sua profissão. Ela descobriu que os donos da empresa querem saber quem está liderando e para isso estão tentando identificar os números dos administradores do grupo do WhatsApp. Os donos solicitam ao RH verificar os números de telefone. Luciana seguiu esse guia e, então, a única informação que os donos terão será um número internacional e não está vinculado a nenhuma outra conta dela como as suas redes sociais.
3. A ativista do #EleNão. Julia é a figura pública e administradora de diversas páginas online e está preocupada com doxxing, a prática de exposição de dados pessoais online. Ela leu também que um dos ataques durante a campanha do #EleNão foi o SIM swap, em que páginas do Facebook foram sequestradas. Julia segue esse guia e cria dois números internacionais: um para as suas contas em serviços online (Facebook, Twitter, Instagram) e outro para as suas comunicações públicas. Os seus atacantes não terão acesso ao número usado para recuperar a senha nas redes sociais e também não terão acesso ao seu número de telefone privado.
4. A trabalhadora sexual. A. é uma garota de programa e já houve casos de assédio de clientes. Ao seguir esse guia, A. cria duas identidades nos aplicativos de mensagem e pode separar a sua comunicação online pessoal e do trabalho. Caso ocorra uma nova tentativa de assédio, ela poderá criar um novo número público facilmente seguindo esse guia.
5. Uma pessoa comum. Natália deu match num aplicativo de paquera. Ela estava sem tempo para fazer um background check no perfil e resolveu passar o número do seu WhatsApp de paquera. Passou uma semana e ela percebeu que o match era alguém com quem ela não queria se relacionar. Ela bloqueou, mas logo apareceu uma nova mensagem vinda de outro número, da mesma pessoa. Ela bloqueou e foi para o seu grupo de amigas com seu outro número:"Aconteceu de novo, gente. Vou mudar o meu número de paquera (de novo)."

Twilio: passo a passo

Para comprar um número no Twilio, o plano básico é de USD 1/mês por um número de telefone nos Estados Unidos e Canadá mais o que for consumido em serviços de texto e chamadas telefônicas. É necessário carregar um saldo de USD 20 na primeira vez. Para determinados países o valor do número de telefone pode ser um pouco mais caro e podem exigir um pacote regulatório. Independente do país que você escolher, é importante um número com suporte a mensagem de texto (SMS) e a chamadas telefônicas.

1. Após criar a sua conta no Twilio, vamos criar um novo projeto chamado "Signal" no Console. Para conseguir um número de telefone será necessário fazer um upgrade na conta. Após o login, clique em "Upgrade" no canto superior da tela. É possível que o Twilio conceda USD 15 de crédito no período de teste (de 1 mês).
2. Confirme o seu e-mail e também o seu número de telefone principal. Não há problema do número ser do Brasil.
3. Pule o processo de onboarding ('Skip to dashboard) e clique para comprar um novo número. Para comprar um novo número, as duas funcionalidades que você vai precisar são: voz e SMS. Se você optar por um número no Brasil, o valor será de USD 4/mês, não poderá receber SMS e ainda precisará preencher todo o pacote de regulamentação para ter o número de telefone. Portanto, sugiro comprar o número de países como Estados Unidos e Canadá que não é necessário essa documentação extra. Atenção: ao clicar em 'buy' será descontado USD 1 da sua carteira e a partir daí será feito um pagamento recorrente mensal de USD 1 ou até você cancelar (liberar) o número.
4. Após comprar o número, para fazer o telefone secundário funcionar, vamos criar as ações de encaminhamento de voz e texto. Clique em "TwiML Bins". Dica: é mais fácil clicar nesse link do que encontrar na interface.
5. Para adicionar um novo Twiml Bins clique no botão de +.
6. Agora é necessário criar dois scripts para encaminhamento das chamadas telefônicas e as mensagens de texto:

Twiml Bins de chamada telefônica

Em "Friendly name" defina como "call-home-signal" e cole esse script:

<?xml version="1.0" encoding="UTF-8"?>
<Response> <Dial> +16479316420 </Dial> </Response>

Substitua o número "+16479316420" pelo seu número de telefone principal. Lembre de adicionar o código do país, +55 no caso do Brasil, e também o código da sua cidade.

Clique em "Create".

Twiml Bins de mensagem de texto

Precisamos repetir o passo acima. Clique em "Twiml Bins" na barra laterial, em seguida em + e repita o processo para as mensagens de texto.

Em "Friendly name" defina como "txt-home-signal" e cole esse script:

<?xml version="1.0" encoding="UTF-8"?>
<Response>
  <Message to="+16479316420">
    {{From}}: {{Body}}
  </Message>
</Response>

Substitua o número "+16479316420" pelo o seu número de telefone principal. Lembre de adicionar o código do país, +55 no caso do Brasil, e também o código da sua cidade.

Encaminhando as mensagens do seu número secundário

Após criarmos as duas ações de encaminhamento, nós precisaremos associar esses scripts ao novo número que acabamos de comprar.

1. Na barra lateral do Twilio, clique em "Phone Numbers" e clique no seu novo número.
2. Desça até a seção opção "Voice & Fax". Em "A call comes in", clique no primeiro drop down, que está marcando "Webhook" e selecione a opção "TwiML Bin". No menu ao lado, clique no drop down e selecione "call-home-signal".
3. Agora desça até a seção "Messaging". Em "A message comes in", clique no primeiro drop down, que está marcando "Webhook" e selecione a opção "TwiML Bin". No menu ao lado, clique no drop down e selecione "txt-home-signal". Finalmente, clique em "Save".

Parabéns! Agora o seu novo número internacional está plenamente configurado para encaminhar as mensagens de texto e as chamadas telefônicas para o seu número de telefone principal.

Registrando o Signal

Para Android

1. Instale o aplicativo Shelter via Google Play ou F-Droid para criar um novo perfil de trabalho para o Signal. Dica: há muitos aplicativos com o mesmo nome, clique no link acima para instalar ou se preferir, procure pelo desenvolvedor.
2. Após instalar, abra o Shelter e procure o app Signal, toque e selecione a opção "Clone to Shelter (Work profile)" e depois "Instalar".
3. Um ícone do Signal com uma maleta vermelha aparecerá no menu principal de apps. Utilize esse Signal para registrar o novo número.
4. Ao abrir o Signal com a maleta vermelha, ele solicitará o número para instalar. Selecione o país do nosso número secundário e adicione o seu novo número. O código do Signal chegará por SMS e, se não funcionar, solicite o código por ligação internacional.
5. Pronto, agora você possui um Signal com um número VoIP no mesmo aparelho do seu número principal, mas sem que este número VoIP esteja atrelado à sua localização física.

Para iOS

Importante: Se você não utilizar um aparelho secundário nesse processo, o Signal vai adicionar os contatos da sua agenda na sua nova conta.

1. No seu dispositivo secundário instale o Signal da App Store. Se você não possui um dispositivo secundário e o Signal já está instalado no seu celular, você precisará desinstalar e com isso todas as informações serão apagadas. Atenção: Não há como recuperar as mensagens apagadas e os seus contatos receberão uma mensagem informando que você mudou de chave.
2. Se você optou por apagar o Signal, agora instale-o novamente. Toque para abrir o Signal e ao solicitar o número para registro da nova conta, adicione o seu novo número secundário. O código do Signal chegará por SMS e, se não funcionar, solicite o código por ligação internacional.
3. Pronto, agora você possui um Signal com um número VoIP que não está atrelado a sua localização física!
4. Se você possui apenas um dispositivo, instale o Signal Desktop no seu computador. Se você já possui Signal Desktop com o seu número primário, é possível criar mais uma conta Signal instalando a versão beta do Signal Desktop. Outras opções: criar uma nova usuária no sistema operacional ou uma máquina virtual.
5. Para recuperar a sua conta Signal principal, você precisará repetir os passos acima e, ao invés de adicionar o número secundário, você utilizará o número principal.

Finalizando

Após finalizar o registro da sua conta Signal, você deve desativar as chamadas de voz e de texto no Twilio. Como o consumo desses serviços tem um custo (cada chamada ou mensagem encaminhada), alguém poderia utilizar o seu número público para gastar o seu crédito. Para desabilitar, volte na seção deste guia Encaminhando as mensagens do seu número secundário. No Twilio entre na seção "Phone Numbers", selecione o seu telefone e altere de Twiml Bins para Webhook nos dois scripts que adicionamos anteriormente e salve a nova configuração. Posteriormente se você precisar usar o SMS ou a chamada telefônica será necessário habilitar esses scripts, por exemplo, em alguns serviços que exigem a autenticação em dois passos (2FA) via SMS.

Você pode usar esse mesmo guia para criar números de telefones únicos para a recuperação de contas online de redes sociais ou mesmo para outros aplicativos de mensagem. Ataques de SIM swap contra VoIP serão mais difíceis, pois o atacante precisará primeiro descobrir o número e, no caso do VoIP internacional, será mais difícil tentar se passar por outra pessoa para conseguir o acesso ao número. Essa matéria da Vice mostra o tamanho do problema atual com as operadoras de telefonia e o ataque de SIM swap.

Se você estiver com muitas dificuldades em acompanhar o guia e precisa de um número secundário, entre em contato.

Referências

Esse guia foi elaborado e baseado a partir dos artigos abaixo:

• Locking down Signal, Freedom of Press Foundation.
• Beyond Signal phone numbers, Freedom of Press Foundation.
• How to Use Signal Without Giving Out Your Phone Number, Micah Lee, The Intercept.
• "I don't want to give out my phone number"- A gendered security issue, Jillian York.