X-Nutzer können keine „Signal.me“-Links posten

 (disruptionist.com)
1 Punkte von GN⁺ 2025-02-18 | 1 Kommentare | Auf WhatsApp teilen
  • X verhindert, dass Links zur Direktkontakt-Domain von Signal, Signal.me-Links, in DMs, öffentlichen Beiträgen und Profilbeschreibungen gepostet werden
  • Bei der Blockierung erscheinen je nach Umgebung, etwa Web oder iPhone-App, Fehlermeldungen wie „potentially harmful“, „looks like it might be automated“ oder „Description is considered malware“
  • Bereits gepostete Signal.me-Links werden nicht vollständig blockiert, Nutzer müssen jedoch eine Warnseite der URL Policy von X passieren, bevor sie weitergeleitet werden
  • Die Blockierung scheint sich auf Signal.me zu konzentrieren; ähnliche Links wie Signal.org oder Telegram-Kontakt-URLs scheinen erlaubt zu sein
  • Es ist weiterhin möglich, Signal.me-Handles als Text zu posten, damit Nutzer sie kopieren und in die Signal-App einfügen

Auf X blockierte Signal.me-Links

  • X blockiert das Posten von Links zur Domain Signal.me, die Signal-Nutzer teilen, damit sie direkt in der App kontaktiert werden können
    • Die Blockierung umfasst DMs, öffentliche Beiträge und Profilbeschreibungen
  • Beim Versuch, sie zu posten, werden je nach Nutzungsumgebung unterschiedliche Fehlermeldungen angezeigt
    • „We can’t complete this request because this link has been identified by X or our partners as being potentially harmful“
    • „This request looks like it might be automated“
    • Beim Hinzufügen zur Profilbeschreibung erscheint: „Account update failed. Description is considered malware“
  • Auch bereits vorhandene Signal.me-Links führen beim Anklicken nicht direkt weiter, sondern über eine Warnseite
    • X teilt mit, der Link sei als „potentially spammy or unsafe“ identifiziert worden
    • Nutzer können die Warnung ignorieren und über einen zusätzlichen Link zur ursprünglichen Signal.me-URL weitergehen

Bestätigter Umfang und verbleibende Umgehungsmöglichkeit

  • Unklar ist, wann die Blockierung begonnen hat; zuvor konnten Signal.me-Links in öffentliche Beiträge und Profilbeschreibungen eingefügt werden
  • Die Auswirkungen scheinen auf Signal.me-URLs beschränkt zu sein
    • Andere Signal-Links wie Signal.org scheinen nicht blockiert zu werden
    • Ähnliche Links zu Drittanbieterdiensten, etwa Telegram-Kontakt-URLs, sind auf X erlaubt
  • Der Sicherheitsforscher Mysk entdeckte das Problem erstmals in der Nacht des 16. Februar 2025; die Blockierung in DMs, Beiträgen und Profilbeschreibungen wurde bestätigt
  • Signal wird seit Langem als wichtiges privates Kontaktmittel zwischen Journalisten und Hinweisgebern genutzt
    • Nachrichten sind Ende-zu-Ende-verschlüsselt
    • Inhalte werden auf den Geräten gespeichert und nicht in der Cloud auf Signal-Servern abgelegt
  • In den vergangenen Wochen spielte Signal auch eine wichtige Rolle, als Bundesbedienstete Journalisten Hinweise dazu gaben, dass Elon Musks DOGE auf Daten mehrerer Regierungsbehörden zugegriffen hatte
  • Derzeit können Signal-Nutzer ihre Signal-Handles als Text auf X posten; andere Nutzer können sie kopieren und in die Signal-App einfügen

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2025-02-18
Meinungen auf Hacker News

  • Ich will weder Twitter noch die Richtlinie verteidigen, aber das könnte auch ein ehrlicher Fehler gewesen sein.
    Bei der Größe von Twitter sind Schutz und Erkennung unsicherer URLs üblicherweise automatisiert; es könnte ähnlich sein wie in Fällen, in denen URL-Shortener wegen Malware, Phishing oder verbotener Inhalte pauschal blockiert wurden.
    Mit dem Wachstum von Signal tauchen signal.me-Links auf Twitter häufiger auf, und selbst wenn die meisten legitime Links sind, könnte auch die Zahl illegaler Links gestiegen sein, sodass eine automatische Sperre ausgelöst wurde.
    Das eigentliche Problem ist, dass Twitter sich, selbst wenn es Absicht war, leicht hinter „übermäßiger Automatisierung“ und einer Entschuldigung verstecken kann – besonders dann, wenn nach der Übernahme von Twitter die entsprechenden Fachleute gegangen sind oder entlassen wurden und die Automatisierung nicht mehr richtig gepflegt und angepasst wurde.

    • Der Kernpunkt steckt in der Fußnote. Selbst wenn es nur ein Fehler war, hätte man das bei einer Änderung an der URL-Blockierung einer so häufig geteilten Website durch menschliche Prüfung leicht vermeiden können.
      Wenn man es als „Effizienz“ betrachtet, nicht einmal Leute zu behalten, die wissen, dass URL-Fragmente und Hashtags dasselbe Zeichen verwenden, dann sollte so jemand nicht einmal in die Nähe einer Organisation kommen, die mit „Regierungseffizienz“ zu tun hat.
    • Dass alle verbotenen Links dieses Format hatten, macht das plausibel.
      https://signal.me/#eu/fdy5h1miMifXa...
      Der URL-Hash (der Teil nach #) wird von automatisierten Systemen oft nicht als bedeutungsvoller Teil der URL betrachtet. Ursprünglich dient der Hash nämlich dazu, auf eine bestimmte Stelle innerhalb der Webseite zu verweisen, die über die URL davor geladen wurde.
      Wenn irgendein Signal.me-Link aus einem berechtigten Grund wie Malware oder illegalen Inhalten markiert wurde, ist es durchaus möglich, dass das Automatisierungssystem den Hash entfernt und dann die gesamte Domain blockiert hat, deren Pfad im Grunde nur / ist.
      Es wird interessant sein zu sehen, ob sie das beheben und rückgängig machen. Falls nicht, kann man ziemlich sicher von Absicht ausgehen.
    • Der Zweck eines Systems ist das, was das System tatsächlich tut.
    • Es gibt drei Gründe, warum das schwer zu glauben ist: Wie lange es selbst bei einem Automatisierungsfehler dauert, das rückgängig zu machen; warum es nur bei X blockiert wird und nicht bei anderen sozialen Netzwerken; und ob X nicht früher schon Substack- und Mastodon-URLs blockiert hat.
    • Eine Plattform, die auf dem Teilen von Links basiert, sollte wissen, welche Domains auf URL-Shortener verweisen.
      Selbst wenn die Verarbeitung automatisiert ist, sollte man bei URLs wie signal.me, bit.ly oder goo.gl zuerst ein GET ausführen und den Algorithmus auf das Ziel im Location-Header anwenden.
      Das bei einem so weit verbreiteten URL-Shortener wie signal.me nicht zu tun, zeigt technische Inkompetenz.

  • Nutzen Menschen in den USA immer noch X? Falls ja, würde mich interessieren, warum. Wenn man auf dieser Plattform bleibt, bringt man den Eigentümer doch seinem Ziel, das eigene Land zu ruinieren, einen Schritt näher, oder?

    • Wie bei allen sozialen Plattformen: wegen der Netzwerkeffekte. Die eigentliche Funktionalität ist gegenüber Nutzerbasis und Kultur zweitrangig, und natürlich beeinflusst die Funktionalität diese Kultur stark, bleibt aber dennoch sekundär.
      Bei Multiplayer-Spielen, Treffpunkten und Third Places ist es ähnlich.
      Für viele Gruppen ist xitter die Standardplattform. Zum Beispiel nutzen Zeichner von erotischen Werken im Anime-Stil sie als primären Veröffentlichungsort, und viele Unternehmen posten dort unmittelbare Informationen wie Serviceausfälle oder geänderte Öffnungszeiten. Allein das reicht schon als Grund, warum Leute bleiben.
    • Als Elon die Plattform übernahm, habe ich aufgehört, X zu nutzen, und nachdem Elon vollständig in Richtung MAGA-Nazi abgedriftet war, habe ich schließlich auch mein langjähriges Konto gelöscht. Ich war ein früher Nutzer, schon bevor Twitter populär wurde, aber ich bereue es nicht.
    • Selbst die Europäische Union führt X noch als wichtige Plattform: https://european-union.europa.eu/index_en
    • Einige kluge, scharfsinnige Leute posten aus irgendeinem Grund nur auf X. Ich wünschte, sie würden eine andere Website wählen, aber ich sehe keinen großen Schaden darin, ihnen weiter zu folgen.
      Ich vermute, dass auch viele Freunde oder Familienmitglieder außerhalb der Tech-Welt nur auf einem einzigen sozialen Medium posten. Ich habe mir auf diversen Plattformen Konten angelegt, um alte Freunde weiter verfolgen zu können.
    • Paradoxerweise ist es in puncto Reichweite immer noch die beste Plattform, um der Propaganda von Elon und ähnlichen Leuten entgegenzutreten.

  • Ich habe nachgeschlagen, was signal.me-Links genau sind, und die Details scheinen hier zu stehen:
    https://signal.miraheze.org/wiki/Signal.me_URLs
    https://signal.miraheze.org/wiki/Usernames#Username_links
    Signal.me-Links sind lediglich eine einfache Möglichkeit, eine Telefonnummer oder einen Benutzernamen an andere zu schicken; es gibt keine kryptografische Identitätsprüfung und keinen Schutz der Telefonnummer oder des Benutzernamens. Um die Sperre zu umgehen, könnten Signal-Nutzer ihre Telefonnummer oder ihren Benutzernamen einfach über Twitter/X schicken.
    Das verschlüsselte Benutzernamenformat kann widerrufen werden und bietet damit ein gewisses Maß an Identitätsschutz, aber solange es aktiv ist, kann anscheinend jemand den Signal-Server fragen, welcher Benutzername damit verbunden ist.
    Für so etwas sollte man Twitter/X von vornherein besser nicht verwenden. Mastodon fällt einem als Alternative ein, aber eigentlich wäre so ziemlich alles andere besser.

    • signal.me-Links werden genutzt, um Signal-Gruppen beizutreten oder sie zu bewerben.
    • Ein Benutzername muss nicht zwingend mit der realen Identität verknüpft sein, und auch die Telefonnummer kann verborgen werden.
      Das ist nicht die seltsamste Erklärung zur Verteidigung von Elon Musk und der Zensurpolitik von X, aber sie gehört definitiv in die Top 5.

  • Wenn man bedenkt, dass DOGE Berichten zufolge Signal als Kommunikationsplattform nutzt, ist das besonders ironisch. [1]
    [1] https://news.ycombinator.com/item?id=42579873

    • Wenn es eine offizielle Regierungsbehörde ist, dürfte sie FOIA-Anfragen unterliegen und damit verpflichtet sein, Dokumente aufzubewahren – interessant.
    • Elon nutzt Signal auch privat, daher würde ich es eher als ehrlichen Fehler ansehen, der bald behoben wird, falls er es nicht schon ist.

  • Ich bin mir ziemlich sicher, dass es daran liegt, dass nach dem Entfernen des Teils hinter # praktisch alle signal.me-Links gleich werden.
    Bei HTTP(S)-Requests wird der Teil hinter # in der angeforderten URL niemals mitgesendet; er wird nur vom Webbrowser selbst interpretiert. Gut möglich, dass auch das Anti-Spam-System den Hash einfach komplett ignoriert hat.
    Beispiel für einen blockierten Link: https://signal.me/#eu/P01wpUmC4nT2BBTwMrPAw7Nxcp81055tKHGbYw...
    Auch die Variante ohne Hash wird blockiert: https://signal.me/
    Fügt man im Pfad beliebige Zeichen hinzu, wird es nicht blockiert. Beispiel: https://signal.me/abc#eu/P01wpUmC4nT2BBTwMrPAw7Nxcp81055tKHG...

  • Ich hatte morgens etwas Zeit und habe eine einfache Website gebaut, mit der man Signal-Links auf X teilen kann.
    https://link-in-a-box.vercel.app
    Wenn das für jemanden hilfreich sein könnte, teilt es gern weiter; und wenn ihr Feedback habt, schickt es mir bitte.

    • Dieser Kommentar wurde gepostet und wird inzwischen wieder heruntergevotet; wenn ihr Zeit habt, wäre ich für Feedback dankbar.
      Da Leute bereits anfangen, das zu nutzen, möchte ich bei Problemen bei Bedarf reagieren oder etwas korrigieren.

  • In einem ähnlichen Zusammenhang hat das schwedische Militär Beschäftigten mit militärbezogenen Aufgaben empfohlen, für Anrufe und Nachrichten, die nicht einer höheren Geheimhaltungsstufe unterliegen, Signal zu verwenden.
    https://cornucopia.se/2025/02/forsvarsmakten-infor-krav-pa-s... (Schwedisch)

  • Dieser Absolutismus der Meinungsfreiheit ist wirklich hart.

  • Für euch gilt Meinungsfreiheit, für mich nicht.

    • Wieso, kann Musk etwa problemlos Signal-Links auf X posten?
    • Manche Meinungsfreiheit ist freier als andere. /s

  • Von hier aus gesehen wirkte die Eigentümerschaft von signal.me hinter Cloudflare und WHOIS-Privacy ziemlich verschleiert, was mich stutzig gemacht hat.
    Für eine Infrastruktur-Domain ist das keine gute Idee. Es erschwert die manuelle Prüfung und begünstigt dadurch anhaltendes Overblocking.
    Es gibt aber eine offizielle Dokumentation, die signal.me erwähnt: https://support.signal.org/hc/en-us/articles/360007320291-Fi...
    Diese Seite ist im Bing-Index, aber Suchmaschinen scheinen „signal.me“ wie ein Stoppwort zu behandeln.