Signal, Android beta'da telefon numarası olmadan kaydı başlattı; ZK kanıtları ücretle hesaplar arasındaki bağı koparıyor

Signal artık Android kullanıcılarının telefon numarası vermeden hesap açmasına izin veriyor ve en çok kullanılan güvenli mesajlaşma uygulamasındaki en uzun soluklu gizlilik açıklarından birini kapatıyor. dev.to'daki teknik bir yazıya göre özellik, 16 Eylül 2026'da Signal Android 8.28.0 betasında isteğe bağlı ve ücretli bir kayıt yolu olarak geldi — ve zero-knowledge kanıtları, çevresindeki haberlerde anlatılandan daha dar bir rol oynuyor.

Gerçekte ne geldi

Numarasız bir hesap iki sırdan oluşuyor: bir Account ID ve bir Account Key; Signal Android lead'i Greyson Parrelli bunları "bir kullanıcı adı ve şifre" olarak tanımladı. Akışın hiçbir noktasında telefon numarası toplanmıyor ve hesabın arkasındaki kişi hakkında hiçbir şey doğrulanmıyor.

Özellik yalnızca Android'de var ve hâlâ beta aşamasında. Signal'in sürüm notlarını ve forum gönderilerini özetleyen dev.to yazısı, 23 Eylül 2026 tarihli 8.29 beta notlarının telefonsuz kaydı bir haftalık test süresi için daha betada tuttuğunu, 8.30.0'ya kadar olan iOS sürüm notlarında bundan hiç söz edilmediğini ve Signal Desktop'ta bağımsız kayıt olmadığını bildiriyor.

29 Eylül 2026 itibarıyla koşullar sıkı. Kayıt, uygulama içi tek seferlik bir satın alma gerektiriyor — Amerika Birleşik Devletleri'nde 3 dolar, ülkeye göre fiyatlar değişiyor — ve hiçbir kurtarma mekanizması yok: Account Key'i kaybederseniz hesap gidiyor ve anahtar PIN'in yerini aldığı için PIN de yok. Kullanıcı adı isteğe bağlı; Signal, kullanıcı adı olmadan hesabın kendi başlattığı sohbetler dışında "tamamen ulaşılamaz" olduğunu söylüyor. Mevcut hesaplar henüz telefon numaralarından kurtulamıyor, ancak Signal bunun ileride mümkün olabileceğini belirtiyor. Yeni hesaplarda TOTP ile iki faktörlü kimlik doğrulama var, passkey ve donanım anahtarları söz verildi; telefon numarası hesaplarında ise henüz sunulmuyor.

Zero-knowledge kanıtın yeri

Kriptografi, telefon numarasının yerini alan şey değil — bunu Account ID ve Key yapıyor. Zero-knowledge kanıtı, Signal'in ödemeyi, o ödemenin finanse ettiği hesapla bağlayamaması için var. dev.to'nun aktardığı bir Signal Community forum gönderisinde Parrelli, satın almanın Signal'in bağış sisteminin arkasındaki zero-knowledge kanıtlarını yeniden kullandığını, böylece ödeme ile hesap arasında hiçbir bağ bulunmadığını yazdı. Bu mekanizma, bağış rozetlerini çalıştıran anonim kimlik bilgisi kodundan geliyor ve libsignal içindeki zkgroup ve zkcredential crate'lerinde yer alıyor.

Kötüye kullanım kontrolünü önemli ölçüde sağlayan şey, matematik değil ücretin kendisi. Parrelli ücretin sorumlusunu spamlar olarak gösterdi; ücretsiz hesapların kötü aktörlere toplu kayıt imkânı tanıyıp ağa zarar vereceği uyarısında bulundu ve Signal, numarasız hesaplar bir spam vektörüne dönüşürse fiyatı yükseltebileceğini söyledi.

Bir boşluk daha var. Bugün tek ödeme yöntemi Play Store uygulama içi satın alma; yani Signal ödemeyi bir Signal hesabına bağlayamasa bile Google, Google hesabınızda bir Signal satın alması görüyor. Signal daha fazla ödeme yönteminin planlandığını söylüyor ve Play Services olmayan cihazlar şu anda hiçbir şekilde numarasız hesap satın alamıyor.

Neden önemli

Telefon numaraları özel bir mesajlaşma uygulaması için zayıf çapalardır: operatörler aracılığıyla gerçek dünyadaki kimliğe bağlıdırlar, taşınabilir veya taklit edilebilirler ve merkezi bir üçüncü tarafa kimin kayıt olabileceği konusunda koz verirler. Numarasız kayıt talebi, dev.to analizine göre en az 2018'den beri Signal'in topluluk forumlarında takip ediliyor.

Daha derin anlamı desende yatıyor: sağlayıcının matematiksel olarak hangi hesabın ödediğini öğrenemediği, bir hizmete ücretli erişim. Aynı kimlik bilgisi tasarımı diğer sorunlara da genellenebiliyor — yalnızca davetle erişilen hizmetler, doğum tarihi depolanmadan yaş veya üyelik doğrulaması ve kullanıcıları izlemeyen hız sınırlama — ve Signal'in zkgroup kodu incelemesi için herkese açık.

Yazı ayrıca zero-knowledge kanıtlarının her derde deva olmadığı konusunda uyarıyor. Bazı kanıt sistemleri, ele geçirilmesi sahte kanıtlara izin verecek bir güvenilir kurulum gerektirir; kimlik bilgileri körleştirilmeden önce çalınabilir, devre hataları geçersiz kanıtların doğrulanmasına izin verebilir ve kanıtın kendisi sağlam olsa bile metadata sızabilir. Signal'in adımı gerçek, ama şimdilik güven modeli, kriptografi kadar üç dolarlık bir ücrete ve Google'ın ödeme altyapısına dayanıyor.