A privacidade não tem preço, mas o Signal é caro
(signal.org)- O Signal é um mensageiro privado operado com uma estrutura sem fins lucrativos, sem monetização baseada em vigilância, e estima que seus custos operacionais anuais cheguem a cerca de US$ 50 milhões em 2025
- Em novembro de 2023, só os custos de infraestrutura já eram de cerca de US$ 14 milhões por ano, com armazenamento, servidores, verificação de registro, largura de banda e outros serviços representando uma fatia significativa
- Como criptografa de ponta a ponta mensagens, arquivos, perfis e informações de contatos sempre que possível e armazena o mínimo possível, não recupera esses custos com anúncios nem com venda de dados para treinamento de IA
- Cerca de 50 funcionários em tempo integral cuidam de Android, Desktop, iOS, servidor, RingRTC, libsignal, produto e design, localização e suporte, e salários com benefícios somam cerca de US$ 19 milhões por ano
- Recursos de proteção de privacidade custam mais para implementar do que recursos comuns, e o Signal busca operar com base em pequenas doações e responsabilidade perante os usuários, não perante investidores ou metas de crescimento
Estrutura de custos e princípios operacionais do Signal
- Desde seu lançamento em 2013, o Signal fornece tecnologia de criptografia de ponta a ponta por meio do Signal Protocol, que se tornou um padrão de fato para proteger bilhões de conversas em serviços como WhatsApp e Google Messages
- Mais recentemente, o Signal adicionou uma camada resistente a ataques quânticos ao Signal Protocol e, antes disso, desenvolveu tecnologias de proteção de metadados como sealed sender, proteção de contatos, proteção de membros de grupos e proteção de nomes de perfil
- A organização documenta suas decisões técnicas e publica o código como open source, permitindo revisão externa
Estrutura sem fins lucrativos e operação baseada em doações
- Diferentemente da maioria das empresas de tecnologia voltadas ao consumidor, o Signal é uma organização sem fins lucrativos
- Essa estrutura dificulta que investidores ou um conselho focado em receita pressionem a organização a sacrificar parte da privacidade em momentos difíceis
- Muitas tecnologias gratuitas para o consumidor cobrem seus custos com monetização por vigilância e invasão de privacidade, além de usar growth hacking e dark patterns para aumentar o tempo gasto em feeds e notificações
- O Signal também é gratuito para usar, mas rejeita design manipulativo e os modelos de negócio que o incentivam
- Seu financiamento veio de doações e do empréstimo inicial de Brian Acton, e o objetivo de longo prazo é se aproximar de uma estrutura totalmente sustentável com pequenas doações de muitos usuários
Por que são necessários US$ 50 milhões por ano
- Ser sem fins lucrativos não reduz o custo de criar um aplicativo global de comunicação
- O Signal compete em uma área moldada por empresas bilionárias que definiram normas e ecossistemas técnicos, e os modelos de negócio dessas empresas entram em conflito com a missão de privacidade do Signal
- Em 2025, o Signal estima precisar de cerca de US$ 50 milhões por ano para operar
- Em comparação com outros aplicativos populares de mensagens que não respeitam a privacidade, esse valor é considerado bastante contido
- A divulgação desses custos não é uma contabilidade completa, mas um exemplo de para onde vai o gasto operacional, com foco especial em infraestrutura e pessoal
Custos de infraestrutura em novembro de 2023
- O custo atual de infraestrutura do Signal é de cerca de US$ 14 milhões por ano
- Armazenamento: US$ 1,3 milhão por ano
- Servidores: US$ 2,9 milhões por ano
- Custos de registro: US$ 6 milhões por ano
- Largura de banda total: US$ 2,8 milhões por ano
- Serviços adicionais: US$ 700 mil por ano
- Os serviços adicionais incluem monitoramento de uptime, alertas de falha, capacidade redundante para recuperação de desastres e contratos de manutenção
O custo mesmo armazenando o mínimo possível
- O Signal criptografa de ponta a ponta tudo o que pode e armazena o mínimo possível
- Quando uma mensagem é enviada, o serviço do Signal coloca a mensagem criptografada em uma fila temporária para entrega e, quando a entrega termina, esse pacote de dados criptografados pode ser removido da fila
- O armazenamento de arquivos criptografados de ponta a ponta também é temporário, e dados criptografados não entregues são excluídos automaticamente após um período de inatividade
- Mesmo só com esse armazenamento temporário, o Signal gasta cerca de US$ 1,3 milhão por ano
- O Signal não consegue ler nem acessar mensagens criptografadas, e as chaves de descriptografia ficam com os usuários, não com o Signal
- As tecnologias de criptografia de metadados também são projetadas para impedir acesso a informações sensíveis como quem está enviando mensagens, lista de contatos e dados de perfil
Servidores e o custo dos recursos de privacidade
- Para oferecer um serviço global e chamadas de voz e vídeo de alta qualidade, os servidores do Signal precisam estar distribuídos pelo mundo todo
- Latência em comunicação em tempo real pode causar atraso no áudio ou piora na qualidade do vídeo, reduzindo a usabilidade do aplicativo
- O Signal aluga infraestrutura de vários provedores, como Amazon AWS, Google Compute Engine e Microsoft Azure, mas tudo é criptografado de ponta a ponta, então nem o Signal nem os provedores de infraestrutura podem acessar mensagens e chamadas
- Uma pequena organização sem fins lucrativos como o Signal tem dificuldade para comprar e instalar diretamente os servidores físicos necessários em datacenters independentes ao redor do mundo
- Em 2017, o Signal desenvolveu uma forma de busca privada de contatos usando trusted execution environment
- Os usuários podem encontrar amigos e contatos sem expor sua agenda ao Signal
- No início, alguns poucos servidores bastavam, mas com o crescimento de usuários, nos picos foram necessários cerca de 600 servidores só para a busca privada de contatos, com custo anual de mais de US$ 2 milhões
- Com melhorias em pesquisa de algoritmos e atualizações de hardware, hoje o sistema processa mais tráfego com cerca de 10 servidores
Custos de registro e o problema da verificação por SMS
- Quando é instalado de novo ou registrado novamente em um novo dispositivo, o Signal envia um código de registro por SMS ou chamada de voz para verificar se a pessoa realmente possui o número de telefone
- Esse processo é importante para impedir a criação de contas de spam e evitar que o serviço se torne inutilizável
- Os códigos de registro são roteados por vários provedores de telecomunicações para otimizar a qualidade de entrega no mundo inteiro
- O custo do serviço de registro para verificação de números de telefone hoje fica, em média, em cerca de US$ 6 milhões por ano
- Os custos variam bastante mês a mês e podem ser inflados por toll fraud
- Trata-se de um esquema em que alguns operadores de rede compartilham receita com fraudadores e aumentam artificialmente o tráfego de SMS e chamadas
- O Signal tenta detectar e bloquear rapidamente registros fraudulentos em cooperação com provedores de verificação por voz e SMS, mas os custos imprevisíveis permanecem
Largura de banda e custo de retransmissão de chamadas
- Todo site, aplicativo e serviço paga custos de largura de banda quando os usuários se conectam
- Grandes empresas de tecnologia como Amazon, Google e Microsoft operam seus próprios datacenters, cabos de fibra e equipamentos de rede, mas uma organização pequena como o Signal precisa alugar a largura de banda necessária dessas grandes operadoras
- O Signal gasta cerca de US$ 2,8 milhões por ano em largura de banda para suportar mensagens, fotos, vídeos, áudios, documentos e chamadas de voz e vídeo
- Chamadas de voz e vídeo exigem muito mais largura de banda do que mensagens de texto, e o recurso de chamadas criptografadas de ponta a ponta do Signal é um dos seus serviços mais caros
- Chamadas criptografadas de ponta a ponta com pessoas que não estão nos seus contatos sempre passam por um servidor de retransmissão para ocultar o endereço IP
- A maioria dos serviços concorrentes não usa essa abordagem
- Ela custa mais do que usar sempre conexões P2P quando possível
- No nível atual de tráfego, a largura de banda de saída necessária para chamadas de voz e vídeo do Signal é de cerca de 20 PB por ano, ou 20 milhões de GB
- Só o custo de largura de banda relacionado a chamadas é de cerca de US$ 1,7 milhão por ano, sem incluir salários dos engenheiros que mantêm o software de chamadas nem os custos de infraestrutura dos servidores
- O Signal também oferece uma opção para enviar todas as chamadas por servidores de retransmissão:
Privacy > Advanced > Always Relay Calls
Um mensageiro global operado por cerca de 50 pessoas
- O Signal não é apenas um serviço de preservação de privacidade, mas um conjunto de aplicativos multiplataforma e bibliotecas
- Para manter a privacidade em um ecossistema onde vigilância é o padrão, muitas vezes é necessário criar ou modificar bibliotecas próprias em vez de usar frameworks genéricos sem mudanças
- Há três equipes de cliente separadas, responsáveis por Android, Desktop e iOS
- Equipes de engenharia distintas desenvolvem e mantêm componentes como Signal Server, RingRTC e libsignal, que cobrem servidor, chamadas e bibliotecas centrais
- A equipe de produto e design define o comportamento e a aparência do aplicativo, e a equipe de localização coordena traduções para mais de 60 idiomas
- Uma equipe interna dedicada de suporte se comunica diretamente com usuários e repassa às demais equipes feedback técnico detalhado e informações em tempo real para resolver problemas
- Como o Signal não coleta dados analíticos nem telemetria sobre o comportamento dos usuários, o papel da equipe de suporte é especialmente importante
Custos de pessoal e ambiente competitivo
- O Signal atualmente tem cerca de 50 funcionários em tempo integral
- Como comparação, a LINE Corporation tem cerca de 3.100 funcionários, e a divisão da Kakao Corp que desenvolve o KakaoTalk tem cerca de 4.000
- O número total de funcionários de gigantes como Apple, Meta e Alphabet é muito maior
- Cerca de metade de todo o orçamento operacional do Signal vai para contratar, remunerar e reter pessoas
- Incluindo benefícios, serviços de RH, impostos, recrutamento e folha de pagamento, isso soma cerca de US$ 19 milhões por ano
- O Signal busca oferecer remuneração o mais próxima possível dos salários do setor, dentro dos limites de uma organização sem fins lucrativos
- Não pode oferecer participação societária, escritórios luxuosos ou benefícios típicos de grandes empresas de tecnologia, mas precisa contratar e reter profissionais experientes e especializados em um setor altamente competitivo
Recursos de privacidade geram mais custo de implementação
- À medida que o uso do Signal cresce, os custos de infraestrutura aumentam, e mais infraestrutura exige mais pessoal
- Em novembro de 2023, a rede de servidores do Signal respondia regularmente a cerca de 100.000 requisições por segundo
- Quando um serviço global processa bilhões de requisições por dia, até problemas com chance de um em um milhão deixam de ser raros
- Engenheiros às vezes escrevem código customizado para reproduzir problemas complexos de conexão IPv6 que ocorrem em regiões específicas, com certos ISPs ou configurações incomuns de sistema operacional
- Adicionar recursos comuns sem comprometer a privacidade exige trabalho significativo e criatividade
- As fotos e os nomes de perfil no Signal são sempre criptografados de ponta a ponta, e o Signal não pode acessá-los
- Essa camada de proteção é mantida há mais de 6 anos, e a avaliação é que os serviços concorrentes ainda não adotaram a mesma abordagem
- O suporte a foto de perfil não foi um projeto de fim de semana de um único engenheiro, mas exigiu a criação de novos conceitos, como profile keys, e longos testes em várias plataformas antes da implementação
- A busca por GIFs animados no Android e iOS também não usa uma simples integração de um SDK padrão de busca de GIFs
- Mais recentemente, também começou a trabalhar para adicionar resistência pós-quântica ao Signal Protocol e proteger as conversas de hoje contra ameaças futuras
Tecnologia alternativa baseada em pequenas doações
- O Signal quer mostrar que é possível uma abordagem centrada em privacidade, e não em vigilância
- Seu objetivo é sustentar e manter um mensageiro privado open source com pequenas doações
- Como o custo da tecnologia para o consumidor tem sido coberto por vigilância, as pessoas passaram a aceitar o “grátis” como padrão
- Alguns participantes da indústria acumularam enormes volumes de dados pessoais e o poder de usar esses dados
- O Signal busca um modelo organizacional responsável perante as pessoas que usam o serviço, e não perante investidores nem metas de crescimento e receita
- Doações podem ser feitas pelo site do Signal ou pelas instruções de doação no aplicativo
1 comentários
Comentários do Hacker News
A transparência total, que induz com cuidado sem implorar por doações, é algo digno de reconhecimento
É refrescante em comparação com o jeito que a Wikipedia faz. O CEO envia e-mails irritados como “LAST REMINDER” ou “We've had enough”, e, ironicamente, manda até para quem já doou
A Wikipedia tem tanto dinheiro que gasta parte dele com consultores que prometem “arrecadar mais”, e o mundo é estranho, mas é assim que funciona. Acho melhor um modelo de fundo patrimonial (endowment) como o da Wikipedia. Há um orçamento previsível e um fundo capaz de sustentar a operação no longo prazo, e nós só precisamos aguentar as campanhas de arrecadação. Bloqueio com um filtro do uBlock. Paguei 6 dólares em 2012 e, pelos critérios de marketing deles, isso parece suficiente para a vida toda
Depois disso, imediatamente comecei a receber uma enxurrada de correspondências pedindo mais dinheiro, e elas ainda não pararam, então continuo me arrependendo
Não sei para onde o dinheiro vai, mas é claro que uso o site quase vinte vezes por dia e tiro valor real dele
Mesmo sendo membro vitalício da associação de ex-alunos da minha universidade, continuo recebendo correspondências com títulos como “YOUR OFFER INSIDE”. Quando abro, a tal “oferta” é para eu pagar mais dinheiro
Dados de remuneração de 2022 para quem tiver interesse: https://projects.propublica.org/nonprofits/organizations/824...
Jim O'leary, vice-presidente de engenharia, cerca de US$ 700 mil; Ehren Kret, CTO, cerca de US$ 670 mil; Aruna Harder, COO, cerca de US$ 470 mil; vários desenvolvedores de software na faixa de US$ 420 mil a US$ 480 mil. Meredith Whittaker aparece com cerca de US$ 197 mil, Moxie Marlinspike com cerca de US$ 82 mil, e Brian Acton com US$ 0
Eles gastam US$ 6 milhões enviando códigos de verificação por SMS ou chamada de voz no cadastro, quando deveriam simplesmente seguir um modelo distribuído. O que ditadores controlam são as redes móveis e a infraestrutura, e, na prática, eles rastreiam as pessoas de um jeito ou de outro. Esse custo coloca pessoas em risco. Vincular identidade à infraestrutura das operadoras é uma falha fatal de privacidade e também é caro. Se o objetivo é ser a solução mais privada, isso não pode continuar sendo tolerado. Identidades deveriam ser chaves criptográficas
Ou seriam 7 pessoas de nível C, incluindo 3 escondidas sob o cargo de “desenvolvedor de software”, somando algo em torno de US$ 3,7 milhões? Se essa pergunta não for respondida, eu jamais doaria para um lugar assim. Em contraste, a organização sem fins lucrativos local da Finlândia da qual faço parte também opera o Matrix, entre vários serviços, cobra apenas 40 euros por ano, e esse dinheiro não vai para executivos de nível C
chat.signal.orgresolve para AWS, e, se você usa muita largura de banda na AWS, fica absurdamente caro. Dizem que o Signal usa 20 PB de largura de banda por ano só em chamadas de voz, a um custo de US$ 1,7 milhão. Mesmo estimando o preço da AWS acima da faixa de 150 TB por mês em cerca de US$ 0,05 por GB, 1,6 PB por mês dá US$ 80 mil mensais, ou US$ 960 mil por ano. Por outro lado, em países com baixo custo de banda, como os EUA, um link de internet de 10 Gbps de uma operadora Tier 1 pode custar cerca de US$ 800 por mês e processar cerca de 36 PB por ano. Então acabamos comparando 36 PB por algo em torno de US$ 10 mil por ano com 20 PB na AWS por US$ 960 mil. Não sei de onde sai o número de US$ 1,7 milhão, e mesmo US$ 960 mil já é caro demais. A AWS ganha uma quantidade enorme de dinheiro com custos de largura de banda. Seria estranho se eles não tivessem um especialista em DevOps ganhando mais de US$ 300 mil por anoQuanto aos custos de servidor, seria preciso mais material, então não vou me aprofundar, mas é bem possível que comprar e manter infraestrutura própria, ou alugá-la, seja muito mais barato do que usar AWS. Para armazenamento, é melhor comprar e manter diretamente; exemplos como a Backblaze mostram isso. Os custos de largura de banda, computação e armazenamento dos provedores de nuvem são absurdamente caros, e, se você se importa com dinheiro e resultado, precisa fazer diferente do modelo dominante de clicar algumas vezes numa UI e conectar serviços sem saber o que está acontecendo por dentro. Ainda assim, gosto do que o Signal faz e do que ele simboliza, e espero que continue indo bem
Fiz uma doação de 10 dólares ao Signal. No iPhone, dá para fazer em menos de 1 minuto: abra o Signal, toque no ícone do usuário no canto superior esquerdo, vá em “Settings” → “Donate to Signal”, toque em “Donate”, escolha uma opção de doação e pague com Apple Pay
É difícil encontrar no Google o motivo exato. Não sei se deixei passar algum procedimento de verificação de identidade em algum lugar, ou se esse tipo de pagamento é proibido usando saldo da Apple Account
Não sei por que eu aceitaria tanto incômodo para usar isso
Se você prefere o Signal, vale considerar seriamente uma doação recorrente
O Signal entregou resultados de forma consistente por anos, e, quando a opção apareceu, configurei 20 dólares por mês. Fico curioso sobre a distribuição das doações. Entre meus contatos, só vejo uma pessoa com badge de 10 dólares/mês e uma com badge de 5 dólares/mês. Claro, pode haver mais gente que ocultou o badge. Para o Signal ficar financeiramente seguro, parece precisar de 500 mil pessoas pagando 20 dólares por mês, com algumas pessoas ricas colocando mais alguns milhões de dólares por cima. Para incentivar doações, talvez o cliente pudesse estimar o custo líquido de infraestrutura gerado pelo meu uso e mostrar isso na tela de doação
Assim eu acabaria gastando mais com serviços de chat do que com dados móveis, chamadas ilimitadas, telefone fixo, DSL e serviços de streaming somados. O custo real parece ser algo como 1 dólar por usuário por ano. Se for doação opcional, normalmente pago mais que o dobro do meu custo para cobrir quem não pode ou não quer pagar, mas pagar 240 vezes o custo parece desperdício. Há muitas organizações sem fins lucrativos em áreas como pobreza ou mudanças climáticas que geram mais impacto com o mesmo dinheiro
Por que eu iria querer pagar para desenvolver algo que me prende àquela plataforma e não oferece uma forma de sair?
Na prática, uso quase só com minha parceira, mas uso todos os dias, e é bom sentir que estou apoiando algo valioso
Gosto do Signal, de sua missão e da postura rara de defendê-la, então quase passei pelo texto sem ler muito, mas os detalhes de custos e infraestrutura foram interessantes
O armazenamento temporário de 1,3 milhão de dólares por ano, os 6 milhões de dólares em códigos de verificação de cadastro, fraudes com tarifas de chamadas, gastos de datacenter de Google e Facebook, vazamentos de dados de Google e Microsoft, e 50 funcionários em tempo integral contra 3 mil a 4 mil em apps semelhantes: tudo isso é interessante
Chamar isso de vazamento de dados talvez seja um pouco forçado
Eles não tinham feito antes algum recurso relacionado a criptomoeda? Fico curioso sobre como isso está indo
Acho que se chamava MobileCoin, e de fato existe: https://support.signal.org/hc/en-us/articles/360057625692-In...
Isso está gerando receita?
Se tivessem promovido mais agressivamente, talvez a receita tivesse aumentado, mas teriam perdido usuários que não toleram bobagem de criptomoeda
Em 2021, o Signal tinha 40 milhões de usuários ativos [1]
Com custo de infraestrutura de 14 milhões de dólares, isso dá 0,35 dólar por usuário por ano; mesmo calculando pelo custo total de 33 milhões de dólares, dá 0,825 dólar por usuário por ano. No geral, parece muito razoável
[1] https://www.businessofapps.com/data/signal-statistics/
A maior parte dos custos de redes sociais parece ficar por aí, e nesse nível muitas pessoas em países pobres também conseguem pagar
[1] https://news.ycombinator.com/item?id=38117385
Na época eu já achava razoável, e o Signal é melhor, então se justifica ainda mais
Se, no cadastro, informassem que o custo é de cerca de 1 dólar por ano e lembrassem disso uma vez por ano, acho que a maioria passaria a pagar os próprios custos bem rapidamente
Se armazenamento custa US$ 1,3 milhão por ano; servidores, US$ 2,9 milhões por ano; taxas de cadastro, US$ 6 milhões por ano; largura de banda total, US$ 2,8 milhões por ano; e serviços adicionais, US$ 700 mil por ano, então o Signal acaba gastando mais com envio de SMS de verificação no cadastro do que com toda a infraestrutura restante, excluindo tráfego. Parece excessivo
https://www.cnn.com/2023/02/18/business/twitter-blue-two-fac...
Como o tráfego de verificação de apps como o Signal aumenta enquanto a receita de SMS de seus próprios clientes diminui, elas entenderam que, de qualquer forma, as empresas de tecnologia não teriam opção senão pagar, e aumentaram bastante os preços de SMS em várias regiões. Além disso, os custos às vezes aumentam de forma imprevisível por causa de fraude de tarifas de chamadas, em que algumas operadoras de rede dividem receita com golpistas e inflacionam o tráfego de SMS e chamadas em suas próprias redes
Os EUA são uma exceção razoável, porque as tarifas de SMS para consumidores geralmente são ilimitadas ou quase isso; no resto do mundo, esse meio de comunicação ficou praticamente obsoleto por causa das margens ridículas. É uma tecnologia que poderia morrer naturalmente, mas meus parentes nos EUA ainda insistem em usar iMessage
Ele é quase universal por usuário, mas, diferentemente de endereços de e-mail, obtê-los em massa custa bastante. O problema é que a verificação por número de telefone é feita serviço por serviço. O Signal paga esse custo ao verificar usuários, e outros serviços pagam o mesmo custo de novo ao verificar seus próprios usuários. Existem operadores que funcionam como uma espécie de câmara de compensação de informações, verificando o usuário uma vez e permitindo que vários serviços confirmem um perfil verificado; fico curioso se esse modelo poderia reduzir o custo de cadastro
Ouço falar muito de escalabilidade, mas, no passado, já rodei um site no top 500 da Alexa como um app PHP em hospedagem compartilhada de US$ 5 por mês. Eu fazia bastante cache manual, mas ainda assim era possível. Meu palpite é que a stack não esteja otimizada ou, se lembro bem, era Java; ou talvez estejam fazendo, em grande escala, operações caras como SGX
Considerando o nível de adoção do Signal, no geral é impressionante que ele seja operado de forma bastante barata
O imposto da nuvem, especialmente o custo de largura de banda, é insano
Na escala do Signal, é bem provável que montar infraestrutura própria seja mais barato; poderiam começar pelo que é mais caro, armazenamento e largura de banda, e depois expandir para outras partes. SMS é lamentável, mas é central para o produto, e não tenho certeza de como torná-lo mais barato mantendo as mesmas propriedades. Cadastro com nome de usuário + senha seria um pesadelo para spam e também mudaria a experiência do usuário
Concordo também que SMS e número de telefone são centrais, mas, mesmo que o cadastro por número de telefone seja necessário, deveria haver um meio de comunicação totalmente separado do número de telefone