La privacidad no tiene precio, pero Signal es caro
(signal.org)- Signal es un mensajero privado operado con una estructura sin fines de lucro, sin monetización basada en vigilancia, y se espera que sus costos operativos anuales lleguen a unos 50 millones de dólares en 2025
- Solo los costos de infraestructura, a noviembre de 2023, rondaban los 14 millones de dólares al año, con una gran parte destinada a almacenamiento, servidores, verificación de registro, ancho de banda y otros servicios
- Como cifra mensajes, archivos, perfiles e información de contactos con cifrado de extremo a extremo siempre que es posible y almacena lo menos posible, no recupera esos costos vendiendo datos para publicidad o entrenamiento de IA
- Unas 50 personas empleadas de tiempo completo se encargan de Android, Desktop, iOS, servidor, RingRTC, libsignal, producto y diseño, localización y soporte; salarios y prestaciones suman alrededor de 19 millones de dólares al año
- Las funciones de protección de privacidad cuestan más de implementar que las funciones convencionales, y Signal busca operar con pequeñas donaciones de usuarios en lugar de responder a inversionistas o metas de crecimiento
Estructura de costos y principios operativos de Signal
- Desde su lanzamiento en 2013, Signal ha proporcionado tecnología de cifrado de extremo a extremo mediante el Signal Protocol, que se ha convertido en un estándar de facto para proteger miles de millones de conversaciones en WhatsApp, Google Messages y otros servicios
- Más recientemente, añadió una capa resistente a la computación cuántica a Signal Protocol, y anteriormente desarrolló tecnologías de protección de metadatos como sealed sender, protección de contactos, protección de membresía de grupos y protección del nombre de perfil
- Documenta sus decisiones técnicas y publica el código como open source para permitir revisión externa
Estructura sin fines de lucro y operación basada en donaciones
- A diferencia de la mayoría de las empresas de tecnología para consumidores, Signal es una organización sin fines de lucro
- Esta estructura funciona como un mecanismo que dificulta que inversionistas o una junta enfocada en ingresos presionen para sacrificar parte de la privacidad en momentos difíciles
- Muchas tecnologías gratuitas para consumidores cubren sus costos con monetización basada en vigilancia y vulneración de la privacidad, y también aumentan el tiempo de uso con growth hacking y dark patterns en feeds y notificaciones
- Signal también puede usarse gratis, pero rechaza el diseño manipulador y el modelo de negocio que lo incentiva
- Su operación se ha financiado con donaciones y con el préstamo inicial de Brian Acton, y su meta de largo plazo es acercarse a una estructura completamente sostenible basada en pequeñas donaciones de muchos usuarios
Por qué se necesitan 50 millones de dólares al año
- Ser una organización sin fines de lucro no reduce el costo de crear una app global de comunicación
- Signal compite en un terreno donde empresas valuadas en miles de millones de dólares han definido normas y ecosistemas tecnológicos, y sus modelos de negocio chocan con la misión de privacidad de Signal
- En 2025, se espera que operar Signal requiera unos 50 millones de dólares al año
- Esa cifra sigue siendo muy moderada en comparación con otros mensajeros populares que no respetan la privacidad
- La publicación de costos no es un desglose contable completo, sino un ejemplo de en qué se gasta el dinero operativo, especialmente en infraestructura y personal
Costos de infraestructura a noviembre de 2023
- El costo actual de infraestructura de Signal es de unos 14 millones de dólares al año
- Almacenamiento: 1.3 millones de dólares al año
- Servidores: 2.9 millones de dólares al año
- Costos de registro: 6 millones de dólares al año
- Ancho de banda total: 2.8 millones de dólares al año
- Servicios adicionales: 700 mil dólares al año
- Los servicios adicionales incluyen monitoreo de disponibilidad, alertas por incidentes, capacidad redundante para recuperación ante desastres y contratos de mantenimiento
El costo de almacenar poco
- Signal cifra de extremo a extremo todo lo que puede y almacena lo menos posible
- Cuando se envía un mensaje, el servicio de Signal coloca el mensaje cifrado en una cola temporal para entregarlo, y una vez completada la entrega puede eliminar ese paquete de datos cifrados de la cola
- El almacenamiento de archivos cifrados de extremo a extremo también es temporal, y los datos cifrados no entregados se eliminan automáticamente tras un periodo de inactividad
- Incluso este almacenamiento temporal le cuesta a Signal unos 1.3 millones de dólares al año
- Signal no puede leer ni acceder a los mensajes cifrados, y las claves de descifrado están en manos de los usuarios, no de Signal
- Sus tecnologías de cifrado de metadatos están diseñadas para que tampoco pueda acceder a información sensible como quién envía mensajes, la libreta de contactos o la información de perfil
El costo de los servidores y de las funciones de privacidad
- Para ofrecer un servicio global y llamadas de voz y video de alta calidad, los servidores de Signal deben estar distribuidos por todo el mundo
- La latencia puede traducirse en retraso de audio o degradación de video en comunicaciones en tiempo real, afectando la usabilidad de la app
- Signal renta infraestructura de varios proveedores, como Amazon AWS, Google Compute Engine y Microsoft Azure, pero todo está cifrado de extremo a extremo, así que ni Signal ni los proveedores de infraestructura pueden acceder a mensajes o llamadas
- Para una pequeña organización sin fines de lucro como Signal, es difícil comprar e instalar directamente los servidores físicos necesarios en centros de datos independientes alrededor del mundo
- En 2017, Signal desarrolló un sistema de búsqueda privada de contactos usando trusted execution environment
- Los usuarios pueden encontrar contactos y amistades sin exponer su libreta de direcciones a Signal
- Al principio bastaban unos pocos servidores, pero con el crecimiento de usuarios se llegó a necesitar cerca de 600 servidores solo para la búsqueda privada de contactos en horas pico, con un costo anual de más de 2 millones de dólares
- Gracias a mejoras en investigación algorítmica y actualizaciones de hardware, hoy procesa más tráfico con solo unas 10 máquinas
Costos de registro y el problema de la verificación por SMS
- Cuando se instala Signal por primera vez o se vuelve a registrar en un dispositivo nuevo, envía un código de registro por SMS o llamada de voz para verificar la posesión del número telefónico
- Este proceso es importante para evitar la creación de cuentas de spam que puedan volver inutilizable el servicio
- Los códigos de registro se enrutan a través de múltiples proveedores de telecomunicaciones para optimizar la calidad de entrega a nivel global
- El costo del servicio de registro para verificar números telefónicos promedia actualmente unos 6 millones de dólares al año
- El costo varía mucho de un mes a otro y puede inflarse por toll fraud
- Es una práctica en la que algunos operadores de red comparten ingresos con actores fraudulentos para aumentar el tráfico de SMS y llamadas
- Signal intenta detectar y bloquear con rapidez los registros fraudulentos en colaboración con sus proveedores de verificación por voz y SMS, pero siguen existiendo costos difíciles de prever
Ancho de banda y costo de relay en llamadas
- Todos los sitios web, apps y servicios pagan costos de ancho de banda cuando los usuarios se conectan
- Grandes empresas tecnológicas como Amazon, Google y Microsoft operan sus propios centros de datos, cables de fibra y equipos de red, pero una organización pequeña como Signal debe rentar el ancho de banda que necesita a operadores más grandes
- Signal gasta unos 2.8 millones de dólares al año en ancho de banda para soportar mensajes, fotos, videos, notas de voz, documentos y llamadas de voz y video
- Las llamadas de voz y video requieren mucho más ancho de banda que los mensajes de texto, y la función de llamadas cifradas de extremo a extremo de Signal es uno de sus servicios más costosos
- Las llamadas cifradas de extremo a extremo con personas que no están en tus contactos siempre se enrutan por un servidor relay para ocultar la información de la dirección IP
- La mayoría de los servicios competidores no usa este enfoque
- Es más costoso que usar siempre conexiones P2P cuando sea posible
- Con el nivel actual de tráfico, el ancho de banda saliente necesario para las llamadas de voz y video de Signal es de unos 20 PB al año, es decir, 20 millones de GB
- Solo el costo de ancho de banda relacionado con llamadas es de aproximadamente 1.7 millones de dólares al año, sin incluir salarios de ingenieros que mantienen el software de llamadas ni la infraestructura de servidores
- Signal también ofrece una opción para enviar todas las llamadas por servidores relay:
Privacy > Advanced > Always Relay Calls
Un mensajero global operado por unas 50 personas
- Signal no es solo un servicio que preserva la privacidad, sino un conjunto de apps multiplataforma y bibliotecas
- Para mantener la privacidad en un ecosistema donde la vigilancia es el valor predeterminado, muchas veces no basta con usar frameworks genéricos tal cual, sino que hay que crear o modificar bibliotecas propias
- Tiene tres equipos cliente separados, responsables respectivamente de Android, Desktop e iOS
- Equipos de ingeniería aparte desarrollan y mantienen componentes de servidor, llamadas y bibliotecas centrales como Signal Server, RingRTC y libsignal
- El equipo de producto y diseño define cómo funciona y cómo se ve la app, y el equipo de localización coordina las traducciones a más de 60 idiomas
- Un equipo interno dedicado de soporte se comunica directamente con los usuarios y transmite a cada equipo retroalimentación técnica detallada e información en tiempo real para resolver problemas
- Como Signal no recopila datos analíticos ni telemetría sobre el comportamiento de los usuarios, el papel del equipo de soporte es especialmente importante
Costos de personal y entorno competitivo
- Actualmente Signal tiene unas 50 personas empleadas de tiempo completo
- Como referencia, LINE Corporation tiene alrededor de 3,100 personas, y la división de Kakao Corp que desarrolla KakaoTalk ronda las 4,000 personas
- El número total de empleados en gigantes como Apple, Meta o Alphabet es mucho mayor
- Cerca de la mitad del presupuesto operativo total de Signal se destina a contratar, compensar y retener personas
- Incluyendo prestaciones, servicios de RR. HH., impuestos, contratación y nómina, esto suma unos 19 millones de dólares al año
- Signal busca ofrecer una compensación lo más cercana posible a los salarios de la industria dentro de las limitaciones de una organización sin fines de lucro
- No puede ofrecer equity, oficinas lujosas ni beneficios al estilo de las grandes tecnológicas, pero aun así debe contratar y retener talento experimentado y especializado en una industria muy competitiva
Las funciones de privacidad cuestan más implementar
- A medida que crece el uso de Signal, aumentan los costos de infraestructura, y más infraestructura requiere más personal
- A noviembre de 2023, la red de servidores de Signal responde regularmente a unas 100,000 solicitudes por segundo
- Cuando un servicio global procesa miles de millones de solicitudes al día, incluso problemas con una probabilidad de una en un millón dejan de ser raros
- A veces los ingenieros escriben código personalizado para reproducir problemas complejos de conectividad IPv6 que solo ocurren en ciertas regiones, con ciertos ISP o con configuraciones particulares del sistema operativo
- Agregar funciones convencionales sin comprometer la privacidad requiere trabajo considerable y creatividad
- Las fotos de perfil y los nombres de perfil en Signal siempre están cifrados de extremo a extremo, por lo que Signal no puede acceder a ellos
- Esta capa de protección se ha mantenido por más de seis años, y se considera que los servicios competidores aún no adoptan el mismo enfoque
- El soporte para fotos de perfil no fue un proyecto de fin de semana de una sola persona ingeniera, sino un trabajo que implicó crear conceptos nuevos como las profile keys y desplegarlos tras largas pruebas en múltiples plataformas
- La búsqueda de GIF animados en Android e iOS tampoco integra simplemente un SDK estándar de búsqueda de GIF
- Más recientemente, también comenzó a trabajar para proteger las conversaciones de hoy frente a amenazas futuras añadiendo resistencia poscuántica a Signal Protocol
Tecnología alternativa basada en pequeñas donaciones
- Signal quiere demostrar que es posible un enfoque centrado en la privacidad y no en la vigilancia
- Su objetivo es sostener y mantener un mensajero privado open source mediante pequeñas donaciones
- Como el costo de la tecnología de consumo suele cubrirse con vigilancia, la gente ha terminado aceptando lo “gratis” como valor predeterminado
- Algunos actores de la industria acumulan enormes volúmenes de datos personales y el poder de usar esos datos
- Signal aspira a un modelo organizacional que responda no a inversionistas ni a la búsqueda de crecimiento o ingresos, sino a las personas que usan el servicio
- Se puede donar a través del sitio web de Signal o de la guía de donaciones dentro de la app
1 comentarios
Opiniones de Hacker News
La transparencia total, que induce con cuidado sin rogar donaciones, es digna de reconocimiento.
Comparado con la forma en que lo muestra Wikipedia, se siente refrescante. El CEO envía correos con un tono irritado como “LAST REMINDER” o “We've had enough”, e irónicamente también se los manda a personas que ya donaron.
Wikipedia tiene tanto dinero que gasta parte de él en consultores que prometen “recaudar aún más”, y el mundo es raro, pero así funciona. Me parece mejor un modelo de fondo patrimonial (endowment) como el de Wikipedia. Hay un presupuesto predecible y un fondo que permite operar a largo plazo, y nosotros solo tenemos que soportar las campañas de recaudación. Las estoy bloqueando con un filtro de uBlock. En 2012 pagué 6 dólares, y según los criterios de marketing de ellos, parece suficiente para toda la vida.
Después de eso, de inmediato empezó a llegarme una avalancha de correo postal pidiendo más, y todavía no se detiene, así que sigo arrepintiéndome.
No sé a dónde va el dinero, pero uso ese sitio casi veinte veces al día y está claro que obtengo valor real de él.
Aunque soy miembro vitalicio de la asociación de exalumnos de mi universidad, sigo recibiendo correo postal con asuntos como “YOUR OFFER INSIDE”. Cuando lo abro, esa “oferta” es que pague más dinero.
Datos de compensación de 2022 para quienes tengan interés: https://projects.propublica.org/nonprofits/organizations/824...
Jim O'leary, vicepresidente de ingeniería, unos 700 mil dólares; Ehren Kret, CTO, unos 670 mil dólares; Aruna Harder, COO, unos 470 mil dólares; varios desarrolladores de software están en el rango de 420 mil a 480 mil dólares. Meredith Whittaker aparece con unos 197 mil dólares, Moxie Marlinspike con unos 82 mil dólares y Brian Acton con 0 dólares.
Gastan 6 millones de dólares enviando códigos de verificación por SMS o llamada de voz al registrarse, cuando simplemente deberían ir hacia un modelo distribuido. Lo que controlan los dictadores son las redes móviles y la infraestructura, y en la práctica rastrean a la gente de una u otra forma. Este costo pone a las personas en peligro. Vincular la identidad con la infraestructura de los operadores es una falla fatal de privacidad, y además es caro. Si el objetivo es la solución más privada, esto no puede seguir tolerándose. La identidad debería ser una clave criptográfica.
¿O en realidad son 7 personas de nivel C, incluyendo a 3 escondidas bajo el cargo de “desarrollador de software”, con un total de unos 3.7 millones de dólares? Si no hay respuesta a esta pregunta, jamás donaría a un lugar así. En cambio, la organización local sin fines de lucro de Finlandia a la que pertenezco también opera Matrix entre varios servicios, solo cuesta 40 euros al año, y ese dinero no va a ejecutivos de nivel C.
chat.signal.orgresuelve a AWS, y si se usa mucho ancho de banda en AWS, es carísimo. Dicen que Signal usa 20 PB de ancho de banda al año solo en llamadas de voz, con un costo de 1.7 millones de dólares. Incluso tomando aproximadamente 0.05 dólares por GB como precio para el tramo de AWS por encima de 150 TB mensuales, 1.6 PB al mes son 80 mil dólares mensuales, 960 mil dólares al año. En cambio, en países con costos bajos de ancho de banda como Estados Unidos, una conexión de Internet de 10 Gbps de un proveedor Tier-1 puede costar unos 800 dólares al mes y manejar alrededor de 36 PB al año. Así que uno termina comparando unos 36 PB por alrededor de 10 mil dólares al año contra 960 mil dólares por 20 PB en AWS. No sé de dónde sale la cifra de 1.7 millones de dólares, e incluso 960 mil dólares es absurdamente caro. AWS gana muchísimo dinero con los costos de ancho de banda. Sería raro que no tengan un especialista DevOps que cobre más de 300 mil dólares al año.Para los costos de servidores haría falta más información, así que no entraré demasiado en eso, pero es muy probable que comprar y mantener infraestructura propia, o alquilarla, sea mucho más barato que AWS. Para almacenamiento conviene comprar y mantenerlo directamente, y basta ver casos como Backblaze. Los costos de ancho de banda, cómputo y almacenamiento de los proveedores de nube son ridículamente caros, y si te importan el dinero y la rentabilidad, hay que hacer las cosas de forma distinta al enfoque dominante de pegar servicios con unos cuantos clics en la UI sin saber qué pasa por dentro. Aun así, me gusta lo que hace Signal y lo que representa, y espero que les siga yendo bien.
Doné 10 dólares a Signal. La forma de hacerlo en menos de 1 minuto desde un iPhone es abrir Signal, tocar el ícono de usuario arriba a la izquierda, ir a “Settings” → “Donate to Signal”, tocar “Donate”, elegir una opción de donación y pagar con Apple Pay.
Es difícil encontrar la razón exacta incluso en Google. No sé si me salté algún proceso de verificación de identidad en algún lado, o si este tipo de pagos está prohibido con el saldo de Apple Account.
No sé cuál sería la razón para soportar tanta incomodidad y usarlo.
Si prefieres Signal, vale la pena considerar seriamente una donación recurrente.
Signal ha entregado resultados de forma constante durante años, y cuando apareció la opción la configuré en 20 dólares al mes. Me da curiosidad la distribución de las donaciones. Entre mis contactos solo veo una insignia de 10 dólares al mes y una de 5 dólares al mes. Claro que puede haber más gente que oculte la insignia. Para que Signal esté financieramente seguro, parece que necesitaría una estructura con 500.000 personas pagando 20 dólares al mes, y además gente rica sumando varios millones de dólares. Para fomentar las donaciones, quizá el cliente podría estimar el costo neto de infraestructura generado por mi uso y mostrarlo en la pantalla de donación.
Terminaría gastando más en servicios de chat que en datos móviles, llamadas ilimitadas, línea fija, DSL y servicios de streaming juntos. El costo real parece ser de alrededor de 1 dólar por usuario al año. Si es una donación opcional, normalmente pago más del doble de mi propio costo para cubrir a quienes no pueden o no quieren pagar, pero pagar 240 veces el costo se siente como un desperdicio. Hay muchas organizaciones sin fines de lucro que podrían tener mayor impacto con el mismo dinero en áreas como la pobreza o el cambio climático.
¿Por qué querría pagar para que desarrollen algo que me encierra en esa plataforma y no me ofrece forma de salir?
En la práctica lo uso casi solo con mi pareja, pero lo uso todos los días, y se siente bien apoyar algo valioso.
Me gusta Signal, su misión y la rara actitud de intentar protegerla, así que casi pasé de largo sin leer el artículo, pero los costos y detalles de infraestructura me parecieron interesantes.
Todo lo de los 1,3 millones de dólares al año en almacenamiento temporal, los 6 millones en códigos de verificación para registros, el fraude con cargos de llamadas, el gasto en centros de datos de Google y Facebook, las filtraciones de datos de Google y Microsoft, y los 50 empleados de tiempo completo frente a los 3.000–4.000 de apps similares, fue interesante.
Tal vez sea un poco forzado llamarlo filtración de datos.
¿No habían hecho antes alguna función relacionada con criptomonedas? Me pregunto cómo va eso.
Creo que se llamaba MobileCoin, y sí existe: https://support.signal.org/hc/en-us/articles/360057625692-In...
¿Eso les está generando ingresos?
Si lo hubieran promocionado más agresivamente, quizá habrían aumentado los ingresos, pero habrían perdido a los usuarios que no soportan las tonterías de las criptomonedas.
Signal tenía 40 millones de usuarios activos en 2021 [1].
Con costos de infraestructura de 14 millones de dólares, eso da 0,35 dólares al año por usuario; incluso calculando con un costo total de 33 millones de dólares, son 0,825 dólares al año por usuario. En conjunto parece muy razonable.
[1] https://www.businessofapps.com/data/signal-statistics/
La mayoría de los costos de redes sociales parecen estar en ese rango, y a ese nivel incluso muchas personas de países pobres podrían pagarlo.
[1] https://news.ycombinator.com/item?id=38117385
En ese momento también me pareció razonable, y Signal es mejor, así que se justifica aún más.
Si al registrarse avisaran que el costo ronda 1 dólar al año y lo recordaran una vez al año, creo que la mayoría se volvería autosuficiente bastante rápido.
Si el almacenamiento cuesta 1.3 millones de dólares al año, los servidores 2.9 millones al año, las comisiones de registro 6 millones al año, el ancho de banda total 2.8 millones al año y los servicios adicionales 700 mil al año, entonces Signal gasta más en enviar SMS de verificación durante el registro que en toda la infraestructura restante, excluyendo el tráfico. Parece excesivo.
https://www.cnn.com/2023/02/18/business/twitter-blue-two-fac...
Como el tráfico de verificación de apps como Signal aumentaba y sus ingresos por SMS de sus propios clientes disminuían, asumieron que, de todos modos, las empresas tecnológicas no tendrían más opción que pagar, y subieron fuertemente las tarifas de SMS en varias regiones. Además, los costos también pueden aumentar de forma impredecible por el fraude de tarifas telefónicas, en el que algunos operadores de red comparten ingresos con estafadores e inflan el tráfico de SMS y llamadas en sus propias redes.
Estados Unidos es casi una excepción razonable, porque las tarifas de SMS para consumidores suelen ser ilimitadas o casi ilimitadas; en el resto del mundo, este método de comunicación se volvió casi obsoleto por sus márgenes absurdos. Es una tecnología que debería morir de forma natural, pero mis familiares en EE. UU. siguen usando iMessage con terquedad.
Son casi universales por usuario, pero, a diferencia de las direcciones de correo electrónico, conseguirlos en masa tiene un costo considerable. La desventaja es que la verificación por número de teléfono se hace servicio por servicio. Signal paga este costo al verificar a sus usuarios, y otros servicios vuelven a pagar el mismo costo al verificar a los suyos. Existen operadores tipo cámara de compensación de información que verifican una vez al usuario y luego permiten que varios servicios consulten perfiles verificados; me pregunto si con ese enfoque se podrían reducir los costos de registro.
Se habla mucho de escalabilidad, pero antes llegué a operar un sitio dentro del top 500 de Alexa como una app PHP en hosting compartido de 5 dólares al mes. Usaba mucho caché manual, pero aun así era posible. Mi suposición es que el stack no está optimizado o, si mal no recuerdo, era Java; o quizá hacen operaciones costosas como SGX a gran escala.
Considerando el nivel de adopción de Signal, en general es impresionante que se opere de forma bastante económica.
El impuesto de la nube, especialmente el costo del ancho de banda, es una locura.
A la escala de Signal, es muy probable que construir infraestructura propia sea más barato; podrían empezar por lo más caro, almacenamiento y ancho de banda, y luego expandirse a otras partes. Lo de los SMS es lamentable, pero es central para el producto, y no estoy seguro de cómo hacerlo más barato manteniendo las mismas propiedades. El registro con nombre de usuario y contraseña sería una pesadilla de spam y también cambiaría la experiencia de usuario.
También coincido en que los SMS y los números de teléfono son centrales, pero aunque sea necesario registrarse con un número de teléfono, deberían ofrecer una forma de comunicarse que esté completamente separada del número.