Signal 免手机号注册的 Android 测试版

Signal 在 Android 8.28 测试版加入不用手机号的注册方式，名为 Signal Login。9 月 23 日的 8.29 测试版公告写明，这项功能会再留在测试版一周。iPhone 版还在开发，已经用手机号注册的账号也还不能移除号码。

注册时选择不使用手机号，要通过 Google Play 支付一次 2.99 美元的费用，各国价格可能不同。没有安装 Google Play 服务的设备，暂时无法用这个方式注册。

Signal 在社区论坛的公告写明，付款使用跟捐款系统相同的零知识证明，付款记录与账号之间没有关联。收费的原因也写在公告里，免费的话，发送垃圾信息的人可以大量申请账号。

注册完成后会得到一组 Account ID 与 Recovery Key，作用相当于账号与密码。账号没有 PIN，也没有其他恢复渠道，其中任一项丢失，账号就无法找回。

用户名可以另外设置，没有设置的话，别人无法搜索到这个账号，只能参与自己发起的对话。注册后可以在设置里加上两步验证，目前支持 TOTP 验证器，passkey 与硬件密钥会在之后加入。

导读观点

在中国大陆，每个电话号码都要实名登记。工业和信息化部 2013 年施行的《电话用户真实身份信息登记规定》要求电信业者为用户办理入网手续时，查验有效证件、登记真实身份信息。用手机号注册的通讯账号，因此能通过电信业者连回真实身份。

改成付费加上零知识证明之后，账号跟手机号、付款都脱钩，想把工作与私人身份分开的人，不必另外办一个手机号。Signal 的 Android 版以 AGPL-3.0 授权公开源代码，界面有简体中文。

没有手机号之后，别人只能通过用户名找到这个账号。Freedom of the Press Foundation 的文章写到，公开分享过的用户名要一直保留，否则别人可以取得同一个名称来冒充。用用户名接受消息来源联系的人，被冒充的后果更严重。

另一篇讨论 passkey 的观点文章写到，一个账号的安全程度取决于最弱的那一种恢复方式。Signal 的免手机号账号没有任何恢复方式，攻击者少了一个较弱的入口，丢失的风险则全部落在用户身上。

身在中国境内的人还有另一道门槛。OONI 在 2021 年 4 月到 9 月的量测显示 Signal 在中国遭到封锁，要先有翻墙工具才能连上。免手机号注册目前只能通过 Google Play 付款，比较适合身在海外、手机装有 Google Play 服务的人。想试用的人要先在 Google Play 订阅 Signal 的测试版，再付 2.99 美元的一次性费用，注册后把 Account ID 与 Recovery Key 存进密码管理器并保留离线备份，设置 TOTP 时也要准备不只一个第二因素。