News Multiplattform-Messenger: Element 1.11.67 mit mehr Barrierefreiheit erschienen

[Yosup]

Leider hast du mein Zitat aus dem Kontext gerissen, es ging mir nicht darum

Du hast Recht, mea culpa

 

[alyk.brevin]

Der Großteil der Menschen will an die Hand genommen werden. Ein klarer Weg. Keine Auswahl. Klipp und klar.

einerseits schaffen die leute es auch, sich ein emailkonto zu erstellen, andererseites ist es aber wohl zu 90% entweder das von einem gerät/dienst vorgeschlagene gmail, hotmail/outlook oder icloud oder sie nehmen die von der firma gestellte (oder noch schlimmer: von der telekom). die anderen 10% haben eine eigene domain oder nutzen web.de/gmx/protonmail etc.

Aber alles wird Klartext auf dem Server gespeichert. Das sorgt dafür, dass nach nem Reset oder Handywechsel alle Nachrichten wieder da sind. Bequem ja, sicher nein!

bei matrix werden die auch alle auf dem server gespeichert, allerdings verschlüsselt. hat dann den nachteil, dass man zum lesen der alten nachrichten bei einem neuen login immer die alten schlüssel noch verfügbar haben muss, entweder durch einen vorherigen export oder durch eine aktive session in einem anderen client (nach verifizierung werden die schlüssel dann automatisch übertragen). ist halt echte e2ee, die ein wenig komfort kostet.

Aber schon mit der Wahl eines Servers werden sich viele nicht technisch versierte schwer tun

die einrichtung ist ähnlich wie ein emailkonto und die meisten werden einfach die standardauswahl matrix.org verwenden. nur der erneute login kann laut meinen erfahrungen zu problemen führen, zb hat ein ehemaliger schülerpraktikant bei uns jetzt als werkstudent angefangen und kann jetzt die nachrichten von damals auf unsrem firmeneigenen matrix-server nicht mehr lesen, weil er kein backup und keine aktive session mehr hat.

Ein für "normale" Nutzer völlig überflüssiger Schritt.

ich glaube, der normale nutzer lädt sich die app als erstes aufs handy ausm store. da wird auch immer zuerst geladen und dann registriert. auf der element-seite kann man auch direkt auf download klicken anstatt getting started, auch wenn dieser prominenter erscheint und dadurch leute einen weiteren klick zum download benötigen.

 

[Haldi]

Ist wohl so. Finde ich aber von der Topologie her viel sinnvoller, vor allem bei n:1:m-Beziehungen, also n Dienste über einen Account eingebunden, ausgeliefert an m Endgeräte. Und genau so will ich das haben!

Wat?
Aber das ist doch ein viel grösseres Sicherheits Risiko.
Wenn der eine Server kompromittiert ist sind ALLE Services davon betroffen....

Zumal du dem Hoster auch 100% vertrauen musst.
Und vertrauen ist nie gut solange du es nicht selbst hostests.

 

[cuthbert]

Das ist jeweils eine Fehlannahme. Man kann Nachrichten auch zwischen Servern verschicken, relativ analog zu EMail. Das heisst, ihr könnt euch euren eigenen Server aufsetzen, und eure Freunde bleiben beim bisherigen - und trotzdem klappt der Nachrichtenaustausch. Tolle Sache!

Du setzt voraus, dass meine Kontakte schon irgendeinem Matrix-Server nutzen. Dass ich es als einen großen Vorteil erachte, dass es sich hier um ein föderiertes Netzwerk handelt, hatte ich in einem vorherigen Post bereits erwähnt.

Ich bleibe weiterhin bei der Aussage, dass es den Großteil meiner Kontakte überfordern würde bzw. es ihnen zu aufwendig ist, irgendeinen Server auswählen und einen Account anlegen zu müssen, weil sie dies von anderen Messengern nicht kennen, die sich bequem per Handynummer authentifizieren.

Dazu kommt dann eben noch das Totschlagargument, dass sie nicht verstehen, warum sie denn noch einen Messenger installieren sollten, wenn sie doch schon einen oder vllt zwei haben, wo alle ihre Kontakte drin sind.

bei matrix werden die auch alle auf dem server gespeichert, allerdings verschlüsselt. hat dann den nachteil, dass man zum lesen der alten nachrichten bei einem neuen login immer die alten schlüssel noch verfügbar haben muss, entweder durch einen vorherigen export oder durch eine aktive session in einem anderen client (nach verifizierung werden die schlüssel dann automatisch übertragen). ist halt echte e2ee, die ein wenig komfort kostet.

Aus Security Sicht sehe ich gegenüber Signal hier keinen Mehrwert, welches ebenfalls vollständig auf e2e setzt. Ja, das hat keine Server Federation, dafür ist es zugänglicher.

die einrichtung ist ähnlich wie ein emailkonto und die meisten werden einfach die standardauswahl matrix.org verwenden. nur der erneute login kann laut meinen erfahrungen zu problemen führen,

s.o. und natürlich exakt letzteres. Nach einem Gerätewechsel würden sich besagte 90% nen neuen Account anlegen, da sie natürlich auch keinen Passwortsafe nutzen. D.h, wenn sie sich überhaupt noch dran erinnern, dass ich sie mal zu diesem Messenger überredet habe.


Am Ende bleibt es dann sehr wahrscheinlich dabei, dass ich keine aktiven Kontakte in Element hätte. Die Idee dahinter finde ich zwar cool für den Mainstream ist es (mittlerweile) "zu kompliziert".

 

[KitKat::new()]

Ich bleibe weiterhin bei der Aussage, dass es den Großteil meiner Kontakte überfordern würde bzw. es ihnen zu aufwendig ist, irgendeinen Server auswählen und einen Account anlegen zu müssen, weil sie dies von anderen Messengern nicht kennen, die sich bequem per Handynummer authentifizieren.

Als ob jemand damit überfordert wäre bei Google einen E-Mail Account zu erstelllen.

Du projezierst da Erfahrungen von der UX von Element auf Matrix generell, was zwar in der Praxis häufig relevant ist, aber eigentlich generalisiert werden kann.

Server auswählen ist z.B. nicht notwendig, wie bspw. Beeper zeigt.
Account anlegen -> Dienst könnte dir einen zufälligen Benutzernamen geben, Account ist Login via Google (OIDC) oder autogeneriert und verifiziert via Telefonnummer.
Das Passwort wird dann wie als Backup verwendet, was man auch bei anderen Diensten hat.

da sie natürlich auch keinen Passwortsafe nutzen. D.h, wenn sie sich überhaupt noch dran erinnern, dass ich sie mal zu diesem Messenger überredet habe.

gleiche Spiel bei WhatsApp, wo das Backup ggf. fehlt

 

[jonderson]

Ich bleibe weiterhin bei der Aussage, dass es den Großteil meiner Kontakte überfordern würde bzw. es ihnen zu aufwendig ist, irgendeinen Server auswählen und einen Account anlegen zu müssen, weil sie dies von anderen Messengern nicht kennen, die sich bequem per Handynummer authentifizieren.

Wenn du in der Element App einfach immer nur auf weiter klickst, brauchst du keinen Server "auswählen".
einloggen geht per SSO über Apple, Google, Facebook usw.

Die Brücken sind auch nicht so das Problem, wenn man kein Problem damit hat, dass E2EE aufgebrochen wird.
https://tchncs.de/matrix#bridges

 

[Cheechako]

Wie war das gleich nochmals?
Wenn man die Bridges nutzt um andere Messenger Protokolle einzubinden kann der Server sämtliche Kommunikation mit lesen weil die E2EE ja frisch umgewandelt werden muss, und die Login Daten auch iwo gespeichert werden?
Also die einzige möglichkeit sowas sicher zu haben ist seinen eigenen Server zu hosten?

oder die Bridges mit E2EE (bzw. End-To-Bridge-Encryption) selbst zu hosten oder auf den Endgeräten laufen lassen

Vielleicht rede ich als Leihe hier Unsinn, aber das klingt so als würde die EU Chat Kontrolle hier super leicht greifen, kann das sein? (Ja gut, sobald das Gesetz raus ist, muss eh jeder Messenger Anbieter Zugang geben soweit ich das richtig verstehe)


Frage:
Welche Protokolle unterstützt es denn?
Interessant wäre Threema, Signal, Whatsapp (check) und Telegram. Es nervt tierisch so viele verschiedene zu haben und mein Favorit, Telegram, ist bei in Deutschland nicht so beliebt bei der älteren Generation.

 

[jonderson]

Vielleicht rede ich als Leihe hier Unsinn, aber das klingt so als würde die EU Chat Kontrolle hier super leicht greifen, kann das sein? (Ja gut, sobald das Gesetz raus ist, muss eh jeder Messenger Anbieter Zugang geben soweit ich das richtig verstehe)

Für alle Protokolle außer Matrix selber ist das der Fall solange die Behörden Zugriff auf den jeweiligen Server haben. (Und das kann auch dein eigener sein)
¯\(ツ)/¯ ist mir egal, solange die Leute meinen walled garden zu nutzen und das EU-DMA blockieren....

Frage:
Welche Protokolle unterstützt es denn?
Interessant wäre Threema, Signal, Whatsapp (check) und Telegram. Es nervt tierisch so viele verschiedene zu haben und mein Favorit, Telegram, ist bei in Deutschland nicht so beliebt bei der älteren Generation.

Whatsapp, Signal, Telegram geht ohne Probleme.
Selfhostet https://github.com/spantaleev/matrix-docker-ansible-deploy
oder eben ,mit dem Risiko das derjenige, der die Bridge bereitstellt, die Nachrichten mitlesen kann, auch von anderen gehostet. Beispiel: https://tchncs.de/matrix#bridges

Threema ist auch möglich, aber bisher eben nur auf dem offiziellen "Threema Weg" indem man Geld für jede Nachricht bezahlt.
Der inoffizielle Weg wie bei Signal und WhatsApp müsste erst jemand basteln...

Was entwickelt wurde, findet man auch hier:
https://matrix.org/ecosystem/bridges/
Mal mehr, mal weniger ausgereift.
Am ausgereiftesten sind meiner Erfahrung nach:
WhatsApp, Signal, Discord (BTW @POINTman-10 https://www.computerbase.de/forum/threads/discord-matrix-bridge.2033943/ ), Telegram, Slack und IRC
Evtl noch Facebook, aber davon habe ich keine Ahnung^^

Ergänzung (5. Juni 2024)

(Ja gut, sobald das Gesetz raus ist, muss eh jeder Messenger Anbieter Zugang geben soweit ich das richtig verstehe)

Und genau da hat Matrix als dezentrales Protokoll seinen Vorteil.
Anders als bei den walled garden wie Signal, Threema, WhatsApp und Telegramm kann jeder seinen eigenen Matrix Server hosten. Der Anbieter ist man dann also quasi selber.
Selbst wenn man nicht selber hosten will, hat man den Vorteil, dass es viele verschiedene Anbieter (Serverbetreiber) gibt und man nicht von einem abhängig ist und sich seinen Anbieter selber gut aussuchen kann, wenn man darauf wert legt.

 

[cuthbert]

Wenn du in der Element App einfach immer nur auf weiter klickst, brauchst du keinen Server "auswählen".
einloggen geht per SSO über Apple, Google, Facebook usw.

OK, das mit den diversen SSO Anbietern ist tatsächlich nicht schlecht.

Bleibt noch das Problem, dass meine Kontakte sich den Messenger nicht installieren werden, weil sie keinen Need dafür sehen, eine Messenger zu installieren, welcher nicht automatisch die Kontakte aus dem Telefonbuch übernimmt. Spätestens beim Thema Spaces oder Identitätsserver sind sie einfach lost (ja auch hier gibt es einen default, trotzdem für nen Laien nicht gut verständlich).

 

[jonderson]

1. Identitätsserver bei Matrix sind Tod und das ist auch gut so: https://www.kuketz-blog.de/conversations-sicherer-android-messenger/#identifier
Jedem der einen Messenger nutzt, der auf die Kontakte zugreift, sage ich das er mich nicht als Kontakt abspeichern soll.. informationelle Selbstbestimmung...
Ich möchte nicht das jemand meine Daten verkauft...

2. Spaces sind gar nicht notwendig. Sie sind glaube ich z.B. vergleichbar mit WhatsApp Communitys. (Ka nutze kein WhatsApp).
Etwas ist nicht deswegen kompliziert, weil man die Wahl hat es zu nutzen.

 

[Haldi]

Whatsapp, Signal, Telegram geht ohne Probleme.
Selfhostet

Hast du die im Einsatz?
Wie einfach ist es wenn ich jemandem das erste mal eine Nachricht schicken möchte?
Das letzte mal als ich das in Betrieb hatte musste man zuerst den Bridge bot chat öffnen, dann das command für neuen Chat erstellen eintippen und dann die gewünschte Nummer eintippen.
Alles von Hand!

Ist das immer noch so extrem Umständlich?

Jedem der einen Messenger nutzt, der auf die Kontakte zugreift, sage ich das er mich nicht als Kontakt abspeichern soll..

Einerseits Stimme ich dir vollkommen zu was Datensicherheit angeht.
Andererseits halte ich es für unbequem die kompletten Infos NUR im Messenger selbst zu speichern. Was wenn ich jemanden mal eine SMS senden will oder ihn anrufen?
Da ist es eben auch bequem wenn wenn Chat Infos auch direkt im Kontakt drin sind.

 

[jonderson]

Hast du die im Einsatz?
Wie einfach ist es wenn ich jemandem das erste mal eine Nachricht schicken möchte?
Das letzte mal als ich das in Betrieb hatte musste man zuerst den Bridge bot chat öffnen, dann das command für neuen Chat erstellen eintippen und dann die gewünschte Nummer eintippen.
Alles von Hand!

Ist das immer noch so extrem Umständlich?

Ich gehe mal davon aus, dass du private Chats meinst und keine öffentlichen Räume/Gruppen verbinden willst.
Was du machen musst am Beispiel von WhatsApp von tchncs.de:
1. DM an @whatsappbot:tchncs.de mit dem inhalt login.
2. Mit der WhatsApp-App einscannen.
Wenn dir nun jemand schreibst bzw dich jemand in eine Gruppe einlädt, wirst du von @whatsappbot:tchncs.de automatisch eingeladen. Darin schreibst du dann ganz normal.
Und das halte ich auch für die Standard Anwendung. Weil langfristig hast du zu jedem Raum einen Kontakt und zumindestens ich habe eh kein Bock beim walled garden die Initiative zu übernehmen....

Wenn du selber die Initiative ergreifen willst, musst du tatsächlich an @whatsappbot:tchncs.de pm <telefonnummer> schreiben und du wirst in den Raum eingeladen. (Damit kann man den Raum quasi erstellen lassen, schon bevor die nächste Nachricht vom Kontakt kommt)

Einerseits Stimme ich dir vollkommen zu was Datensicherheit angeht.
Andererseits halte ich es für unbequem die kompletten Infos NUR im Messenger selbst zu speichern. Was wenn ich jemanden mal eine SMS senden will oder ihn anrufen?
Da ist es eben auch bequem wenn wenn Chat Infos auch direkt im Kontakt drin sind.

Ich glaube du hast mich nicht richtig verstanden:
Ich habe nie davon gesprochen Infos nur im Messenger zu speichern.
Ich habe kein Problem damit, wenn jemand seine Kontakte anständig pflegt SOLANGE er diese Daten nicht gegen den Willen der jeweiligen Person verkauft.

 

[cuthbert]

1. Identitätsserver bei Matrix sind Tod und das ist auch gut so: https://www.kuketz-blog.de/conversations-sicherer-android-messenger/#identifier

Signal schafft es, dieses Feature der Identitätssever zu bieten trotz Zero Knowledge. Die Telefonbücher werden nicht auf deren Server abgelegt.

https://www.datenschutzexperte.de/blog/signal-datenschutz/

Das ist für den Normaluser am Ende viel einfacher /komfortabler.

Mein Eindruck ist sicher nicht allgemeingültig. Leute verwenden Matrix und es hat seine Daseinsberechtigung.
Ich bleibe aber dabei, das Matrix Netzwerk ist zwar cool, aber die Masse der Leute, bekomme ich nicht dazu bewegt, es zu nutzen. Damit ergibt sich auch für mich persönlich leider kaum ein sinnvoller Anwendungsfall.

 

[jonderson]

Signal schafft es, dieses Feature der Identitätssever zu bieten trotz Zero Knowledge. Die Telefonbücher werden nicht auf deren Server abgelegt.

Hast du dafür Beweise?
Fakt ist: Alle deine Kontakte verkaufst du an Signal, also lädst du auf deren Server hoch. Woher soll man wissen was die damit machen? Was soll daran Zero Knowledge sein? Buzzword? Und damit dass du sie zu Signal sendest verstößt du schon gegen die informationelle Selbstbestimmung.
Ich hätte kein Problem damit, wenn der Signal Server alle Signal User nennt, die haben schließlich dem ganzen zugestimmt. Andersrum ist es einfach nur ein Verstoß gegen die Informationelle Selbstbestimmung.


https://www.bundeskartellamt.de/Sha...Sektoruntersuchung_MessengerVideoDienste.html
Seite 144

 

[cuthbert]

Hast du dafür Beweise?

https://support.signal.org/hc/en-us/articles/360007061452-Does-Signal-send-my-number-to-my-contacts

The Signal service does not have any knowledge of your contacts. Data is all owned by your phone

 

[jonderson]

Würdest du auf Basis dieser Informationen deinen Kontodaten, Perso oder Kreditkartendaten an Signal schicken wenn es dafür einen Anlass gäbe?

 

[cuthbert]

Da das Projekt Open Source vorliegt (Server + Client, https://github.com/signalapp), etwaige Widersprüche durch Audits vermutlich auffallen würden und es eine Menge Security Spezialisten gibt, die das Tool empfehlen (z.B. Edward Snowden), muss ich gestehen, dass die App einen sehr großen Vertrauensvorschuss meinerseits genießt.

Natürlich weiß ich nicht, was tatsächlich deployt ist. Aber bisher habe ich noch nichts gehört, was mich an der Seriösität der App zweifeln lässt.

Bei Signal haben sie halt alles dran gesetzt, dass die Betreiber keinerlei Kenntnis von den ausgetauschten Inhalten haben und sogar nicht mal davon, wer sich mit wem austauscht (Zero Knowledge Prinzip).
Selber prüfen kann ich das natürlich nicht, aber aktuell ist es mir gut genug und ich habe darüber durchaus schon sensible Daten (z.B. Kontodaten) versendet.

 

[Yosup]

Wat?
Aber das ist doch ein viel grösseres Sicherheits Risiko.
Wenn der eine Server kompromittiert ist sind ALLE Services davon betroffen....

Zumal du dem Hoster auch 100% vertrauen musst.
Und vertrauen ist nie gut solange du es nicht selbst hostests.

Wieso ist 1 Server mit allen Credentials für n Dienste gefährderter als m Endgeräte mit ebenfalls allen Credentials für n Dienste?

Klar kann man jetzt argumentieren, dass ein Server exponierter ist als bspw ein Smartphone mit variabler IP, dem steht aber entgegen dass ich den Server viel besser absichern kann als ein Smartphone mit ggfs. veraltetem Android, irgendwelchen kuriosen nicht-desinstallierbaren Apps des asiatischen Herstellers und ggfs 200 weiteren fragwürdigen Apps aus dem Playstore.
Und es geht ja nicht um ein Smartphone, sondern um mehrere Endgeräte, bspw. zwei Smartphones, ein Tablet, zwei Desktops.

Die Credentials müssen übrigens nicht beim Hoster der VM liegen, denn bei dem läuft nur ein Reverse Proxy.

Ergänzung (5. Juni 2024)

Du setzt voraus, dass meine Kontakte schon irgendeinem Matrix-Server nutzen. Dass ich es als einen großen Vorteil erachte, dass es sich hier um ein föderiertes Netzwerk handelt, hatte ich in einem vorherigen Post bereits erwähnt.

Ich glaub ich war gestern ziemlich müde und hätte besser nicht gepostet, hab auch an anderer Stelle was falsch aufgefasst. Sorry!

 

[jonderson]

Da das Projekt Open Source vorliegt (Server + Client, https://github.com/signalapp), etwaige Widersprüche durch Audits vermutlich auffallen würden und es eine Menge Security Spezialisten gibt, die das Tool empfehlen (z.B. Edward Snowden), muss ich gestehen, dass die App einen sehr großen Vertrauensvorschuss meinerseits genießt.

Natürlich weiß ich nicht, was tatsächlich deployt ist. Aber bisher habe ich noch nichts gehört, was mich an der Seriösität der App zweifeln lässt.

Sorry, aber mit so einer Einstellung kann ich auch WhatsApp nutzen...
Passend dazu: https://www.golem.de/news/crypto-messenger-signal-server-nicht-mehr-open-source-2104-155376.html

@ Audit:
Tja dann such mal einen Audit der auch wirklich mal auf dem Server war.
Gerade der Audit bei dem es darum ging wie die Kontakte auf dem Server verarbeitet werden kann man etwa so zusammenfassen:
Die von Signal bereitgestellten Unterlagen sind gut, auf dem Server nachvollziehen durften wir es aber nicht.

Auch nett:
Der einzige die App die mit den Signal Servern genutzt werden darf ist die Signal App!
https://github.com/signalapp/Signal-Android/issues/9966#issuecomment-681943985
Wehe ihr nutzt Molly mit den Signal Servern.

Ihr gutes Recht das zu verlangen, zeigt aber auch nur, dass sie in Wirklichkeit nur WhatsApp 1 zu 1 ersetzen wollen um selber das Quasi Monopol zu haben...

Selber prüfen kann ich das natürlich nicht, aber aktuell ist es mir gut genug und ich habe darüber durchaus schon sensible Daten (z.B. Kontodaten) versendet.

Anders als dein dealen mit Kontaktdaten waren die aber wenigstens tatsächlich NACHPRÜFBAR verschlüsselt

 

[M-X]

Whatsapp, Signal, Telegram geht ohne Probleme.

Ohne Probleme ist doch hier mehr als untertrieben. Es ist ein Riesen Gebastel und bei WA hast du auch noch das Risiko gebannt zu werden. ALles im allen nur für Hardcore Nerds machbar und selbst da muss man abwägen ob einen die ganzen fehlenden Features das wert sind. Schau mir das seit Jahren an aber es bleibt ein krampf sondergleichen.