News Nothing Chats: Phone 2 bekommt iMessage auf Kosten des Daten­schutzes

[Tulol]

Moment.

iCloud? Wieviele Android Nutzer benutzen iCloud?
Ich lehne mich mal aus dem Fenster und behaupte das die iCloud der meisten Android Nutzer einfach nur leer ist.

Ergo bleibts "nur" bei den Chats.

 

[Nagilum99]

Abgesehen davon, dass ich iMessage die Daseinsberechtigung abspreche, weil es x Messenger gibt, die MultiOS-fähig sind...

da der Dienst ohne Entschlüsselung, Zwischenspeicherung und Weiterleitung der Nachricht nicht funktionieren kann

@Frank Warum soll das so sein? Im Text steht, dass die Nachrichten nicht zwischengespeichert werden - die Zugangsdaten sind davon ausgenommen.
RAM kostet heutzutage kein Geld, es sollte also problemlos möglich sein die Nachrichten nicht zu speichern sondern einfach im RAM zu verarbeiten. Einmal abgearbeitet gibt es keinen Grund sie dort zu behalten.
Aber wenn man hier Fahrlässigkeit unterstellt: Ich hätte gerne die Gegenthese!

Ergänzung (16. November 2023)

Apple wird einen Teufel tun den Zugang auf ihren walled garden zu vereinfachen. Ihre Geiselnahme ist schließlich ihr Kapital...

Wofür braucht man iMessage? Ich kenne kaum jemanden, der das Zeug nutzt.

 

[wan_world]

Ich kann wirklich nicht verstehen, wieso jemand iMessage auf Android-Geräten nutzen möchte. Aber für diejenigen, die es unbedingt nutzen müssen, stellt es eine Alternative dar. Obwohl ich ein iPhone-Benutzer bin, nutze ich iMessage kaum. Ich kann mir nicht vorstellen, wie unübersichtlich es wird, wenn man alle Chats zusammen mit den SMS hat.

 

[Grundgütiger]

@wan_world, Hier wird doch nur ein Fall Konstruiert den es im normalen Tag nicht gibt.
Wer kein iPhone hat, hat eben ein anderes Handy und es wäre mir neu wenn ein iPhone über iMessage definiert wird.

Nothing Phone ist in den News, jede Seite hat was wichtiges darüber zu berichten und alle sind glücklich.

 

[SSD960]

Wer macht das? Schon ziemlich mutig das überhaupt anzubieten? Wobei sich ja die Messaging Dienste sowieso öffnen sollen.

 

[Autokiller677]

Kannst mir nicht erzählen, dass da kein Vertrauen notwendig ist, was ja eigentlich genau der Hauptgrund für E2EE ist.

Ja, da ist Vertrauen notwendig, aber meines Wissens nach gibt es keinen halbwegs verbreiteten Messenger, bei dem das nicht so wäre. Selbst bei z.B. Signal muss man drauf vertrauen, dass das, was Open-Source ist, auch auf dem Server läuft und nicht mit dem Keyserver eine MITM Attacke gemacht wird.

Und das der Hauptgrund für E2EE ist, nicht mehr Vertrauen zu müssen, ist würde ich sagen deine eigene Interpretation. Für mich ist es das nicht, und sicher auch nicht für alle anderen.

 

[testwurst200]

Jetzt mal ehrlich, ich nutze ein Android weil ich um Gottes Willen kein iPhone nutzen will und auch nicht deren Messenger.

 

[Frank]

Artikel-Update: Nothing hat sich gegenüber ComputerBase noch einmal wie folgt zu den Sicherheitsstandards von Nothing und Sunbird geäußert.

Nothing hat sich mit Sunbird einen Partner ins Boot geholt, dessen Sicherheitsstandards genauso hoch sind, wie die von Nothing selbst.

Sunbird setzt von Anfang an auf hohe Sicherheit, um die Privatsphäre seiner Kunden zu schützen und hat die ISO27001-Zertifizierung (Zertifikatsnummer: IA-2023-09-21-01) erhalten, die das Engagement in Sicherheit widerspiegelt. Zusätzlich wird Sunbird demnächst von einer unabhängigen Quelle für den 27701-Zusatz auditiert werden. Nothing hat sich mit Sunbird zusammengetan, da die Architektur von Sunbird ein System bietet, mit dem eine Nachricht von einem Benutzer zu einem anderen übermittelt werden kann, ohne dass sie an irgendeinem Punkt auf ihrer Reise gespeichert wird. Nachrichten werden Ende-zu-Ende verschlüsselt und nicht auf den Servern von Sunbird gespeichert - sobald eine Nachricht zugestellt wurde, kann sie nur noch lokal von Ihrem persönlichen Gerät wiederhergestellt werden.

 

[KitKat::new()]

Selbst bei z.B. Signal muss man drauf vertrauen, dass das, was Open-Source ist, auch auf dem Server läuft und nicht mit dem Keyserver eine MITM Attacke gemacht wird.

Nein, musst du nicht. Dafür gibt's Verifikation + TOFU.
Wenn du dem Serverbetreiber trauen musst, bist du sicherheitstechnisch nicht auf dem Niveau einer wirksamen Ende-zu-Ende-Verschlüsselung, sondern Client-Server-Verschlüsselung ggf. mit "encryption at rest".

Verschlüsselung führt man durch, damit die Inhalte einer Nachricht geheim bleiben, und zwar nicht, weil jeder verspricht sich die Nachrichricht nicht anzuschauen, sondern, weil es technisch nicht geht.
E2EE speziell, damit die Nachrichten zwischen dem Sender und Empfänger (die zwei Enden) geheim bleiben und es eben keinen MITM gibt, der schnüffeln kann

Für mich ist es das nicht, und sicher auch nicht für alle anderen.

Aus welchem Grund denn dann? Wahrscheinlich nur, weil iMessage damit wirbt ^^

 

[engineer123]

zum Artikel-update mit der Mitteilung von Nothing Phone:

das ist schon mal schöne "Appeasement" Politik, es steht nichts drin, was genau alles vom iCloud-account und/oder den Zugangsdaten abgegriffen wird.
Man geht in Ausflüchte über irgendwelche ISO-Audits, ohne konkret zu benennen was an Daten bei Nothing Phone und/oder Sunbird letztlich stehen bleibt und hinterlegt ist.

Das was da drin steht ist nichts als eine Beruhigungstablette für die Masse, weil man bemerkt hat, dass
der Publicity Stunt nicht so funktioniert hat wie man es wollte.

 

[DFFVB]

LOL ISO und keiN SOC2 - legt euch gehackt, auch wenn ich es besser finde etwas zu sagen, als gar nichts....

 

[Tzk]

Sorry, aber wer seine Kontoinformationen einem kommerziellen Anbieter anvertraut hat die Kontrolle über sein (digitales) Leben verloren. Fällt mir noch ein MS meine E-Mail Konten zu geben oder eben Nothing meinen iCloud Account. Ne, danke!

Oft genug werden Daten bei irgendwelchen Anbietern rausgetragen, da sollen meine Kontodaten (insbesondere das PW im Klartext) nicht dabei sein.

 

[Autokiller677]

Nein, musst du nicht. Dafür gibt's Verifikation + TOFU.

Welche Verifikation und was ist TOFU?
Alle Keys, mit denen Signal auf meinem Handdy was verschlüsselt, kommen von deren Server. Dementsprechend könnten die da auch was anderes unterschieben.

Und das lustige QR-Code scannen hilft z.B. nicht bei meinen anderen Geräten. Mit dem QR Code validiere ich nur die Keys meinen Kontakts, nicht die Keys, die genutzt werden, um es an meine Singal-Desktop Instanz zu schicken.

Dazu gilt für die riesige Mehrheit der Nutzer, dass da eh niemand den QR Code scannt oder gar irgendeinen Fingerprint manuell vergleicht. Da wird immer dem Keyserver vertraut. Ich benutze seit Jahren WhatsApp & Signal, und habe nie mit irgendwem da was verglichen. Selbst in der Nerd-Gruppe im Studium nicht, und wir haben uns alle E-Mails immer PGP verschlüsselt geschickt. Aber selbst da wollte niemand den Fingerprint im Messenger checken.

Die Realität ist daher: Die User vertrauen dem Keyserver des Anbieters. Egal ob Apple, WhatsApp, Signal oder was auch immer.

Aus welchem Grund denn dann? Wahrscheinlich nur, weil iMessage damit wirbt ^^

Ich nutze iMessage nicht, ist mir relativ egal, womit die werben.

Aber im ggs. zu SSL ist eine E2EE (selbst mit vertrauen in den Anbieter) z.B. nicht für SSL-MITM Attacken anfällig. Und da irgendwelche "Sicherheits"Boxen, die SSL aufbrechen, immer noch recht verbreitet sind (und die EU gerade laut drüber nachdenkt, die Akzeptanz von Regierungs-SSL Zertifiakten zu erzwingen) ist SSL da anfällig.

Und gerade spezifisch bei iMessage: Wenn man das nutzt, vertraut man Apple eh. Man hat Hard- und Software von denen - wenn die an die Daten wollen, müssen die nichtmal eine Backdoor in die E2EE bauen, sondern können das so vom Gerät einsammeln.

Hardwarehersteller und OS muss man immer vertrauen. Kommt man nicht drum rum, außer man geht zu völlig alltagsuntauglichen Nutzungen wie "alle Arbeiten werden auf einem air-gapped PC gemacht, Daten da verschlüsselt und per USB Stick übertagen, und da jedes mal ein neuer Stick, kein hin- und her".

 

[KitKat::new()]

Man geht in Ausflüchte über irgendwelche ISO-Audits, ohne konkret zu benennen was an Daten bei Nothing Phone und/oder Sunbird letztlich stehen bleibt und hinterlegt ist.

Selbst der CB-Artikel gibt an, dass die Zugangsdaten gespeichert werden (unvermeidbar) und die Nachrichten nicht.

Man geht in Ausflüchte über irgendwelche ISO-Audits,

So ein Audit wäre für Apple auch mal was

 

[jonderson]

das ist schon mal schöne "Appeasement" Politik, es steht nichts drin, was genau alles vom iCloud-account und/oder den Zugangsdaten abgegriffen wird.
Man geht in Ausflüchte über irgendwelche ISO-Audits, ohne konkret zu benennen was an Daten bei Nothing Phone und/oder Sunbird letztlich stehen bleibt und hinterlegt ist.

Verstehe gar nicht was dir daran so wichtig ist, aber vielleicht bin ich da mit

mit Android-Hintergrund

einfach zu beschränkt.

Ob eine Firma nun etwas behauptet oder in China fällt nen Sack Reis um, hat etwa den gleichen Informationsgehalt. Warum sollte ich Apple, Nothing, Sunbird oder sonst einer Firma bei einer Aussage glauben?

Fakten sind das was zählt: Sie haben mit den Zugangsdaten Zugriff auf die komplette icloud.

 

[beercarrier]

OMG, Ich hoffe es gibt nur wenige Michel die das in dieser Form nutzen werden. Wenn ich mir die aktuelle Informationssicherheitskompetenz von GenZ & Co anschaue, befürchte ich schlimmes… Im anderen Artikel wird darüber gesprochen, dass die Chat-Kontrolle vom Tisch ist und jetzt kommt ne App die genau das macht, was verhindert werden sollte… so gehts halt auch, man muss die Chatkontrolle nur „attraktiv“ genug machen…

Ich bin mir sicher das das die Zukunft ist. Jetzt nicht zwingend von Nothing. Aber sobald Google, Meta, Apple und ... erlaubt wird eine gemeinsame Datenbank zu betreiben wo zumindest die Basics ausgetauscht werden werden diese sich nicht weigern wenn ihnen erlaubt ist darauf zuzugreifen.
Und auch der studierte Michel sieht nur was er sieht, machen wir uns nichts vor, solange es kein Persönlichkeits-/Konsumtauglichkeits-live-rating gibt wird es kaum jemanden stören. Und selbst dann werden Youtube Kanäle die Tipps geben wie man das Rating maxed Millionen Subscriber haben.
Social Media - das Nikotin des 21. Jahrhunderts.

 

[KitKat::new()]

Welche Verifikation und was ist TOFU?
Alle Keys, mit denen Signal auf meinem Handdy was verschlüsselt, kommen von deren Server. Dementsprechend könnten die da auch was anderes unterschieben.

Die Verifikation sorgt dafür, dass sichergestellt ist, dass das andere Ende wirklich dein Kontakt ist und kein MITM.
TOFU ist trust on first use.
Und nein, sie können mit Verifikation nicht einfach (unbemerkt) irgendetwas anderes unterschieben.

Details kannst du sicher selbst googlen, ich werde da jetzt nicht erklären wie das kryptograisch funktioniert.
Matrix und Threema bieten so etwas übrigens auch ...

Und das lustige QR-Code scannen hilft z.B. nicht bei meinen anderen Geräten. Mit dem QR Code validiere ich nur die Keys meinen Kontakts, nicht die Keys, die genutzt werden, um es an meine Singal-Desktop Instanz zu schicken.

Beim verwenden mit einem anderen Gerät, wird das neue Gerät in einem Prozess gekoppelt. Dabei werden auch die notwendigen Infos ausgetauscht.
Ich nutze Signal nicht, aber es scheint ebenfalls über QR Codes zu funktionieren.

Hardwarehersteller und OS muss man immer vertrauen. Kommt man nicht drum rum, außer man geht zu völlig alltagsuntauglichen Nutzungen wie "alle Arbeiten werden auf einem air-gapped PC gemacht, Daten da verschlüsselt und per USB Stick übertagen, und da jedes mal ein neuer Stick, kein hin- und her".

Hardwarehersteller sicher, außer du willst selbst einer werden - gibt ja Open Source Smartphones (z.B. PinePhone) und Betriebssysteme (z.B. Android).
Aber es ging ja um Apple und iMessage.

Ergänzung (16. November 2023)

Sorry, aber wer seine Kontoinformationen einem kommerziellen Anbieter anvertraut hat die Kontrolle über sein (digitales) Leben verloren. Fällt mir noch ein MS meine E-Mail Konten zu geben oder eben Nothing meinen iCloud Account. Ne, danke!

MS hat Emailkonten von sehr vielen Millionen Nutzern und Unternehmen. Haben die alle ihre Kontrolle verloren?
Was ist eigentlich, wenn das E-Mail-Konto ein leeres Konto ohne E-Mails ist?

Naja in jedem Fall nutzt Sunbird eben die Möglichkeiten, die Apple ihnen gibt für Leute, die mit den Bedingungen einverstanden sind.
Könntest sowas natürlich auch selbst hosten, aber dazu haben die meisten keine Lust

 

[marakuhja]

Vielleicht mal ein normales Telefonat führen. Da muss ich auch keine Daten angeben und es funktioniert mit jedem Teilnehmer.

 

[jonderson]

Was auch nicht Gott gegeben ist, sondern aus einer Zeit kommt, wo Firmen noch auf offene Standards gesetzt haben und die Leute nicht noch Firmen wie Apple,Facebook und Nvidia für ihre proprietäre Scheiße bejubelt haben.

Es wäre auch z.B. bei Messengern möglich, was Messenger wie Matrix zeigen.
Bloß in der heutigen Zeit befeuern die Leute leider erst Quasi-Monopole um dann nach den Staat zu schreien... (bzw. wie man hier in diesem Thread befeuern sie die Quasi-Monopole während sie nach dem Staat schreiben)

 

[Tzk]

MS hat Emailkonten von sehr vielen Millionen Nutzern und Unternehmen. Haben die alle ihre Kontrolle verloren?
Was ist eigentlich, wenn das E-Mail-Konto ein leeres Konto ohne E-Mails ist?

Du hast meinen Post anscheinend missverstanden. Nenn mir einen guten Grund warum Microsoft oder Nothing/Sunbird das Passwort zu meinem Apple oder Google Account im Klartext (!) wissen sollte?

Das hat wenig mit den normalen MS/Outlook Konten zu tun, wo die Passwörter üblicherweise nur als Hash und idealerweise mit Salt gespeichert sind.