News WhatsApp: BKA nutzt WhatsApp Web, um Zielpersonen zu überwachen

[Affenzahn]

Das Versprechen von facebook, dass [Hier Service einsetzen] sicher ist ist damit hinfällig.

Ach, Facebook bricht seine Versprechen und kann seinen Shice nicht absichern? Wow. Das ist mal was neues.

 

[fatony]

Seltsam, wenn ich WhatsAppWeb nutze sehe ich eine Notification auf meinem SmartPhone.

Also ganz so einfach ist das aber wohl doch nicht wenn das unbemerkt passieren soll.

zwei optionen:

1. whatsapp unterstützt das bka und macht es heimlich.
2. eine sicherheitslücke wird ausgenutzt, die die "am pc aktiv" meldung nicht triggered. eine art "ghost modus". gelesene nachrichten werden nicht als gelesen markiert etc etc..

 

[Palomino]

Würde mich nicht wundern wenn es doch viele geheime Türen in der Software gibt so dass die Ermittlungsbehörden keinen physischen Kontakt zu den Genäten benötigen.
Was die Firmen nach außen hin versprechen muss nicht immer bedeuten, dass es auch Wahr ist. Hauptsache es diens dem Geschäftsinteresse.

 

[Der Puritaner]

So so, wieder so ein Ammenmärchen von Sicherheit und Überwachung. Wenn die Jungs vom BKA tatsächlich die Kommunikation vor dem Anschlag auf den Berliner Weihnachtsmarkt am 19. Dezember 2016 Überwacht haben wieso haben sie den Anschlag nicht verhindert?
Ich meine das ist doch Sinn und Zweck von Überwachung Anschläge zu verhindern oder sehe ich das falsch?

 

[PPPP]

Kümmert mich jetzt nicht so, wenn dadurch Anschläge mit Todesopfern verhindert werden können. Das Bundeskriminalamt beschäftigt sich ja nicht gerade mit Waisenknaben.

Gut dass die Beamten beim BKA die einzigen weltweit sind, die offene Sicherheitslücken ausnutzen ... Warum sich überhaupt noch um Sicherheitslücken kümmern wenn dadurch „Anschläge mit Todesopfern“ verhindert werden können

Wie war das nochmal:

Wer die Freiheit aufgibt, um Sicherheit zu gewinnen, wird am Ende beides verlieren.

 

[schkai]

Bei dem Großteil der Kommentare merkt man ganz klar das der Artikel nicht gelesen wurde. Frei nach dem Motto:

Whatsapp unsicher - check
Facebook unsicher - check
Matrix, XMPP basierende Messenger sicher - check

Alles andere drumherum hat man offensichtlich beim "lesen" ausgeblendet oder schlicht nicht gelesen.

Wenn ich von meinem Briefkasten den Schlüssel "verliere" oder liegen lasse und jemand anders "kopiert" sich diesen kann er auch alle meine Briefe lesen bis ich das Schloss tausche. Bei diese hier beschriebenen Methode ist der Messenger obsolet, sobald jemand Physisch Zugriff auf mein Gerät hat, kann er auch ungehindert diverse Spionagesoftware installieren.

Hier werden von einigen Theorien in den Raum geworfen die Sie weder Seriös belegen können noch eine Seriöse Quelle hierfür haben.

 

[--Nils--]

Wenn ich überfallen werde bin ich froh, wenn ich heil aus der Sache herauskomme. Die Bestrafung ist nebensächlich füt mich, dabich dadurch nicht "nicht überfallen wurde".

Ist dir dann also egal, wenn derjenige einfach so weitermachen kann und womöglich noch weiteren Personen schadet?

Das physikalischer Zugang hier benötigt wurde wird behauptet, ist aber nicht nachvollziehbar, da Benachrichtungen, Timeout etc normalerweise kommen, letzteres sicher serverbasiert. D.h. Es steckt mehrbdahinter, Gerätezugriff könnte eine Nebelkerze sein.

Das weißt du woher? Nenn mal eine Quelle für deine Spekulationen. Ich selbst nutze auch Web WhatsApp und habe noch nie eine Benachrichtigung auf meinem Handy erhalten (iOs Gerät). Eingeloggt bin ich in der Regel über viele Tage. Kommt selten vor, dass ich mich neu einloggen muss.

 

[WulfmanGER]

Das Muster ist die geringste Hürde. Da hat man in ein paar Sekunden alle möglichen Kombinationen durchprobiert, müssten so 150.000 sein.
[...]

Der Fingerabdruckscaner und auch FaceID ist auch direkt vom CCC umgangen wurden.

"Bruteforce" klappt aber nicht beim iPhone ... der Abstand der PIN-Eingabemöglichkeiten erhöht sich mit jeder falschen Eingabe (hab ich deaktiviert) mit etwas Pech kann man dann den nächsten Pin erst in x Monaten eingeben. Die 150.000 Möglichkeiten ... Standard-PIN beim iPhone war mal 4stellig ... also 10.000 Möglichkeiten. Ist aber jetzt auch länger möglich. Aber selbst bei 10.000 ... Bruteforce könnte hier mehrere hundert Jahre dauern

FaceID bzw. TouchID beim iPhone: muss alle x-mal "reaktiviert" werden - ich muss also PIN eingeben - egal wie Toll mein Gesicht oder mein Fingerabdruck ist.

ABER: wir reden ja von einer "Heimlichen" überwachung ... wenn phyikalischer Zugriff nötig ist, frag ich mich allen ernstes welcher Terrorist lässt sein Handy irgendwo liegen, merkt nicht das es kurz entwendet wurde (um z.b. einen Trojaner aufzuspielen). PIN kann man ja im Vorfeld "erspioniert" haben - Face- und TouchID kann man auch "faken". Aber trotzdem muss man das Gerät erstmal aus der Hand geben. Ich kann da jetzt nur von mir sprechen: aber ich hab mein Handy immer am Körper (und zwar so das ich es spüre und merke wenn es weg ist. WENN man im Gedrängel ist (und somit abgelenkt) etc. hab ich zusätzlich noch Hand aufm Handy in der Tasche) und wenn ich es mal auf den Tisch im Restaurant liegen habe, dann lass ich es auch nicht ausm Augen - es fällt auf wenn es weg ist, weil sich jemand physischen Zugriff verschaffen muss.

Daher glaub ich nicht wirklich das Bestimmte Behörden wirklich so einen gelagerten Zugriff benötigen - dann kann man das ganze nämlich knicken. Hier braucht es die Zusammenarbeit mit den Herstellern, Diensteanbieter etc. Das physische gelaber hat für mich eher was "in Sicherheit wiegen" - dann passen die ganzen Terroristen nämlich besser drauf auf und bekommen bequem Remote ihren Trojaner eingespielt...

 

[--Nils--]

Ich kann mir eher serverseitige Erlaubnis vorstellen, sprich, FB Anfrage. Das macht es zwar weniger zugänglich für Kriminille, aber ist es ein gutes Gefühl überwacht werden zu können? Ich hatte mal Nachbarn, wo der Mann oft auf Montage war und mit seiner Frau Camsex hatte seinen Worten nach. Wenn man nicht gerade darauf steht dabei von anderen beobachtet zu zu werden, wäre es denen sicherlich peinlich, dabei ist es nicht illegales.

Ich habe noch nie gehört, dass derartiges Material von Bundesbehörden abgefangen, geschweige denn veröffentlicht wurde. Da ist es meiner Meinung nach wahrscheinlicher, dass man hierbei von Stalkern im echten Leben gefilmt wird.
Dennoch sollte sich natürlich immer jeden im klaren sein, dass Daten die auf Servern liegen niemals einer 100%igen Sicherheit unterliegen (zumal es so etwas in keiner Lebenslage gibt) und wenn es deinen Nachbarn deart peinlich ist, hätte er/sie es dir sicherlich auch nicht erzählt.

 

[DKK007]

"Bruteforce" klappt aber nicht beim iPhone ... der Abstand der PIN-Eingabemöglichkeiten erhöht sich mit jeder falschen Eingabe (hab ich deaktiviert) mit etwas Pech kann man dann den nächsten Pin erst in x Monaten eingeben. Die 150.000 Möglichkeiten ... Standard-PIN beim iPhone war mal 4stellig ... also 10.000 Möglichkeiten. Ist aber jetzt auch länger möglich. Aber selbst bei 10.000 ... Bruteforce könnte hier mehrere hundert Jahre dauern

Dafür gibt es Geräte wie von Grayshift. Die hebeln über irgendeinen Exploit nämlich genau diese Abfrageberenzung aus und nicht wie manchmal dargestellt die Verschlüsselung selbst.
Die sind aber selbst für die Behörden eine Blackbox, also die Hersteller sagen nicht, was die genau machen.

 

[Forum-Fraggle]

Ich habe noch nie gehört, dass derartiges Material von Bundesbehörden abgefangen, geschweige denn veröffentlicht wurde. Da ist es meiner Meinung nach wahrscheinlicher, dass man hierbei von Stalkern im echten Leben gefilmt wird.
Dennoch sollte sich natürlich immer jeden im klaren sein, dass Daten die auf Servern liegen niemals einer 100%igen Sicherheit unterliegen (zumal es so etwas in keiner Lebenslage gibt) und wenn es deinen Nachbarn deart peinlich ist, hätte er/sie es dir sicherlich auch nicht erzählt.

Achte auf den Kontext: wenn Behörden es einfach nutzen können, können es die anderen auch. Eine Lücke oder Designfehler, gewollte Hintertür ist steta auch von Dritten nutzbar. Es rein gar nichta damit zu tun ob Behörden vertrauenswürdig sind oder nicht. Zumal derzeit auch in D. das Vertrauen in Frage gestellt wird (rechte Unterwanderung auch bei der Polizei).

 

[otn]

Interessant wie bei dem Thema hier im Forum die Grenzen zwischen gut informierten Personen und Aluhüten verschwimmen. Ist mir bei der Corona Warn App auch schon aufgefallen

 

[U-L-T-R-A]

@cruse

schnelle Hände, schnelles ende
"zeigen sie mal ihr Telefon, wir müssen mal die imei überprüfen." "wir würden das gerne selbst eingeben."

Also bei mir steht die IMEI hinten auf dem Gerät - braucht also nicht entsperrt zu werden.

@DKK007
Der Exploit für GrayKey wurde mWn gefixed von Apple.
Dann funktioniert das aber auch nicht aus dem Handgelenk.
Es müßte also ne Beschlagnahme vom Richter abgenickt werden - im Alltag bei ner random Kontrolle also eher unwahrscheinlich.

Die fingerprint oder face ID kann man beim iPhone auch schnell abschalten (Notruffunktion, abbrechen und schon brauchts den Code).
Für nen image brauchen sie dann mWn entweder den Code oder n trusted token von Deinem PC.
Mein iPhone is zumindest so eingestellt, dass es nach x falschen Eingaben alles löscht.

Sollten sie dann ne Hausdurchsung machen, alles beschlagnahmen und damit ggf Zugriff bekommen - da hab ich privatere Dinge im Haus die mich mehr stören würden, als dass was auf meinem Handy ist.

 

[--Nils--]

Achte auf den Kontext: wenn Behörden es einfach nutzen können, können es die anderen auch. Eine Lücke oder Designfehler, gewollte Hintertür ist steta auch von Dritten nutzbar. Es rein gar nichta damit zu tun ob Behörden vertrauenswürdig sind oder nicht. Zumal derzeit auch in D. das Vertrauen in Frage gestellt wird (rechte Unterwanderung auch bei der Polizei).

Es ist ja eben nicht "ganz einfach" wie du es darstellst. Wie im Artikel beschrieben haben die Behörden hierfür vorher physischen Zugriff auf das Mobiltelefon benötigt. Und wenn jemand physischen Zugriff auf dein Handy hat kann man hier natürlich noch mehr als nur WhatsApp Daten abgreifen. Ansonsten hat WhatsApp eine Ende-zu-Ende Verschlüsselung, welche von (unabhängigen) Sicherheitsforschern kontrolliert und für sicher befunden wurde.
Es steht natürlich dennoch jedem frei, WhatsApp zu nutzen oder eben auch nicht wenn man sich nicht sicher genug fühlt ;-)

 

[DKK007]

Durch das mitlesen über die Weboberfläche liegt eben keine E2E mehr vor.

 

[UrlaubMitStalin]

Naja.... das WhatsApp ausgespäht wird und das auch nicht soo schwer ist, ist ja nicht neu.
Bei Telegram gibts für Anmeldungen an anderen Geräten eine Zwei-Faktor Authentifizierung (optional, nicht standardmäßig aktiv, aber für jeden empfehlenswert).

 

[UrlaubMitStalin]

Durch das mitlesen über die Weboberfläche liegt eben keine E2E mehr vor.

Naja.... die E2E Verschlüsselung ist ja auch nur Schlangenöl bei WhatsApp... was bringt eine super massive Haustüre, wenn das Fenster offen steht.

 

[DrillSgtErnst]

Kümmert mich jetzt nicht so, wenn dadurch Anschläge mit Todesopfern verhindert werden können. Das Bundeskriminalamt beschäftigt sich ja nicht gerade mit Waisenknaben.

Lies dir Mal den Wikipedia Artikel zu den pinken Listen durch. Es geht vielleicht auch darum, was der Staat Mal gegen dich haben können wird haben.

@Topic.
Ich habe es nicht bereit WhatsApp Facebook etc abgeschaltet zu haben.

 

[anexX]

"Das BKA verfügt über eine Methode, die es ermöglichen kann, Text, Video-, Bild- und Sprachkurznachrichten aus einem WhatsApp-Konto in Echtzeit nachzuvollziehen."

Oha, da wird sich aber irgendein Hacker ein hübsches Sümmchen vom BKA gechartert haben. ^^

 

[tom1111]

@SV3N

Bisschen fehlformuliert, oder? Remote Forensic Software ist schließlich der offizielle Name des Staatstrojaners. Die beiden sind also das Gleiche.

Ansonsten, wenn physischer Zugriff aufs Telefon notwendig ist grenzt das die Nützlichkeit des Ganzen schon ziemlich ein. Wird dann halt irgendein anderer Trojaner aufgespielt, der das Ganze mitloggt.

Das schränkt die Nützlichkeit nicht ein oder legst du das iPhone nie aus der Hand?