News WhatsApp erhält Ende-zu-Ende-Verschlüsselung

[riDDi]

Die Nachricht wird pro Gruppenmitglied mit dem jeweiligen Public Key verschlüsselt. Ähnlich wie bei GnuPG bei mehrern Empfängern.

Bei Text wäre das vmtl. gerade noch zu verkraften, aber ich möchte Photos nicht zehnfach übers Mobilnetz verschicken müssen.

@Lar337: Danke, darauf bin ich gar nicht gekommen

 

[Syrell]

na klar mit backdoor und fratzembuch liest dennoch mit ! sehr seriös versclüsselung *facepalm*

 

[litros]

Solange WhatsApp Geld kostet, auch wenn es nur 1 Cent wäre, kommt es bei mir nicht zum Einsatz. Es gibt so viele gute Chat Alternativen, die kostenlos sind. Die Verschlüsselung finde ich trotzdem, als einen Schritt in die richtige Richtung

 

[Sun_set_1]

@sun_set_1: Wie ich bereits geschrieben habe, kann man diesen Angriff verhindern, indem man die Schlüssel vergleicht.
Zeigt einem das Programm den Abdruck des eigenen Schlüssels und den Abdruck des Schlüssels, mit dem die DH-Token signiert sind an, so fällt auf, wenn diese nicht übereinstimmen.

Logisch, klar. Aber außer uns - Wer macht denn sowas, bzw würde überhaupt erst auf die Idee kommen? Des Weiteren, selbst wenn das 100% der User bekannt wäre, würden doch 99,99% nicht den Partner vor dem Chat anrufen um die Schlüssel abzugleichen..

 

[Chapsaai]

was ist die aktuellste android version?

 

[Bogeyman]

Mal im ernst die NSA hört eh mit, das wird wohl niemand bestreiten. Und wer soll da sonst noch mithören? Für eine Privatperson ist das auch quasi nicht möglich mitzuhören AUCH wenn die Schlüssel nicht abgeglichen würden. Also die Frage vor wem will man sich da schützen.

Die Daten sind immer noch verschlüsselt auch ohne Abgleich der Schlüssel und da kommt man von "außen" nicht mal eben so einfach ran.

Soll halt mal jemand nen How2 hier veröffentlichen wie man es anstellen will: Beispielsweise Person X ist in eurem WLAN und chattet über WA mit Person Y irgendwo anders im Internet.

Man in the Middle schön und gut (in der Theorie) aber wie praktisch umzusetzen mit normalen Mitteln?

Mal angenommen ich hab nen FTP Server mit Passwort (pw wird dabei im Klartext übertragen). Mein Nachbar kennt meine IP und die IP meine Freundes der sich immer da einloggt. Er wird dennoch nicht an das PW kommen, dazu müsste er erstmal einen von uns beiden in einem von ihm kontrollierten Netzwerk bringen.

Dann schalten wir meinetwegen SSL dazu mit selbstsignierten Zertifikaten (hochgefährlich, jeder Browser spuckt ja erstmal ne Wahnmeldung aus!). Da muss er dann genau im passenden Moment das Teil abgefangen haben wenn ich meinem Freund den PublicKey schicke und ihn gegen einen eigenen ausgetauscht haben. Chatte mit meinem Freund über Skype und teile im darüber auch die Nötigen Zugangsdaten mit. Müsste mein böser Nachbar also auch Skype erstmal hacken.

Und jetzt die Frage wie praxisrelevanz ist das alles? Hier gehts doch net um die Startscodes von Atomraketen, und selbst da hat man teilweise mal aus bequemlichkeit unsichere Passwörter benutzt

 

[Turrican101]

Naja ich hoffe doch lieber, dass sich der Google Messenger durchsetzt, als das alle weiterhin Whatsapp nutzen.
Facebook ist mir ein Dorn im Auge.

Gegen FB wettern, aber dann zu Google gehen wollen? Oh Mann.

 

[Lar337]

Logisch, klar. Aber außer uns - Wer macht denn sowas, bzw würde überhaupt erst auf die Idee kommen? Des Weiteren, selbst wenn das 100% der User bekannt wäre, würden doch 99,99% nicht den Partner vor dem Chat anrufen um die Schlüssel abzugleichen..

Naja, auch wenn nur einem das auffällt, dass Schlüssel manipuliert werden, würde es das veröffentlichen. Das wäre ein ziemliches Desaster für den Anbieter.
Voraussetzung ist aber, dass zumindest der Clientseite vertraut werden kann. Und da ist Closed Source natürlich eine schlechte Voraussetzung für.

 

[Daedal]

Das hat auch wenig mit Sicherheit für den Endanwender zu tun, sondern mit einer völlig neuen Strategie im Umgang mit den Geheimdiensten. Sowohl FB, Google, MS, Amazone als auch alle anderen Global Player in den USA sehen ihre Geschäftsmodelle zerbrökeln, weil Ihnen keiner mehr Daten anvertraut. Die EU ist dabei den Unternehmen Cloud Services die in den USA gehostet sind zu untersagen, aufgrund des Patriot Acts. Daher hilft nur Ende zu Ende Verschlüsselung um sich slebst aus den Datenbeständen auszusperren die am wenigsten nutzen haben im Handel mit Kundendaten. Werbekunden sind auch mit anonymisierten Verhaltensprofilen zufrieden und brauchen lediglich Gesamtzahlen um Ihre Produkte erfolgreich zu vermarkten - so wird auf individualsierte Werbung zwar verzichtet, was aber den meisten Leuten sowieso am meisten Suspekt ist, doch dafür bleibt man in wichtigen Märten ein Partner.
Man kann keine Daten raus geben die man nicht besitzt und kann dem US-Geheimdienst nahe legen, sie sollen sich doch ihre Infos an der Atlantik-Telefonleitung oder im Kanzleramt abholen, was sie ja sowieso machen.

Der freiwillige Ausschluß aus der Kommunikation wird so weit gehen wie nötig um in der EU die Services für Staat und Unternehmen nicht zu gefährden.

 

[Bogeyman]

Naja, auch wenn nur einem das auffällt, dass Schlüssel manipuliert werden, würde es das veröffentlichen. Das wäre ein ziemliches Desaster für den Anbieter.

Meinste wirklich? "Einzelfall" und so. Die meisten wird das eh net interesieren. Maximal gibts nen kleinen Shitstorm von Informatikern, aber das sind ja eh Freaks!, aber auch der legt sich, bei BurgerKing ist es zu Mittag auch wieder brechend voll..

 

[Handysurfer]

Das ist mir Jacke wie Hose was die da rein machen oder nicht, Whatsapp ist für mich ein Kommunikationsmittel mit Beschränkung.

Persönliche Daten wie Adressen, Kontonummer etc. versende ich nach wie vor über die gute alte SMS, nicht das diese sicher ist, aber da muss man sich "etwas mehr Mühe" geben um an die Daten zugelangen, so tue ich das ja schon freiwillig wenn ich das via Whatsapp täte.

Sehr naiv, das ist genauso einfach, für Anfänger und Kinder aber weniger interessant, weil die WhatsApp Nutzer haben wollen und wissen, dass andere Junge, Alte und Naiven einen Dreck auf Sicherheit geben.

Wer es professionell macht, hat es nicht nur auf WhatsApp, sonder gleich alles abgesehen. Da werden deine WhatsApp, SMS, E-Mail, gespeicherte Dateien und Tastatureingaben ausgelesen/kopiert. Und noch mehr...
Und da jeder Android-Nutzer einfach jeder App sämtliche Rechte freigibt, kann jedes Kind an deine Daten kommen, welche einfach eine App bereitstellt.

 

[PsychoPC]

Also ich glaub kein wort von dem was man uns erzählen will am ende wird man uns weiterhin ausspionieren egal wie, nunmal jetzt FB die hand auf dem Messenger hat werden die es sich so zurecht gestalten und uns nur das was wir glauben sollen mitteilen.

 

[reev]

Gut gebrüllt, Löwe... reicht aber - leider noch nicht.

Denn im Vergleich zu WhatsApp bei Threema:

Werden meine Adressbuchdaten übertragen?

Das ist Ihre Entscheidung – Threema kann auch ohne Adressbuchzugriff verwendet werden. Wenn Sie die Synchronisation in Threema ausgeschaltet haben, werden keine Adressbuchdaten ausgelesen. Sie müssen dann Ihre Threema-Kontakte manuell hinzufügen (durch Eingabe der ID oder Scan des QR-Codes).

Wenn Sie die Synchronisation verwenden, werden E-Mail-Adressen und Telefonnummern aus dem Adressbuch nur einwegverschlüsselt («gehasht») und zusätzlich mit SSL gesichert an unsere Server übertragen. Die Server halten diese Hashes nur kurzzeitig im Arbeitsspeicher, um die Liste der übereinstimmenden IDs zu ermitteln, und löschen sie sofort wieder. Zu keinem Zeitpunkt werden die Hashes oder die Ergebnisse des Abgleichs auf einen Datenträger geschrieben.

Quelle: https://threema.ch/de/faq/addressbook_data

Werde also weiterhin beim Threema bleiben und es ebenso im Freundes- und Bekanntenkreis weiterempfehlen.

 

[Lar337]

Meinste wirklich? "Einzelfall" und so. Die meisten wird das eh net interesieren. Maximal gibts nen kleinen Shitstorm von Informatikern, aber das sind ja eh Freaks!, aber auch der legt sich, bei BurgerKing ist es zu Mittag auch wieder brechend voll..

Na zumindest würde es jeder mitbekommen, den es interessiert. Also genau die, die man mit der Verschlüsselung überhaupt überzeugen möchte. Die ganze Verschlüsselungssache wäre also zumindest sinnfrei für das Unternehmen.
Wobei das (Open Source) Programm dafür den Schlüssel überhaupt erstmal anzeigen müsste (Textsecure tut es), WhatsApp scheint ja nichtmal mitzuteilen, ob es überhaupt verschlüsselt ist. So ist die Verschlüsselung natürlich völlig sinnfrei, da kann man auch bei serverseitiger Verschlüsselung bleiben.

 

[romeon]

Absolut logisch. Facebook kauft für 19 Milliarden Dollar WhatsApp, um die Nachrichten so zu verschlüsseln, dass selbst sie den Inhalt nicht mehr lesen können. Womit verdient facebook noch einmal sein Geld? Achsoo...ne, moment...ACHSOOOO!!!
Andere Meldung aus Papua-Neuguinea: das Fliegende Spaghettimonster ist beim Ausbruch des Bolognesevulkans gesichtet worden.
Wie dumm muss man eigentlich sein, um Mag Zuckerimarsch den Scheiß abzukaufen? Anscheinend nicht unendlich dumm, wenn ich mir hier so einige Kommentare durchlese.

hahahaha, danke! Ich dachte schon, hier wollen mich alle veräppeln.

 

[delleff]

Heist das jetzt eigentlich auch, dass die Adressen nicht mehr von WA gelesen werden können? Und auch, wer da mit wem kommuniziert? Und welche Standorte ich habe? Womit verdienen die Ihr Geld?

 

[xbrtll]

@reev: Mit großer Betonung auf "kann auch ohne Adressbuchzugriff...". Wenn dann ein hinreichend großer Anteil sein Adressbuch überträgt (wovon man denke ich ausgehen kann) ist es für den Rest letztlich auch schon wieder egal.

 

[BOBderBAGGER]

Womit verdienen die Ihr Geld?

Mit der Jahresgebühr? Bei 600mio Nutzern kommt da ein wenig was zusammen. Und nein FB hat die nicht unbedingt zum direkten geldverdienen gekauft, viel mehr hat man so seinen eigenen Facebook Messenger ggü. der Konkurrenz abgesichert.

 

[Lar337]

Heist das jetzt eigentlich auch, dass die Adressen nicht mehr von WA gelesen werden können? Und auch, wer da mit wem kommuniziert? Und welche Standorte ich habe? Womit verdienen die Ihr Geld?

Der Server vermittelt nunmal die Kontakte, also muss er sie auch kennen.
EDIT: Er könnte sie in der Tat hashen. Dann kennt er zwar nicht mehr die Telefonnummer selbst, aber der Benutzer wäre durch den Hash eindeutig bestimmt. Der Mehrwert im Sinne des Datenschutzes wäre gering.

Außerdem liegen die DH-Paare prinzipbedingt auf dem Server, sodass dieser zumindest beim Beginn einer Konversation beteiligt ist.
Wahrscheinlich läuft aber die komplette Kommunikation über den Server, ist am einfachsten.

 

[Rexus]

@reev: Mit großer Betonung auf "kann auch ohne Adressbuchzugriff...". Wenn dann ein hinreichend großer Anteil sein Adressbuch überträgt (wovon man denke ich ausgehen kann) ist es für den Rest letztlich auch schon wieder egal.

Ist es nicht.
Denn bei Threema wird der Schlüssel beim User auf dem Gerät erzeugt und gelagert, nicht auf den Servern von WA! Im letzteren Fall ist die Sicherheit der Verschlüsselung absolut hinfällig, im ersten Fall kann man zumindest hoffen, dass Android nicht backdoor den Schlüssel an Dritte weitergegeben hat.


edit:

Pardon, deine Aussage war zweideutig. Jedenfalls ist es aufgrund von s.o. nicht egal, ob man WA oder Threema nutzt.