News WhatsApp erhält Ende-zu-Ende-Verschlüsselung

[Meandro]

Wer hätte das gedacht. Schritt in die richtige Richtung.

 

[Vulpecula]

Prinzipiell richtig, aber das ganze ist trotzdem Augenwischerei. Ich würde nicht davon ausgehen, dass Whatsapp nicht eine Schnittstelle für US-Behörden in ihrem System hat. Ansonsten gibt es ja noch den "National Security Letter", durch den sie mal ganz fix dazu gezwungen werden können, eine derartige Schnittstelle bereitzustellen.

 

[Pelzi]

Zur Diskussion um den Schlüsselaustausch bei Gruppen:

Es wäre doch denkbar, dass beim Erstellen einer neuen Gruppe ein privater Schlüssel für diese Gruppe erstellt wird (auf dem Smartphone des Erstellers), und wann immer der jemanden hinzufügt, wird der private Schlüssel dieser Gruppe dem neuen Mitglied mitgeteilt.

Als Erweiterung wäre es auch möglich, bei jedem Hinzufügen oder Entfernen eines Gruppenmitglieds einen neuen privaten Gruppenschlüssel zu erzeugen (wieder auf dem Ersteller-Smartphone), der nach(!) der Änderung mit dem alten Schlüssel (den die aktuellen Mitglieder ja haben) verschlüsselt und so an die Mitglieder verteilt wird. Das neue Mitglied würde den Schlüssel mit seinem eigenen öffentlichen Schlüssel verschlüsselt erhalten. Damit hat niemand den neuen Schlüssel unverschlüsselt erhalten, und entfernte Mitglieder können neuen Nachrichten nicht mehr entschlüsseln. Wobei das meiner Meinung nach auch mit der ersten Methode schon so sein sollte, da durch Forward Secrecy ja das wissen um den privaten Schlüssel nichts bringt, wenn man nicht an der Aushandlung des Sitzungsschlüssel teilnimmt.

Allerdings denke ich, dass das Team von Open Whisper Systems da bereits einen vernünftigen Ansatz hat

Ja wollen wir mal hoffen das die einen vernünftigen Ansatz haben... Ein geteilter privater Schlüssel ist sicher kein Vernünftiger Ansatz. Aber wie bereits weiter oben geschrieben, ist der gängige Ansatz eigentlich die nachrichten synchron zu verschlüsseln und die Schlüssel dann jeweils zwischen dem Sender und jedem Empfänger einzeln Auszutauschen. (Ist natürlicha uch irgendiwe in geteilter Schlüssel, allerdings ein eigener für jede Nachricht)

 

[Magellan]

Oh das überrascht mich ja jetzt fast, würde ja bedeuten dass Facebook nicht mit dem Inhalt der Nachrichten arbeiten kann (auswerten, für Werbung / Profile nutzen...).
So oder so erstmal guter Schritt der dem Image von WA sicher hilft.

@Vorposter: na da ist wohl irgendwas schief gegangen

 

[katzilla]

@katzilla: Und wie willst du die Übertragung des Telefonbuchs schützen? ...

das "WIE" ist nicht meine Aufgabe. ich bin in der Materie der Cryptographie/-logie nur ein Nutzer. aber wenn es nur eine Ende-zu-Ende Verschlüsselung für die Chats gibt, aber nirgends die anderen Kommunikationskanäle verschlüsselt sind, dann ist das doch der blanke Hohn.

... dass DAS nur mir auffällt zeigt mir, dass DU soweit gar nicht abstrahierst.

 

[charmin]

Ist denjenigen hier, die gegen WhatsApp wettern (ich mag es auch nicht), aber dafür Telegram nutzen eigentlich klar, dass Telegram das gleiche in blau ist? Die Chefs und Eigentümer des Ladens sind die Gründer von VKontakte, dem russischen Facebook Klon.

 

[Tulol]

Also, ich würde mir dieses Threema ja mal gen ansehen, geht aber nicht weil die Entwickler es nicht für notwendig erachten es für WindowsPhone zu entwickeln.

 

[xbrtll]

@katzilla: Die Kommunikation zwischen Nutzer und Server sind schon seit einiger Zeit verschlüsselt, insbesondere die Übertragung des Adressbuchs (oder genauer: der Telefonnummern). Und weil der Server dabei das Ziel ist, ist das im Prinzip auch eine Ende-zu-Ende Verschlüsselung.

 

[Autokiller677]

das "WIE" ist nicht meine Aufgabe. ich bin in der Materie der Cryptographie/-logie nur ein Nutzer. aber wenn es nur eine Ende-zu-Ende Verschlüsselung für die Chats gibt, aber nirgends die anderen Kommunikationskanäle verschlüsselt sind, dann ist das doch der blanke Hohn.

... dass DAS nur mir auffällt zeigt mir, dass DU soweit gar nicht abstrahierst.

Nein, es zeigt nur, dass du gerne rummjammerst, ohne zu wissen, worüber du redest. Ich bin jetzt zwar auch kein Crypto-Freak, kenne mir da aber ein bisschen aus und kann dir deshalb sagen, du kannst nach aktuellem Stand der Technik das Addressbuch nicht so übertragen, das WhatsApp das nicht lesen kann und trotzdem einen Abgleich machen kann.

Das ist genauso wie die Leute, die sich bei PGP drüber aufregen, dass der Provider immer noch den Empfänger der E-Mail kennt - ja, wie soll die Mail den zugestellt werden, wenn der Mailprovider nicht weiß, wo sie hin soll? Der Postbote kann schließlich auch keinen Brief ohne zustellen ohne die Adresse zu kennen.

Das wurde hier im Thread auch schon ausführlich diskutiert.

 

[Pelzi]

das "WIE" ist nicht meine Aufgabe. ich bin in der Materie der Cryptographie/-logie nur ein Nutzer. aber wenn es nur eine Ende-zu-Ende Verschlüsselung für die Chats gibt, aber nirgends die anderen Kommunikationskanäle verschlüsselt sind, dann ist das doch der blanke Hohn.

... dass DAS nur mir auffällt zeigt mir, dass DU soweit gar nicht abstrahierst.

Es wäre wünschenswert, dass man nur ausgewählte Kontakte übertragen kann. Aber ansonsten ist die Adressbuchübertragung nunmal notwendig für den angebotenen Service. Wenn du Nachrichten verschicken willst, musst du dem übermittler die Adresse des Empfängers geben.

Wenn du wissen willst wen deiner Freunde der Übermittler erreichen kann, musst du ihm eine Liste von eindutigen IDs geben, nach denen er sein Mitglieder durchsuchen kann. Hier wäre eine gehashte Telefonummer ausreichend, aber auch kaum ein Sicherheitsgewinn gegenüber der Klartextnummer. Die daten zwischen WA und User werden schon seit einiger Zeit verschlüsselt übertragen.

Man kann WA bezüglich der Addressbücher nur vorwerfen, dass sie dem Nutzer nciht die Möglichkeit lassen zu entscheiden, welche Kontakte sie an WA geben wollen udn welche nicht. Aber ich denke mal 99% oder mehr Nutzer würden selbst wenn sie die Möglichkeit hätten auszuwählen, immer alle synchronisieren.

 

[Magellan]

Also, ich würde mir dieses Threema ja mal gen ansehen

Threema hat leider ein paar Probleme - erstens ist die Performance einfach schlecht, ich habe regelmäßig den Fall dass die Threema Nachricht abgesendet wird aber noch nicht als Empfangen markiert wird, wenn ich dann eine WA Nachricht an den selben Empfänger sende ist die sofort auch angekommen und ich bekomm ne Antwort.
Verzögerung bei nem Instant Messenger geht halt gar nicht...

Das zweite ist dass das Versenden an sich langsamer scheint, wenn ich schlechtes Netz hab und per Threma nen Bild gar nicht mehr rausbekomme funktiert es per WA oft noch. (wird man sehen ob das mit Verschlüsselung dann anders ist)

Und als drittes nervt dass viele Threema Nutzer ständig andere IDs haben (nach Handy/ROM Wechsel, weil die Backup funktion schlecht bzw schlecht dokumentiert ist und daher laufend falsch gemacht wird).

Allgemein wird sich aber kein Messenger mehr gegen die Marktmacht/Verbreitung von WA und FB durchsetzen können und schon gar keiner der nicht wenigstens die ersten Jahre kostenlos ist - die Mehrheit zahlt nicht für etwas das man "eigentlich nicht braucht" und nur mal testen will.

 

[ATL]

Irgendwann mussten sie reagieren.

Gruß

 

[katzilla]

@Autokiller

ich habe nirgends etwas davon "gejammert", daß man das Telefonbuch übertragen muß oder der Provider den Empfänger kennt. mir ging es darum, dass die Abfrage des wie von Pelzi beschriebenen gesamten Telefonbuches einfach mal vorrausgesetzt wird.

bei Threema darf ich ein separates Telefonbuch bzw. eine Kontaktliste führen, in der die gewünschten Teilnehmer enthalten sind. ich übertrage da nicht einfach alle Kontaktdaten. ich lege nur die relevanten Daten an. und jetzt darf Autokiller weiterführend mutmaßen und mir die falschen brocken auf die Zunge legen. ^^

 

[mightysick]

Leider mit ziemlicher Sicherheit mit Backdoor und damit mal wieder Augenwischerei.

Ich bin schon Anfang des Jahres auf threema umgestiegen und hab WA seit dem nicht mehr genutzt. Wer nicht mit umgezogen ist, wird halt angerufen.

 

[dr. lele]

@charmin Ja ist uns schon klar. Telegram ist aber offener, und von Anfang an sicherer gewesen. Außerdem ist man dann nicht in den Klauen eines Monopols. Facebook nutze ich nämlich, VKontakte nicht.

 

[modena.ch]

Whatsapp MUSS hier Zugriff auf die Daten haben, um den Abgleich ausführen zu können. Und wie im Thread schon diskutiert bringt Hashing nix, weil es hier einfach zurückzurechnen ist.

Was willst du zurückrechnen, was du gar nicht hast?
Wie bei Threema deutlich zu lesen gehasht, SSL verschlüsselt übertragen, Hashabgleich im Server Ram und Hash wird gelöscht.
Man müsste den Hash also im geeigneten Moment beim Übertragen oder im Ram abgreifen (Sekundenbruchteile) und entschlüsseln, dann den Hash zurückrechnen.
Viel Spass und viel Glück sag ich da nur!

Das ist auf jeden Fall um Klassen besser als die Kontakte zum Server zu übertragen, wo sie auch gespeichert werden.

@ONH
Und betreffend evtl Schweiz und Gesetzesänderungen. Der Unterschied zu den USA ist, dass solche Politiker bei uns aus dem Amt gejagt werden
und ihr geistiger Durchfall kaum jemals den Weg in die Gesetzesbücher finden wird. Und wenn doch vom Volk rückgänig gemacht werden kann.
Ausserdem wirst doch wohl hoffentlich nicht den Schweizer Geheimdienst mit der NSA vergleichen wollen.

Ausserdem Schweizer Anbieter, Schweizer Server. Noch gibts bei uns die strengsten Datenschutzgesetze die man so kennt.
Die Amis haben Richtlinien, an die sich keiner halten muss.
Patriot Act gibts bei uns auch nicht.
Und Threema ist auch keine Bude die davon lebt Daten zu durchforsten und zu verkaufen.
Also bitte, da ist man schon viel besser dran mit Threema, ganz davon ab, dass die Verschlüsselung asyncron betrieben wird.

@NOD.sunrise
Performanceprobleme gabs ganz am Anfang. Hatte ich aber schon lange nicht mehr.

Die Sicherung und ID Wechsel ist wirklich nicht so toll. Viele machen sich einfach eine neue ID mit neuer SIM oder
neuem Gerät.

Aber die Sicherung lässt sich mit der alten ID locker wiederherstellen. Ist kein grosses Ding.

 

[Hirtec]

Also ich werde weiterhin Threema benutzen. Allerdings muss ich sagen, dass der Weg mit Ende-zu-Ende-Verschlüsselung schon mal in die richtige Richtung geht, vor allen Dingen wenn Schwergewichte wie die Leute von TextSecure dahinter stehen.

 

[SonnyRasca]

Sicherlich ein Schritt in die richtige Richtung, wobei manche Usern eh immer irgend einen Grund finden, um weiter zu haten...

 

[Don Kamillentee]

Der gemeine Mob wird jetzt noch/wieder zufriedener sein. Die Trägheit der Masse halt...

 

[Trefoil80]

Also, ich würde mir dieses Threema ja mal gen ansehen, geht aber nicht weil die Entwickler es nicht für notwendig erachten es für WindowsPhone zu entwickeln.

Die Windows Phone-Version ist bereits im Beta-Test. Die fertige Version müsste bald erscheinen.

Threema hat leider ein paar Probleme - erstens ist die Performance einfach schlecht, ich habe regelmäßig den Fall dass die Threema Nachricht abgesendet wird aber noch nicht als Empfangen markiert wird, wenn ich dann eine WA Nachricht an den selben Empfänger sende ist die sofort auch angekommen und ich bekomm ne Antwort.
Verzögerung bei nem Instant Messenger geht halt gar nicht...

Kann ich nicht nachvollziehen. Bei mir klappt alles schnell.

Das zweite ist dass das Versenden an sich langsamer scheint, wenn ich schlechtes Netz hab und per Threma nen Bild gar nicht mehr rausbekomme funktiert es per WA oft noch. (wird man sehen ob das mit Verschlüsselung dann anders ist)

Du solltest die Wahl Deines Mobilfunkanbieters überdenken...

Und als drittes nervt dass viele Threema Nutzer ständig andere IDs haben (nach Handy/ROM Wechsel, weil die Backup funktion schlecht bzw schlecht dokumentiert ist und daher laufend falsch gemacht wird).

Da kann Threema nichts dafür, wenn die Anwender zu dumm sind, das Backup zu erstellen. Ist sogar einfacher, als den WhatsApp-Ordner zu kopieren. Dokumentiert ist das Feature ebenfalls.
Aber Threema muss nicht dokumentieren, wie man sich den Hintern richtig abwischt, oder?

Allgemein wird sich aber kein Messenger mehr gegen die Marktmacht/Verbreitung von WA und FB durchsetzen können und schon gar keiner der nicht wenigstens die ersten Jahre kostenlos ist - die Mehrheit zahlt nicht für etwas das man "eigentlich nicht braucht" und nur mal testen will.

Wenn Jeder so eine lasche Einstellung wie Du an den Tag legt, wird sich wirklich nichts ändern...ich persönlich brauche WhatsApp nicht.
Bin über Telefon, eMail, SMS und Threema erreichbar. Ich denke, das sind genug Möglichkeiten...