News WhatsApp: Verschlüsselung kann umgangen werden

[Smartin]

Besteht diese Welt eigentlich nur noch aus Lug und Betrug? Wann zieht endlich jemand diese Leute mal zur Verantwortung?

 

[Shoryuken94]

@Bonanca

wow, mit 100mb kommt man ja wirklich weit ^^

 

[Kokuswolf]

Boelter said: “[Some] might say that this vulnerability could only be abused to snoop on ‘single’ targeted messages, not entire conversations. This is not true if you consider that the WhatsApp server can just forward messages without sending the ‘message was received by recipient’ notification (or the double tick), which users might not notice. Using the retransmission vulnerability, the WhatsApp server can then later get a transcript of the whole conversation, not just a single message.”

Keine Ahnung, ob ich das richtig verstehe:

1) User A senden verschlüsselte Nachrichten nach User B
2) User B sendet ‘message was received by recipient’ notification, die Server aber "bewusst" blockieren muss
3) Angreifer zwingt User A zum Aushandeln neuer Verschlüsselungskeys, jedoch mit dem Angreifer
4) User A sendet aufgrund "retransmission vulnerability" erneut die Nachrichten, die User B nach Kenntnis von User A nicht erhalten haben soll
5) Angreifer gibt `received Notification`an User A
6) User A denkt, alles ist gut

Irgendwie muss es aber noch ein danach geben...

7) User A schickt weitere Nachrichten (aber mit gegenüber User B unbekannten Verschlüsselung)
8) User B merkt, das Verschlüsselung nicht funktioniert und fordert neue Aushandlung an
9) User A handelt neue Verschlüsselung mit User B aus
10) User A sendet aufgrund "retransmission vulnerability" erneut die Nachrichten, die User B nach Kenntnis von User A nicht erhalten haben soll
11) User B ist empfängt die Nachrichten und sendet ‘message was received by recipient’ notification

... u.s.w.

Ich denke so könnte das Problem aussehen. Dazu wäre noch zu überlegen, ob dies in beide Richtungen funktioniert. Wenn ja, dann könnte ein geschickter Angreiofen Nachrichten abgreifen. Jedoch würde das zu ständigen Neuaushandeln von Verschlüsselungen kommen. Zwischen dem Aushandeln wäre die Double-Ticks nicht gesetzt.

PS: Wichtiger Punkt hier, die Whatsapp Server müssen bewusst die Notifications blockieren.

Edit-PS: Whatsapp könnte anzeigen, dass eine neue Verschlüsselung ausgehandelt wurde. Dadurch würde das Mitlesen (oder ein Bug) schnell erkenntlich. Dies ist aber dann genau das, was nicht gewollt ist, nehme ich an.

 

[GrumpyDude]

kann man eigentlich Signal selbst kompilieren als APK? Welche Messenger sind "fully" opensource, so dass ich sie selbst kompilieren kann? Da würd

 

[q3fuba]

Wie schon von vielen Vorpostern erwähnt, ist nahezu unmöglich die Dummies von Whatsapp weg zu bringen...
Deswegen ja auch Dummies

Aber das interessiert sowieso keinen Dummy wobei man sagen muss, 90% der User haben gerade mal Ahnung haben wie man ein Smartphone einschaltet!
Ja, ich habe es erlebt -> einige wissen nicht wie sie ihr Gerät ausschalten/rebooten können...

Ist ganz einfach, wenn man sich "treiben" lassen kann, wieso soll man dann selbst "schwimmen"
Und so lange es solche "Dummies" gibt, wird sich auch nichts ändern!

 

[hroessler]

Ist da wirklich jemand ernsthaft überrascht? Leute, nehmt endlich einen alternativen Messenger und nehmt Abstand von dem Facebook Dreck!

greetz
hroessler

 

[GIGU]

Benutzt Threema!

Wie sicher ist ein App, dessen Server in der Schweiz stehen überhaupt noch?
Das Letzte Stück Freiheit hat das Schweizer Stimmvolk mit einem JA zur Massenüberwachung leider verspielt.

(OK, zweit letzte, in der EU sind wir noch nicht machen nur jeden Quatsch mit der uns Brüssel droht)

 

[pmkrefeld]

Umsteigen auf iMessage?! xD alle nicht appleuser, pech xD. threema klingt interessant. Aber ich kauf doch keine app wenn keine sau dort ist. Watsapp ist industriestandard. pech gehabt. *Spaßmode*

Der Preis von Threema sollte doch wirklich kein Argument darstellen.
Ich hab in meinem Freundeskreis Threema etabliert, es war nicht einfach aber ich kann sie mittlerweile alle so erreichen.
Und wenn der Stein ins Rollen kommt wird es für alle immer einfacher.

Das einzige was mich noch stört ist dass es keine Möglichkeit gibt jmd diese App zu schenken, dann wäre das noch viel einfacher gewesen.

 

[Matunuctus]

Eben, solche Lücken sind sogar in den USA Vorschrift, die SW dürfte ohne gar nicht dort zum Einsatz kommen. Wie nativ sind Leute eigentlich die sowas noch immer noch wissen oder Glauben wollen?

Nein, es gibt (noch) keine Vorschrift / Gesetz

 

[Mx1]

Im Westen nichts Neues =/

 

[Rhizojo]

Ist da wirklich jemand ernsthaft überrascht? Leute, nehmt endlich einen alternativen Messenger und nehmt Abstand von dem Facebook Dreck!

greetz
hroessler

bitte nicht, sonst ist threema als nächstes dran..

 

[StarAce]

Neeeeeein, eeeeecht? Es gibt eine Hintertür? Ein Chelm, wer Pöses dabei denkt

 

[Gandalf2210]

Hätte eigentlich gedacht die machen die Verschlüsselung wirklich gut. So wie Apple auf ihren iPhones, damit man nicht mit Behörden kooperieren muss

 

[piepenkorn]

Die Leute wollen, dass direkt alle Ihre Freunde diese App nutzen, ansonsten sind die schnell wieder weg.

Was hast du für Freunde?

Meine Freunde sind trotzdem da und nutzen trotz Whatsapp auch Telegram.

 

[Chesterfield]

Ist das jetzt so verwunderlich ? Nun ja wir werden alle eines Tages wieder bitter erfahren wie wertvoll Privatsphäre mal war

 

[psYcho-edgE]

Benutzt Telegram.

Lässt sich z.T. auch auslesen.

https://netzpolitik.org/2016/bundeskriminalamt-knackt-telegram-accounts/

 

[Marcel55]

Whatsapp...habe ich auch nur noch zu Kompatibilitätsgründen drauf.

Mit meinem Freundeskreis bin ich schon lange zu Telegram gewechselt und es ist so viel besser als Whatsapp...man kann sogar Bots programmieren dafür.
Desktop-Client, Web-Client der auch ohne direkte Verbindung zum Smartphone funktioniert...

 

[Spike S.]

@soares: Ich kenne die Eigenheiten der Google Messaging Plattform nicht, aber wenn es ein universeller Dienst ist, dann liege ich wahrscheinlich nicht falsch wenn ich mal etwas rate: die üblichen Metadaten wie Absender- und Empfängeradresse (wie auch immer die aussehen, gehe aber stark davon aus das eine Verknüpfung zum Google-Konto möglich oder vorhanden ist), Timestamps und verschlüsselter Body. Und ich denke es wäre naiv zu glauben, dass Google bei der Gelegenheit nicht so viel wie möglich zusätzlich speichert. Könnte mir da vorstellen, wenn vorhanden: Standort, Telefonnummer, IMEI, Verbindungsinfos (Mobilfunk oder WLAN, zzgl. Netz-IDs oder SSIDs usw.), etc.
Mir ist klar das einiges davon notwendig ist damit der Dienst funktioniert, mich stört aber die Häufung (und Verknüpfung mit der Beute aus den anderen Google-Diensten) der Daten an einer zentralen Stelle. In Sachen Sicherheit ist Dezentralisierung ein gutes Mittel zur Risikominimierung.

 

[blueGod]

Das Beispiel zeigt sehr gut, was man von den Marketing-Sicherheitsversprechen halten kann. Das übliche "wussten wir nicht" zieht da auch nicht mehr. Es ist schlichtweg kein Interesse da die Lücke schnell und effektiv zu schliessen.

 

[AshS]

Telegramm benutzt nur die unsicher SHA-1 Verschlüsselung und von Threma gibt es keinen einsehbaren Quellcode, alles was man darüber weiß kann also alles gelogen sein. Signal speichert hingegen alle Metadaten bei Google. Die WhatsApper sind im großen Cyberkrieg auch schon so gut wie erledigt.

Wer den Todesdrohnen entkommen will sollte also besser auf altbewährtes setzen:
https://de.wikipedia.org/wiki/One-Time-Pad