'Gebruiker kan niet vertrouwen op end-to-end-encryptie in WhatsApp' - update

De end-to-end-encryptie die in WhatsApp is geïmplementeerd, is onvolledig en niet te vertrouwen concludeert het Duitse Heise Security na een analyse van de populaire chatclient. Zo ondersteunen iPhones geen e2e-encryptie en is het encryptieproces onvoldoende transparant.

WhatsApp heeft sinds november vorig jaar in de Android-versies van zijn chatclient end-to-end-encryptie standaard geactiveerd, maar dat geeft de gebruiker allerminst de garantie dat zijn berichten versleuteld worden verstuurd, zo stelt Heise Security. Zij bekeken met tools als Wireshark en Yowsup het berichtenverkeer dat WhatsApp genereert bij zowel het verzenden als het ontvangen van berichten.

Tijdens testen door middel van een klassieke man-in-the-middle-opstelling bleek dat berichten tussen twee Android-clients daadwerkelijk 'end-to-end' werden versleuteld via het zogeheten TextSecure-protocol. Als er echter een bericht naar een iOS-client werd gestuurd, werd TextSecure niet toegepast. Dat komt doordat de WhatsApp-app voor iPhones deze vorm van versleuteling niet ondersteunt. Het was daardoor vrij eenvoudig om het testbericht tussentijds te onderscheppen en te ontsleutelen.

Om berichten basaal te versleutelen, gebruikt WhatsApp al enige tijd RC4-encryptie als er geen end-to-end-encryptie tussen clients mogelijk is. Dit algoritme wordt al langer als onvoldoende veilig gezien, maar een aanvaller moet nog wel moeite doen om een bericht te ontsleutelen. Daardoor biedt RC4 enige zekerheid tegen het op grote schaal ontsleutelen van data, bijvoorbeeld door de backbone af te tappen. Een ander zwak punt is dat voor elk bericht de sleutel gegenereerd wordt op basis van een gebruikerswachtwoord. Doordat volgens Heise WhatsApp nooit inzage heeft gegeven in hoe zijn servers omgaan met deze minder sterke versleuteling, blijft ook dit een kwetsbaar punt.

Volgens Heise zijn er nog meer problemen met de huidige implementatie van e2e-encryptie in WhatsApp. Zo is onduidelijk of deze vorm van encryptie altijd wordt gebruikt als dat technisch mogelijk is. Zo bestaat de mogelijkheid dat in bepaalde gevallen encryptie uitgeschakeld wordt, bijvoorbeeld op verzoek van inlichtingendiensten. In ieder geval is er een mechanisme om end-to-end-encryptie uit te schakelen, bijvoorbeeld als er naar een iPhone een berichtje wordt gestuurd. Verder is het door de propriëtaire code van de WhatsApp-client niet zeker of de gebruikte sleutel niet alsnog door een derde bemachtigd kan worden. Ten slotte wijzen de testers erop dat de WhatsApp-client de gebruiker niet laat weten of er e2e-encryptie wordt gebruikt.

De bedenker van het e2e-protocol, Open Whisper Systems, heeft inmiddels op Reddit gereageerd op het artikel van Heise. Zij stellen dat er nog volop wordt gesleuteld aan de implementatie van end-to-end-encryptie voor WhatsApp en dat die stapsgewijs zal plaatsvinden.

Update, 11:00: Reactie van Open Whisper Systems is toegevoegd.

Reacties (145)

[MarcRvB]

Ben benieuwd hoe goed telegram beveiligd is

[Anoniem: 601896]

Kijk, whatsapp is open en eerlijk over de gebreken van haar protocol. En dat was het ook al bij het uitkomen van deze nieuwe encryptie. Dat dit probleem er zat maakte zij ook al bekend bij publicatie van het E2E systeem. Het werkt precies zoals bedoeld.

Whatsapp blijkt niet zo veilig, maar is daarover en over haar geldstromen in tegenstelling tot telegram wel eerlijk.

Ben benieuwd hoe goed telegram beveiligd is

Volgens de marktetingtermen van Telegram heel goed.

• Ze hebben een 'kraak-ons' wedstrijd die nog niemand gewonnen heeft.
• Ze hebben hun hoofdkwartier naar Duitsland verplaatst.
• Ze worden gefinancierd vanuit een Amerikaanse trust.
• Durov (de Russische eigenaar) zou 'ruzie' hebben met de russen, dus daar niets mee te maken hebben.

Wie wel kritisch en verder kijkt ziet dit:

• 1. De kraak ons wedstrijd is een farce.
• 2. Financiering, enkele belangrijke mensen in het bedrijf, en de bedrijfsrelaties zijn allemaal Russisch.
• 3. De Amerikaanse trust die telegram betaald is gefinancierd met Russisch geld
• 4. Durov heeft eerder voor honderden miljoenen, controle over prive-gegevens van miljoenen russen en oekrainners verkocht aan 'vrienden' van de Russische overheid.

1. De crypto challange is een farce.
De regels zijn zo dat je de crypto challange niet kan winnen, en dat het ook maar een beperkt deel van de beveiliging van telegram behelst:

• http://tech.eu/news/telegram-protocol-cracking-contest/
• http://paulmillr.com/posts/the-story-of-telegram/
• http://www.thoughtcrime.org/blog/telegram-crypto-challenge/

2. De financiering van telegram en de key-players zijn Russisch.
En lijkt er ook door de Russische overheid met pek en veren het land te zijn uitgezet. Tegelijk heeft hij meermalen aangegeven dat ondanks dat hij geen eigenaar meer is van Vkontakte, zich nog wel in te zetten voor het bedrijf, en is het zo dat hij sinds de laatste verkoop van Vkontakte diverse keren in Rusland is geweest (waarom? in hemelsnaam als je daar zo verguisd wordt en er niet heen zal gaan) Ook zijn enkele belangrijke mensen in telegram vertrouwelingen die hij heeft meegenomen uit Rusland.Je kan een Rus wel uit Rusland halen, maar je haalt nooit de liefde voor Rusland uit de Rus. Zeker niet in Durovs geval als 't geld van het Russische en staatsgelieerde Vkontakte komt.

3. De Amerikaanse trust die telegram betaald is gefinancierd met Russisch geld
Durov gaat er op zijn website prat op dat zijn bedrijf geen 'banden' heeft met Rusland.

While the Durov brothers were born in Russia, as were some of the key developers, Telegram is not connected to Russia – legally or physically. Telegram's HQ is in Berlin.

Dankzij Durovs intensieve verstrengeling van VK en telegram is het zo dat nu in Amerika het eigendom van Durov's trust, wordt betwist, en dat uit een rechtszaak mogelijk kan komen van telegram onderdeel is van Vkontakte, een bedrijf in handen van diverse Russische oliegargen dicht bij het Kremlin.

Daarnaast is Telegram gefinancierd met geld uit het "Digital Fortress Fund". zoals zelfs in de faq staat van telegram.

Telegram with a generous donation through his Digital Fortress fund, so we have quite enough money for the time being.

Wat er niet bij staat is dat Durov zelf, dat fonds heeft opgezet, en dat 100% van het geld in dat fund via Durov afkomstig is van de russische oliegargen Tavrin en Usmanov, twee Russische oliegaren die zéér loyaal zijn aan het Kremlin.

4. Durov heeft eerder voor honderden miljoenen, controle over prive-gegevens van miljoenen russen en oekrainners verkocht aan 'vrienden' van de Russische overheid.
In mijn persoonlijke optiek is de beste indicator voor gedrag in de toekomst, het gedrag uit het verleden. In het verleden, was de eigenaar Durov volledige eigenaar van Vkontakte. Als je die controle hebt, dan kun je zelf je bedrijfsbeleid en privacy-policy controleren, en hoef je geen ex-FSB'ers of KGB'ers inspraak te geven in je bedrijf.

Feit is dat Durov multimiljonair, of miljardair is geworden door het verkopen van de Vkontakte, met daarin de prive-gegevens van miljoenen russen en oekrainners. Niet alleen heb je profielinformatie met VK, maar ook zaken als ooit 'veilige' en persoonlijke chat berichten gingen via VK en zijn nu in de handen bij Tavrin en Asmanov. Geld waar durov 'van hield' en zelfs af en toe in biljetten van €160 voor de lol uit het raam gooide naar het plebs.

Nu zijn wordt er veel gezegd, dat die verkoop onder dwang was, "want russen zijn eng-en-slecht dus dat zullen ze wel doen met een jonge ondernemer." Maar als Durov, echt maar een cent had gegeven om de gebruikersgegevens, had hij toen hij moest kiezen tussen veel geld of de belangen van zijn gebruikers. gekozen voor de belangen van zijn gebruikers.

Als de russische overheid zo slecht is, en Durov zou afpersen. Dan had hij als hij had gehandeld in belang van de privacy, zijn bedrijf ook kunnen verhuizen. Als je een staalfabriek hebt in de buurt van Moskou is dat onmogelijk. Maar mocht je 'last' hebben van dat de overheid je wilt onteigenen dan is een webdiensten bedrijf super mobiel. Juist een ict bedrijf is relatief makkelijk te verplaatsen:

• Een rechtsvorm aanvragen in een ander land is gedaan zo gedaan, zeker als je in dat land belasting gaat betalen of werkgelegenheid brengt.
• De hosting van je site verplaatsen naar andere servers, is relatief makkelijk.
• Onder werknemers zijn hoog-opgeleide ict'ers relatief weinig standplaats geboden.

Dus eigenlijk vertrouw ik voor de veiligheid van mijn berichten telegram net zo min als Whatsapp. Waarom andere mensen dat wel doen vind ik verwonderlijk.

[Reactie gewijzigd door Anoniem: 601896 op 22 juli 2024 21:31]

[Beuzelarij]

Allemaal leuk en aardig, veel welles-nietes, veel sentimenten, maar laten we even naar de feiten kijken:

Telegram stelt een API ter beschikking, waardoor iedereen, op welk platform dan ook, een applicatie kan ontwikkelen. Het resultaat is dat de meeste apps, waaronder ook de officïele, Open Source zijn. Iedereen kan precies zien welke informatie de API wordt ingestuurd. Het gebruikte protocol is nu nog niet Open Source, er is de belofte de broncode daarvan tezijnertijd openbaar te maken. Telegram geeft wel, behoorlijk gedetailleerd zelfs, openheid hoe ze een en ander geïmplementeerd hebben, maar de broncode van het protocol is nu inderdaad nog niet gepubliceerd en daar moeten we op moment van schrijven dus vanuit gaan.

Facebook/Whatsapp geeft echter helemaal niets vrij. Geen API, geen protocol, wat er allemaal aan informatie wordt binnengehaald, je mag daar als gebruiker helemaal niets van weten. Je mag enkel de gesloten app van Facebook/Whatsapp zelf gebruiken, ook via de PC is die app nog steeds vereist. Audits door commerciële bedrijven, instanties en meer van dat soort dingen, best leuk, maar niemand kan zélf iets controleren, enkel anderen op hun blauwe ogen geloven.

'Veiligheid' zit voor een deel in de berichten die verstuurd worden, voor een ander deel in andere informatie die (via een app) wordt binnengehaald. Met hun Open Source apps en de API kun je dat bij Telegram in ieder geval controleren en zélf beheren.


Het verbaast me dat er nog geen alternatieve Telegram-cliënt is gemaakt, waarbij gegevens vooraf (via een bekend, bewezen Open Source protocol) versleuteld de Telegram-API in worden gestuurd. Waardoor berichten überhaupt niet doorzocht kunnen worden, of er daarna nou nog wel of niet de eigen Telegram-beveiliging overheen wordt gegooid.
Iets dergelijks kan nu natuurlijk al via XMPP, maar er is dan het voordeel dat je gebruik kunt maken van de servers van Telegram, en mensen dus niet zelf een server moeten zoeken en zelf een accountnaam en wachtwoord moeten genereren. Voor sommige Tweakers natuurlijk geen enkel probleem, voor velen echter wel omdat anders standaard (versleuteld) XMPP, dat er al veel eerder was en waar bijvoorbeeld ook Whatsapp in essentie gebruik van maakt, wel een grotere vlucht zou hebben genomen.

[WhatsappHack]

Telegram stelt een API ter beschikking, waardoor iedereen, op welk platform dan ook, een applicatie kan ontwikkelen. Het resultaat is dat de meeste apps, waaronder ook de officïele, Open Source zijn. Iedereen kan precies zien welke informatie de API wordt ingestuurd. Het gebruikte protocol is nu nog niet Open Source, er is de belofte de broncode daarvan tezijnertijd openbaar te maken. Telegram geeft wel, behoorlijk gedetailleerd zelfs, openheid hoe ze een en ander geïmplementeerd hebben, maar de broncode van het protocol is nu inderdaad nog niet gepubliceerd en daar moeten we op moment van schrijven dus vanuit gaan.

Die belofte kan je met een wassen neus nemen, want tot zover hebben ze steeds aangegeven absoluut geen intentie te hebben om het open-source te maken.
Telegram belooft heel veel dingen, maar levert het nooit... Ze beloven veilige encryptie, die is er absoluut niet. Ze beloven veiligheid dat je je data nooit in handen van anderen kan vinden, vervolgens blijkt dat ze alles kunnen verkopen. Ze beloven een veilige cloud opzet, die blijkt helemaal niet veilig te zijn. Ze beloofden eerlijk en open te zijn, tot nu toe zien we enkel leugens en onzin.

Die source code komt er waarschijnlijk nooit, of pas als ze ermee stoppen; en gezien alles wat Telegram tot nu toe voor smerige trucjes, misleiding en leugens heeft uitgekraamd, kan je elke source die ze releasen nooit meer vertrouwen of hun afluistermechanieken daar niet toevallig uitgesloopt zijn.
Zelfs als het open-source wordt, zal Telegram nooit te vertrouwen zijn... De eigenaren hebben gewoon teveel leugens verteld om ze ooit nog serieus te nemen.

Facebook/Whatsapp geeft echter helemaal niets vrij. Geen API, geen protocol, wat er allemaal aan informatie wordt binnengehaald, je mag daar als gebruiker helemaal niets van weten

Er wordt wel degelijk heel duidelijk omschreven wat er allemaal aan informatie wordt binnengehaald, en wat ze daar wel en niet mee mogen doen.
Zo mogen ze privegegevens nooit bewaren en al helemaal niet doorspelen/doorverkopen, zelfs Facebook heeft geen toegang tot WhatsApp's data; maar ze mogen wel geaggregeerde statistieken verzamelen, genereren en zelfs verkopen...
... Maar dan zit er dus niets tussen dat echt naar jou te herleiden valt. "9 miljoen mensen in Nederland gebruiken WhatsApp, waarvan er 5 miljoen op Android, 3 miljoen op iOS en 1 miljoen op overige OS'es.". Dat is niet echt gevoelige data.

Je mag er dus alles van weten, ik vind WhatsApp daar zeer transparant in.

Je mag enkel de gesloten app van Facebook/Whatsapp zelf gebruiken, ook via de PC is die app nog steeds vereist. Audits door commerciële bedrijven, instanties en meer van dat soort dingen, best leuk, maar niemand kan zélf iets controleren, enkel anderen op hun blauwe ogen geloven.

Voor 99% van de gebruikers van Telegram is dat ook het geval, want die snappen toch geen hol van al die code.
Dus het blijft er altijd op neerkomen dat je anderen maar op hun blauwe ogen moet geloven...

... En wat ik in de community hier bijvoorbeeld veel zie, is mensen die menen er verstand van te hebben of net doen alsof het duidelijk absoluut NIET goed hebben nagekeken; maar wel zondermeer beweren dat Telegram een zeer veilig systeem is. En die hebben vast ook weer kenissen die hen op hun blauwe slecht-geinformeerde ogen geloven, en zo gaat het cirkeltje rond.
Het is dan ook geen wonder dat veel mensen werkelijk overtuigd zijn dat Telegram heel veilig is (want cryptocontest! (die nep is.)), je data nooit zal verkopen (want er staat dat ze het niet gratis zullen weggeven! (Nee, maar verkopen mag dus wel.)), en een hele veilige cloud hebben (want de sleutels worden op een andere VM gezet! (die deeluitmaakt van 't zelfde netwerk.))... En ga zo maar door.

WhatsApp claimt tenminste niet dat ze veilig zijn... Telegram claimt dat wel, en misleid heel veel mensen met hun leugens; wat Telegram de-facto veel gevaarlijker maakt.
Wat dat betreft heb ik erg veel respect voor WhatsApp; die laten tenminste zien wat professioneel, open en eerlijk zijn nu werkelijk is. Niet claimen dat iets goed werkt totdat het klaar is. Niet claimen dat je super veilig bent, terwijl de encryptie nog lang niet af is, et cetera.

'Veiligheid' zit voor een deel in de berichten die verstuurd worden, voor een ander deel in andere informatie die (via een app) wordt binnengehaald. Met hun Open Source apps en de API kun je dat bij Telegram in ieder geval controleren en zélf beheren

Neen, veiligheid zoals hier gecliamed wordt zit in de crypto die je verplicht moet gebruiken om het compatible te houden met de TG servers.
En laat die crypto nou toevallig helemaal verrot zijn...

Nee sorry. Zelfs zonder E2E encryptie is WhatsApp nog altijd veiliger dan Telegram. Al is het al enkel en alleen omdat de makers absoluut niet te vertrouwen zijn, getuige alle leugens die ze verspreiden.

[Anoniem: 142554]

"WhatsApp claimt tenminste niet dat ze veilig zijn"

Dat moest er nog bij komen.. Maar jij claimt in een posting terug dat hun weten waar ze mee bezig zijn en wat voor geweldige mensen daar zitten. Huppa hier weer het bewijs dat ze wel degelijk niet weten wat ze aan het doen zijn..

"tenminste zien wat professioneel, open en eerlijk zijn ."
Ze hebben ontkend dat ze voor het in loggen het telefoon nummer en imei gebruikt dit hebben ze heeel lang vol gehouden....addon voor whatsapp die de UX beter maakt word geblokkeerd en gesommeerd de app moest uit de store(weet even de naam niet meer).... laten we het niet hebben over de mensen die de app reverse engineer hebben en de info op internet gezet hebben. Wat voor problemen en sommaties ze gehad hebben. Terwijl ze juist whatsapp will helpen door te innoveren naar de toekomst toe...

"Niet claimen dat iets goed werkt totdat het klaar is"
Ze claimen niks, zelfs niet hun fouten. Maar moet ik dan als toekomstige gebruiker dit accepteren dat de makers niet weten wat ze aan het doen zijn. Ook al betaal ik er 1 euro (bedrag is niet belangrijk).
History:
Met telefoon nummer en imei inloggen....... Status van andere mensen veranderen via web... Whatsapp in browser runnen, maar je moet de mobiel wel aan hebben... en nu weer dit zoveelste beveiliging probleem...

Jij als fan-boy moet echt eens op houden whatsapp het hand boven hun hoofd te houden. Ze laten keer op keer zien dat ze niet weten waar ze mee bezig zijn..

[WhatsappHack]

Dat moest er nog bij komen.. Maar jij claimt in een posting terug dat hun weten waar ze mee bezig zijn en wat voor geweldige mensen daar zitten. Huppa hier weer het bewijs dat ze wel degelijk niet weten wat ze aan het doen zijn..

Welk bewijs...?
Ik zie nergens bewijs dat ze niet weten wat ze aan het doen zijn.

Leg dus eens even uit?
Ook "weer bewijs" is sowieso geheel fout, want dit artikel/dat bij heise bewijst helemaal niets; dat heeft enkel herhaalt wat de devs zelf al gepubliceerd hadden.

"tenminste zien wat professioneel, open en eerlijk zijn ."
Ze hebben ontkend dat ze voor het in loggen het telefoon nummer en imei gebruikt dit hebben ze heeel lang vol gehouden....addon voor whatsapp die de UX beter maakt word geblokkeerd en gesommeerd de app moest uit de store(weet even de naam niet meer).... laten we het niet hebben over de mensen die de app reverse engineer hebben en de info op internet gezet hebben. Wat voor problemen en sommaties ze gehad hebben. Terwijl ze juist whatsapp will helpen door te innoveren naar de toekomst toe...

Ja, en?
Dus WhatsApp mag hun eigendom niet beveiligen en niet zelf beslissen of ze wel of geen third party software toelaten?
En wat heeft dat precies te maken met professioneel, open en eerlijk zijn?
Ze zijn er toch eerlijk in dat ze die niet toestaan?

Ik zie het probleem niet.
Zou wat zijn zeg, ben je als bedrijf verplicht alles maar toe te laten op je infrastrctuur... Leuk verhaal.

Dus als ik Tweakers website zou jatten, en dan ga eisen dat ze mijn getweakte tweakers website (ha...) vervolgens voor mij moeten hosten, en ze weigeren dat: dan zijn het dus onprofessionele eikels? Ik wil ze enkel helpen door te innoveren naar de toekomst toe! Ik wil enkel niet betalen voor de infra en duld geen inspraak.
Hou toch op zeg.

Ze claimen niks, zelfs niet hun fouten. Maar moet ik dan als toekomstige gebruiker dit accepteren dat de makers niet weten wat ze aan het doen zijn. Ook al betaal ik er 1 euro (bedrag is niet belangrijk).

De makers weten prima wat ze aan het doen zijn. Problemen van jaaaaaaaren geleden hoeven niet steeds mee te tellen.
Anders mag je ook iOS, Android, Windows, Linux, OpenSSL, banken, tig websites, etc. etc. niet meer gebruiken...

Met telefoon nummer en imei inloggen....... Status van andere mensen veranderen via web... Whatsapp in browser runnen, maar je moet de mobiel wel aan hebben... en nu weer dit zoveelste beveiliging probleem...

Mja, je hebt duidelijk totaal geen verstand van zaken.
Dat je mobiel aan moet hebben om via de browser te kunnen chatten is juist zodat je veiligheid gegarandeert kan worden.

Maar nee, meneer snapt niet hoe het werkt; vind het onhandig, en roept dus maar dat de ontwikkelaars niet weten wat ze aan het doen zijn.
Nou gelukkig voor ons weten ze dat wel, en laten ze het niet over aan mensen zoals jij die er kennelijk totaal geen verstand van hebben: maar graag doen alsof...
Als je wilt klagen: helemaal prima. Kritisch zijn? Geweldig! Maar ga geen onzin verkondigen, zeker niet als je totaal geen flauw benul hebt van hetgeen je probeert te claimen.

Jij als fan-boy moet echt eens op houden whatsapp het hand boven hun hoofd te houden. Ze laten keer op keer zien dat ze niet weten waar ze mee bezig zijn..

*gaap*
Ik vroeg me al af wanneer die zou komen.
Moet ik nu ook een opmerking gaan maken over dat jij een WhatsApp-hater bent ofzo, of wat is nu precies het doel dat je wilt bereiken met deze onzin?

Doe eens normaal.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:12]

[Anoniem: 601896]

Allemaal leuk en aardig, veel welles-nietes, veel sentimenten, maar laten we even naar de feiten kijken:

Defacto zie ik dan dat;

• telegram wordt gemaakt door russen, en eigendom is van een rus.
• Dat diezelfde Russ in het verleden heel rijk is geworden door de verkoop van privégegevens van miljoenen.
• Dat die vuile miljoenen ooit van ex-fsb'ers Tharin en Asmanov nu telegram financieren via een schijnconstructie van een trust in de vs.
• Dat herhaaldelijk de dingen die Durov claimed later weersproken worden door hem of niet waar zijn, of wel waar zijn maar dan toch door hem ontkent worden.

Dat de cliënt semi open-source is niet zo relevant of veelzeggend, maar Ik begrijp dat je wilt aansturen op een inhoudelijke discussie over het zelfbedachte protocol van telegram.

Dan moet ik je teleurstellen. Telegram geeft in tegenstelling tot whatsapp zijn encryptie standaard niet prijs. Sterker nog ze hebben een zelfbedacht iets, ipv een standaard. Wie berichten stuurt via telegram, stuurt standaard een cryptobericht naar de centrale server, daar wordt die ontsleuteld, weer encrypt en bezorgd. Wat er daar 'in het midden' gebeurd daarin geeft telegram ook geen inzicht.

Kortom een discussie over de feitelijke veiligheid van het protocol van telegram, is in tegenstelling tot eentje over dat van whatssapp niet mogelijk omdat:

• Wij niet weten of de berichten die gaan over de server van telegram na decryptie door telegram zelf worden uitgelezen.
• telegram weigert inzicht te geven in haar zelfbedachte protocol.

Security through obscurity. Het is alsof je een kind vraagt een puzzel op te lossen zonder puzzelstukjes te geven. Ik kan dus technisch weinig zeggen over het protocol van telegram, maar eigenlijk alles in de bedrijfsvoering van telegram is een grote rode vlag, inclusief het überhaupt niet laten reviewen van het encryptie protocol.

Whatsapp daarintegen is open en eerlijk. Ze erkennen dat ze een 'zwak' protocol hebben. En ook dat dat protocol kraakbaar is, en dat de beveiliging die ze met de laatste update hebben toegevoegd ook niet altijd meerwaarde biedt boven het vorige ook al zwakke systeem.

Privacy icm 'gratis' is gewoon een moeilijke combinatie. Dat is bij whatsapp zo, bij gratis bbm en bij telegram niet anders.

[Reactie gewijzigd door Anoniem: 601896 op 22 juli 2024 22:12]

[Terracotta]

En de Amerikaanse overheid/bedrijven zijn wel zo braaf? Of het nu Russisch of Amerikaans is zou niets mogen uitmaken in het vertrouwen in het protocol.

Feit is dat er genoeg redenen zijn om van Telegram af te blijven, niet in het minst dat ze dubieuze keuzes maken in hun gebruikte protocollen. Hun achtergrond gebruiken is inspelen op gevoelens van angst voor de Russische beer.

Momenteel is het enige echte betrouwbare programma TextSecure/Signal. WhatsApp maakt dan misschien af en toe gebruik van het TextSecure protocol, de code is closed source en je weet niet wanneer een bericht secure verstuurd/ontvangen is. De App is ook in controle van de sleutels, waardoor het protocol misschien gevolgd wordt, als de sleutels achteraf afgegeven kunnen worden ben je er nog niets mee.

Skype, facebook messenger, Whatsapp, Telegram, Hangouts, imessage, ja zelfs BBM en anderen zijn per definitie onbetrouwbaar zo lang de app zelf closed source is. Het enige dat je er van kan zeggen als je het gebruikt is dat je niet meer heel je gesprek door twee luidsprekers op een markt aan het houden bent. Je weet echter niet of en wie deze veilige huiskamergesprekken aan het afluisteren is.

[nst6ldr]

Telegram doet standaard niet aan end-to-end encryption en hun algoritme is zelf bedacht. In de wereld van informatiebeveiliging zijn dergelijke algoritmes niet vertrouwd omdat ze door de community niet degelijk getest zijn, het algoritme willen ze niet vrij geven en zo is het dus een klassiek geval van 'security by obscurity'.

Even als voorbeeld: de huidige Advanced Encryption Standard, het toenmalige Rijndael, is gewoon een open algoritme. Iedereen kan het inlezen en toepassen, in zekere zin zou je het open source kunnen noemen. Hier gaat de security gemeenschap mee aan de slag en vooralsnog is gebleken dat de AES-128-CBC implementatie van het algoritme niet te kraken is.

Laat je overigens niet misleiden door de prijs die de maker van Telegram uitlooft aan diegene die het protocol kraakt: de voorwaarden zijn ronduit belachelijk, zo mag je bijvoorbeeld vrijwel geen van de populaire aanvallen gebruiken (CPA, CCA).

Er is genoeg kritiek te vinden over de veiligheid van Telegram, maar het komt er uiteindelijk op neer dat de maker geen geleerde is in cryptografie en dus als zodanig teveel hooi op z'n vork neemt door een eigen algoritme te bedenken.

[drdelta]

De term is "security through obscurity". Verder prima.

[BasieP]

stukken beter. Die loven ook een prijs uit voor mensen die het kunnen kraken.
Nadeel is dat ze hun eigen security design hebben gedaan en dat wordt dan weer wel afgeraden.

Echter is het geloof ik nog niemand gelukt het afgelopen jaar. dus wat dat betreft is je smily zeer onterecht

zie ook:
https://www.eff.org/secure-messaging-scorecard

Voor een lijst van alle bekende messager apps

[Reactie gewijzigd door BasieP op 22 juli 2024 22:12]

[Sh4wn]

Dit is vrij naief.

Ten eerste: bijna niemand gebruikt standaard de secret chats. De gewone chats worden allemaal opgeslagen op een centrale server. Dit is het laatste wat je wilt als je om je privacy geeft.

Al zou je de secret chats gebruiken: er wordt gebruik gemaakt een zelf bedacht protocol, waar veel kritische geluiden over te vinden zijn. Aan de wedstrijd schijnen ook veel redelijk wat constraints te zitten.

Nee als je echt veilig berichten wil sturen gebruik je TextSecure/Signal. De makers van deze app zijn dus ook bezig samen met WhatsApp om ook in WhatsApp de berichten E2E te encrypten.

[LopendeVogel]

Is dat zo?
En via welke provider worden de berichten verstuurd?

Nee wil je bijna echt veilig te werk gaan dan moet je een aantal stappen verder gaan zie bijv ennetcom (geen app maar een bedrijf die zijn best doet voor de privacy, oa politie, overheid etc gebruikt het veelal) maar ook mogelijk voor de gebruiker. Kost je wel 100e zo niet 1000e euro's per jaar
Kan je wel mits de ontvanger hetzelfde toestel heeft vrijwel 100% anoniem berichten sturen.
Ennetcom heeft dus ook hun eigen stukje in de provider wereld. Je krijgt van hun dus een ook een sim + toestel.
Zelf heb ik het niet aangezien ik niet zoveel wil / kan betalen voor wat privacy.
Kortom wat jij zegt is simpelweg niet echt veilig, de provider verziekt het voor je

[Reactie gewijzigd door LopendeVogel op 22 juli 2024 22:12]

[drdelta]

Gelukkig dat sim kaarten zo veilig zijn. Dat is inderdaad wel écht belangrijk dat zij die zelf uit geven hè.

BasieP heeft gelijk, met goede encryptie maakt de provider of wie er ook mee wil/probeerd te luisteren, geen hol uit.

[BasieP]

Naief?

ik heb geen naief woord gezegd. Hoe trek je nou de conclusie dat het naief is?

Ik zeg precies hetzelfde als jij, ik toon er een net overzicht bij van feiten. En jij vind me naief. Ik laat niet eens mijn mening blijken.

ik snap het werkelijk niet. Maargoed.
Ik ben het helemaal met je eens dat je beter textsecure kunt gebruiken, echter is dat stukken onvriendelijker in gebruik en mist het een groot aantal features die telegram wel heeft.
Ik zeg niet dat het veiliger is, maar er zijn meer argumenten waarvoor je voor een programma kiest.

@jeroenC...
Werkelijk kerel. Als jij denkt dat de provider waar het langs komt uitmaakt mag je een boekje encryptie openslaan. En die verkapte reclame die jij hierbij maakt zou je een -1 op moeten leveren.

[WhatsappHack]

Die contest om een prijs te winnen is een nep-contest. Die kan nooit gewonnen worden, omdat er geen toegang is. Nogal logisch dus dat er al een jaar niemand is die er in geslaagd is... Is hele smerige marketing van Telegram, om gebruikers de illusie te geven dat hun troep veilig is. En dat is nog veel gevaarlijker dan een onveilige app gebruiken waarvan je weet dat hij onveilig is, omdat als je de waan krijgt veilig te zijn terwijl de maker van de app duidelijk stappen heeft ondernomen om te zorgen dat je dat niet bent: dan krijgen ze toegang tot veel gevoeligere data.

Ergo: telegram is een heel vies misleidend zooitje, en kan beter vermeden worden.
Teveel dingen die ze bewust onveilig laten, terwijl ze net doen alsof het wel veilig is. Zoals ze in Snatch roepen: "Sneaky ***** Russian", haha.

[Matthijs8]

Telegram gebruik standaard sowieso geen end-to-end encryptie, alleen in de Secret Chats, en er is genoeg commentaar te vinden op hun encryptie.

[Anoniem: 344663]

Nou Telegram heeft een beloning voor de eerste persoon die het weet te hacken.

[WhatsappHack]

Ja, dat hebben ze. Alleen valt die beloning nooit te winnen.
De opzet van dat spelletje is namelijk zo ontworpen dat het onmogelijk is om ooit aan de voorwaarden te kunnen voldoen en ooit uberhaupt de crypto werkelijk kan testen: ergo, er zal nooit iemand die contest winnen.

Hier, ik ga ook een contest uitschrijven:
De eerste persoon die in de realiteit, dus niet in een spelletje of simulatie oid maar echt fysiek als persoon, vandaag nog binnen 5 seconden naar het hart van ons sterrenstelsel teleporteert krijgt van mij 100.000 euro!! WOEI! Dat is snel en makkelijk verdiend als het je lukt, toch!? Jammer alleen dat het niemand zal gaan lukken. ... En dus is mijn contest bij voorbaat al totale nonsens.

[Sh4wn]

Kanttekening bij dit artikel: ze zijn er nog steeds mee bezig. De bedenker van het protocol, Moxie Marlinspike, reageert op reddit:

====
This article should be retitled "Breaking News: WhatsApp E2E Deployment Process Exactly As Advertised."

We announced a partnership, not a finished deployment. In the blog post announcing that partnership, we publicly outlined the WhatsApp E2E deployment process, and it describes exactly what has been "discovered" here. As I said in the blog post, deploying across this many users (hundreds of millions) and this many platforms (seven, of which they checked two) takes time, and is being done incrementally. I also point out that we will be surfacing information in the UI once that is complete.
====

https://www.reddit.com/r/...alysed_its_pretty/cqtxbh7

[cranebird]

Het probleem zit hem dan ook in het feit dat Whatsapp het al wel uitgerold heeft en dit ook communiceert: Kijk eens, E2E in Whatsapp! De gewone niet-tweakers-gebruiker krijgt mee dat Whatsapp veilig is, dit blijkt in de praktijk vies tegen te vallen, maar dat krijgen ze niet mee!

Ze hadden gewoon moeten wachtenmet uitrollen totdat het functioneerde zoals het hoort. Maar nee, hoor, er wordt een halfbakken optie uitgerold

[WhatsappHack]

Geef mij eens een linkje waarin WhatsApp communiceert dat ze E2E hebben uitgerold...?

Surprise, die is er niet. WhatsApp heeft helemaal niets gezegd over E2E encryptie.
Enkel OpenWhisper heeft aangekondigd een PARTNERSHIP te starten met WhatsApp en dat ze **BEZIG ZIJN** om de encryptie te bouwen.

Niemand die ooit heeft geclaimed dat WhatsApp volledige E2E implementatie heeft en dat dit feilloos werkt... Kortom: Moxie heeft gelijk, het is "exactly as advertised"; want het was allang bekend dat het op iOS en andere OSes nog totaal niet werkt, en enkel tussen Android telefoons functioneel is. Niemand die ooit iets anders geclaimed heeft, niemand die ooit gezegd heeft dat WhatsApp geheel E2E encrypted is...

Dus niets halfbakken optie. De-facto zijn Android gebruikers nog altijd veiliger dan zonder die E2E encryptie, maar het is geen halfbakken implementatie: de rest is gewoon nog niet uitgerold, en die claim is ook nooit gemaakt. Zeker niet door WhatsApp zelf... Die reppen er met geen enkel woord over.

Als je mij een link kan geven naar WhatsApp's website of blog waarin staat dat ze aan E2E encryptie doen, dan krijg jij van mij een biertje.

[RwinG]

http://www.securityweek.c...es-get-end-end-encryption

WhatsApp confirmed the announcement to AFP ...

Dus op 18 november 2014 hebben ze reeds aangekondigd dat ze begonnen zijn met de "rollout" van E2E.

[WhatsappHack]

"Confirm" van een gerucht is iets anders dan "Announce".
Toen WhatsApp door de media gevraagd werd of ze ermee bezig waren, hebben ze gewoon gereageerd met "Jep.", maar gingen verder nergens op in, hebben zelf niets de wereld in geslingerd, geen publicaties gemaakt, geen details gegeven, et cetera. Dat komt allemaal van de hand van Open Whisper.

Wat cranebird wilde suggeren is dat WhatsApp zou hebben geclaimed dat het al geheel uitgerold is en functioneel zou moeten zijn, maar dat is verre van waar.

[kalekip1]

Off-topic: Wat heb jij toch met WhatsApp? Het valt wel erg op dat je pro-WhatsApp bent.

[WhatsappHack]

Ik ben niet per se pro-WhatsApp, maar ik ben meer anti-misinformatie... En gezien er nogal vaak onzin wordt verkondigd over voornamelijk WhatsApp en Telegram (en vaak worden juist die twee met elkaar vergeleken hier op Tweakers.), en ik toevallig aardig veel van deze twee partijen afweet, zal je inderdaad veel reacties van mij kunnen zien die onzin verhaaltjes de wereld uit helpen... En gezien de posts vaak ten onrechte negatief zijn over WhatsApp, zal ik inderdaad WhatsApp in dat soort posts aan het verdedigen zijn. Lijkt me ook niet meer dan logisch, toch?

Posts van mij over technische-, juridische- en veiligheidsaspecten zijn allemaal geheel objectief...
Als we het echter gaan hebben over UI ervaringen en functie implementaties: jaaaa, dan heb ik wel een persoonlijke voorkeur voor WhatsApp. En op dat gebied, als je daar de vraag stelt: "wat heb je toch met WhatsApp?" Tja,euh... Dat is mijn smaak. Smaken verschillen, net als dat iedereen zo zijn voorkeuren heeft.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:12]

[CyberDonky]

Het hele uitgebreide onderzoek naar de man-in-the-middle attack staat op deze pagina weergegeven van Heise.de
Link: http://www.heise.de/secur...ger-geschaut-2629020.html

[WhatsappHack]

Je kan natuurlijk ook ff de link naar de Engelse versie posten, dat snappen meer mensen denk ik.
http://www.heise.de/ct/ar...s-Encryption-2630361.html

Al zou ik geen moeite doen. Het is echt een verschrikkelijk slecht artikel... Ze willen credit krijgen voor iets dat ze totaal niet ontdekt hebben en wat iedereen al wist, maar presenteren het alsof ze het wiel hebben uitgevonden en een mega groot lek hebben gevonden in WhatsApp... Dat soort journalistiek vind ik persoonlijk heel erg triest; maarja, je moet toch wat om bezoekertjes te trekken deze dagen.

[tom.cx]

Ik snap dat encryptie best belangrijk is en dat mensen privacy willen. Dat is niet nieuw. Wat ik echter niet snap en nog over verbaast is dat dit steeds terug komt. Als je namelijk echt veilig het een en ander wil heen en weer sturen naar iemand gebruik je hier natuurlijk niet een dienst als Whatsapp of (Facebook) messenger voor. Dan zal je sneller gaan zoeken naar een app waar je zelf je encryptie sleutel kan maken en zelf moet doorgeven naar de ander. Lijkt mij.

Daarnaast: "Hoe goed en lastig de beveiliging ook is. Alles valt te kraken. "

[Anoniem: 138895]

Wat ik vreemd vind is dat email nog steeds meest gebruikte messaging dienst is en PGP nooit standaard in mail clients terecht is gekomen. Waarschijnlijk omdat het te veilig is en alle grote bedrijven zoals microsoft met hun outlook, dit niet hebben omarmd.
Er waren mail clients en plugins die automatisch konden kijken of iemand een PGP sleutel heeft en dat gebruiken en anders plain text, maar dat is nooit echt een succes geworden, evenmin als OpenSWAN.

[andreetje]

Het zou mooi zijn als er een Europese messenger komt met standaard onkraakbare encryptie. Nederland is sterk in wiskunde. Wie pakt het op?

[Dr. Prozac]

De email-client op mijn computer en telefoon gebruiken automatisch gpg, maar email+gpg/pgp blijft een probleem hebben, nl. alleen de body wordt encrypted.

[Durandal]

Dan zal je sneller gaan zoeken naar een app waar je zelf je encryptie sleutel kan maken en zelf moet doorgeven naar de ander. Lijkt mij.

Exact dit mis ik in alle grote communicatie applicaties. Er wordt nergens gevraagd of je de ander zijn sleutel wilt ingeven. Doe je dit niet dan heb je geen controle over de sleutels en is je communicatie per definitie dus niet veilig.
Je kunt een ander niet op zijn blauwe ogen vertrouwen, zeker niet als het gaat om een derde partij die niet het grootste belang heeft bij het geheim houden van je communicatie. (Bij bedrijven is het grootste belang altijd nog het voortbestaan = geld en voldoen aan dwingende wetgeving/authoriteit).

Mensen moeten er aan wennen dat makkelijk nu eenmaal niet hetzelfde is als veilig. Sleutels uitwisselen moet normaal worden.

[Terracotta]

TextSecure slaagt er toch in om een goede beveiliging op te zetten. Sleutel uitwisseling kan perfect geautomatiseerd gebeuren.

[Durandal]

Hoe wil je secure een sleutel uitwisselen over een insecure kanaal? (waarbij je ook nog zelf de sleutel genereert; dat moet je natuurlijk ook niet aan een 3e partij overlaten)

Tuurlijk je kan een publieke sleutel versturen maar dan ben je in de toekomst niet zeker dat de afzender we degene is die je dacht dat hij was.

[Reactie gewijzigd door Durandal op 22 juli 2024 22:12]

[Terracotta]

https://whispersystems.org/blog/asynchronous-security/

Het hele protocol staat uitgelegd op hun website, daar dient dit forum niet voor, veel leesplezier.

[Isheara]

iMessage heeft wel standaard encryptie, dus dat is sowieso veiliger.

[andreetje]

Apple heeft geen Android versie, dus daar heeft 80% van de gebruikers niets aan.

[Isheara]

@Durandal geeft aan in zijn post dat geen enkele communicatie applicatie veilig tokens uitwisselt. Dat doet iMessage dus wel. Dus voor Apple users is dit dus een veiliger alternatief dan whatsapp, maar dat was al bekend....

En Android heeft geen veilige messaging service, dus...

Ik geef alleen aan dat er veiligere manieren zijn als je daarop zit te wachten....

Mij persoonlijk boeit het niet zo of het wel of niet veilig is...ik verstuur geen vertrouwelijke info via whatsapp...noch via mail...

[Reactie gewijzigd door Isheara op 22 juli 2024 22:12]

[Terracotta]

Alle apps die ik oplijstte hebben standaard encryptie aanstaan, sommigen zelfs e2e encryptie (iMessage, Whatsapp en Hangouts zeker). Het probleem ligt hem erin dat doordat deze apps EN closed source zijn EN de clear text versie van de berichten heeft (het is de app die de decryptie doet), heb je geen enkel zicht op wie eigenlijk allemaal toegang heeft tot deze informatie, de apps worden namelijk door Google en Apple en Facebook beheert en zij kunnen in een handomdraai aan je berichten als ze willen.

[Isheara]

Dan weet je dus blijkbaar niet hoe de tokenization werkt bij iMessage.

[Anoniem: 146875]

Het is inderdaad nogal naief om te geloven dat Whatsapp berichten niet zijn af te luisteren. Whatsapp is eigendom van Facebook en Facebook is een gewillige partner van de NSA/CIA. Daarnaast, zolang het niet open source is kun je nooit zeker weten of er geen backdoor in zit.

[WhatsappHack]

En als het open-source is, kan je ook nooit zeker weten of er geen backdoor in zit.
*kuch*heartbleed*kuch*poodle*kuch*shellshock*kuch*cryptoPHP*kuch*

Als je veilig wilt zijn, moet je ALLES wantrouwen... Tussen open-source en closed-source zit daarbij niet per definitie een verschil. Closed source kan zeer veilig zijn, en open source zeer onveilig... En vice versa. Closed source staat niet gelijk aan onveiligheid, en open source staat niet gelijk aan veiligheid. Zo simpel is het...
Het komt allemaal neer op vertrouwen. Als je mensen/bedrijven niet vertrouwt, dan wil je graag de source code kunnen zien. Open source stelt je daartoe in staat, closed source niet. Het verleden heeft echter wel bewezen dat zelfs het kunnen inzien van de code weinig zegt over de veiligheid, het geeft je enkel een piece of mind omdat jij en anderen het kunnen bekijken.

Don't get me wrong hoor, ik ben een heel groot voorstander van open-source.
Maar dat "het is closed source, dus onveilig"/"het is open-source dus veilig(er)!" argument vind ik echt een van de grootst mogelijke bullshit opmerkingen die er is.

[SuperDre]

maarja, dan moet je dus wel de ander overtuigen om ook die app te installeren... En waarom zou ik 100 verschillende 'messenger' apps installeren als ik bij de meeste toch alleen whatsapp/facebook zou gebruiken EN me niet zo'n zorgen maak over als er dan toch iemand toevallig mee zit te 'luisteren'..

[Donvermicelli]

IK hoop dat er serieus wat aan gedaan wordt, zelf ben ik geen grote fan van What'sApp maar omdat iedereen het gebruikt is het moeilijk er aan ontkomen. Ik geef zelf voorkeur aan open-source apps zoals Signal en Text-secure.

[Anoniem: 156329]

Je kunt zelf heel makkelijk het verschil maken, met messaging is vaak de 80-20 regel van toepassing, met 20% dan je contacten heb je 80% van je conversaties, en met het overige deel praat je alleen sporadisch.
Zelf gebruik ik nu met mijn 20 meest belangrijke contacten Telegram, en niet alleen omdat ik dan van Facebook (Whatsapp eigenaar) af ben, of vanwege de betere secure chat.
Maar gewoon omdat het op kantoor makkelijker is op de Web client te gebruiken, en omdat we niet meer hoeven te priegelen op zo'n klein scherm terwijl we grootste gedeelte van dag toch al PC of tablet binnen handbereik hebben.

Edit: @blubber: Ik denk dat je niet helemaal op de hoogte bent, Telegram is volledig open source en gewoon op GitHub terug te vinden (itt Whatsapp).
http://zhukov.github.io/webogram/
Verder zeg ik niet dat de Telegram beveiliging feilloos is, maar in ieder geval wel beter dan die van Whatsapp.

[Reactie gewijzigd door Anoniem: 156329 op 22 juli 2024 22:12]

[Blubber]

Zelf gebruik ik nu met mijn 20 meest belangrijke contacten Telegram, en niet alleen omdat ik dan van Facebook (Whatsapp eigenaar) af ben, of vanwege de betere secure chat.

Dat is een aanname die ik zelf niet zomaar zou doen. Die grappenmakers van Telegram overtreden de allerbelangrijkste regel die er is als het om crypto gaat: implementeer nooit je eigen crypto..

Hier is een 2^64 aanval op Telegram.

Daarbij komt ook nog eens dat Telegram niet opens source is, dus je hebt geen enkele inzicht in wat de server doet met jouw gegevens. Wat dat betreft is Signal een veel beter alternatief, dit maakt gebruik van bestaande en bewezen implementaties en het is open source.

(Ik wil niet impliceren dat open source automatisch beter is overigens, dat is een drogredenatie.)

[Reactie gewijzigd door Blubber op 22 juli 2024 22:12]

[Dorank]

Daarbij komt ook nog eens dat Telegram niet opens source is, dus je hebt geen enkele inzicht in wat de server doet met jouw gegevens.

Met goede e2e maakt het niet uit wat er "in the middle" gebeurd. De client is indien gewenst wel opensource en als die het goed doet (tm) dan is de inhoud van je berichten veilig.

[Blubber]

Met goede e2e maakt het niet uit wat er "in the middle" gebeurd. De client is indien gewenst wel opensource en als die het goed doet (tm) dan is de inhoud van je berichten veilig.

Ik doelde erop dat de Telegram client niet open source is (voor zover ik weet) en je dus niet kunt controleren of de encryptie correct geïmplementeerd is. Je kunt dan dus niet controleren of de server wel of niet aan de haal kan gaan met jouw data.

[Dorank]

https://telegram.org/apps
Ik zie apps en de sources. Verder is er een open API https://core.telegram.org/ en kan iedereen dus z'n eigen client met z'n eigen e2e tussen deze clients implementeren.

[Anoniem: 601896]

uit je aangedragen sources kun je halen hoe telegram je berichtje weergeeft op het scherm, of je notificatie gepushed wordt naar het notificatiescherm.

Als je het hebt over de encryptie waar blubber over spreekt. Dan laat TG niets los, en laten ze hun protocol niet eens auditten door een derde partij.

Whatsapp daarintegen is open en eerlijk over welke standaarden ze gebruiken en welke risico's daaraan vast zitten. Deze complicatie van whatsapp gebruik van E2E was vanaf het begin bekend.

[Reactie gewijzigd door Anoniem: 601896 op 22 juli 2024 22:12]

[DieVeenman]

Whatsapp heeft sinds een paar maanden ook een Webclient : linkje, nadat je een QR code hebt gescand met je telefoon maakt hij verbinding met je telefoon.

[Reactie gewijzigd door DieVeenman op 22 juli 2024 22:12]

[Siebsel]

Waar je dus niks aan hebt als je een iPhone hebt

[DieVeenman]

Sorry dacht dat er al ondersteuning was voor iOS

[francoski]

En dat is dus de volgende reden waarom je geen Apple product zou moeten willen hebben. Alles maar dicht timmeren. Maakt het alleen niet veiliger of beter, voor iemand die zijn ogen open heeft.

[WhatsappHack]

Nee, dat ligt echt aan iOS.
Het is niet mogelijk om op die manier een verbinding op te zetten, waardoor de webclient dus niet kan werken via iOS. (Althans: nog niet. Ze verzinnen er vast wel wat op.)

Dat zijn duidelijke limieten in iOS.
Het ironische is dat dit dus een soort van lock-down security feature is van iOS, maar die er dus voor zorgt dat de veilige non-cloud opzet van WhatsApp er niet compatible mee is. Dus of iOS zou die feature moeten kunnen laten omzeilen, hetgeen daar de veiligheid iets omlaag haalt (al is dat echt minimaal... Beetje para zelfs.); of WhatsApp zou al je gesprekken op hun servers moeten opslaan (iets wat ze niet gaan doen.)

Er zal ongetwijfeld wel een weg omheen gecode worden, uiteindelijk.
Maar in dit geval is het toch echt een limitatie binnen iOS...

[WhatsappHack]

Edit: @blubber: Ik denk dat je niet helemaal op de hoogte bent, Telegram is volledig open source en gewoon op GitHub terug te vinden (itt Whatsapp).
http://zhukov.github.io/webogram/
Verder zeg ik niet dat de Telegram beveiliging feilloos is, maar in ieder geval wel beter dan die van Whatsapp.

Ten eerste is het een beetje lullig om je reactie te editten in plaats van gewoon een reactie te plaatsen, want zo krijgt de persoon waarop je reageert geen notificatie. Die reageer functie is er niet voor niets.

Ten tweede is Telegram totaal niet open-source. De enige code die open-source is, is die van de client. Het server gedeelte, wat dus het allerbelangrijkste is voor je veiligheid, is totaal NIET open-source.

Dat wil niet zeggen dat het per definitie onveilig is, maar het "Telegram is open-source dus veiliger!" argument slaat werkelijk helemaal nergens op, want het is net zo gesloten als WhatsApp...

De beveiliging van Telegram is absoluut niet beter dan die van WhatsApp, maar juist vele malen onveiliger; en dat komt mede door het feit dat Telegram claimt dat het super veilig is terwijl dit helemaal NIET het geval is: maar juist zwaar gebroken is.

[Anoniem: 156329]

Je hebt gelijk dat reactie makkelijker was geweest, houdt het overzichtelijker.
En het gedeelte wat de encryptie uitvoert is wel open source, dit verloopt namelijk tussen twee clients (en gaat niet via de server, welke inderdaad closed source is).
De encryptie is inderdaad niet superieur te noemen, en daar ben ik me dan ook volledig van bewust.
Maar in ieder geval beter dan een zogenaamd "betere" encryptie welke alsnog makkelijk uit te zetten is.

Het probleem is met die backdoors (bedoeld of onbedoeld) in closed source applicaties is dat kwaadwillenden buiten de overheid hier ook misbruik van kunnen maken. Nogmaals de 'client to client' secret chats van Telegram zijn verre van perfect, maar in ieder geval open source en kunnen niet via backdoor uitgezet worden zonder dat de gebruiker dit door heeft.

...
Zo bestaat de mogelijkheid dat in bepaalde gevallen encryptie uitgeschakeld kan worden, bijvoorbeeld op verzoek van inlichtingendiensten.
...

[Reactie gewijzigd door Anoniem: 156329 op 22 juli 2024 22:12]

[WhatsappHack]

En het gedeelte wat de encryptie uitvoert is wel open source, dit verloopt namelijk tussen twee clients (en gaat niet via de server, welke inderdaad closed source is).
De encryptie is inderdaad niet superieur te noemen, en daar ben ik me dan ook volledig van bewust.
Maar in ieder geval beter dan een zogenaamd "betere" encryptie welke alsnog makkelijk uit te zetten is.

Het probleem zit hem er dus juist in dat de server een MITM aaanval kan uitvoeren. Dat is het gat in hun crypto.
En gezien de server ALTIJD tussen die 2 clients in zit, kan de server dus te allen tijde een MITM uitvoeren en alle data die wordt uitgewisseld decrypten... Om het vervolgens weer door te sturen als origineel; of gewijzigd met een nieuwe encryptie, waardoor het lijkt alsof het heel veilig is: maar dat absoluut niet het geval is.
Je hebt dus geen garantie dat er niet meegelezen wordt, en geen garantie dat de data accuraat is en werkelijk is wat je gesprekspartner verstuurd heeft.

Snap je het probleem?
Dat de clients opensource zijn, zegt helemaal niets over wat de server er tussenin aan het doen is. En gezien de gaten in de crypto die Telegram gebruikt, is het allemaal leuk en aardig dat die twee clients de sleuteltjes uitwisselen e.d., maar als de server er constant tussenzit, deze kan onderscheppen en vervolgens kan decrypten: wat heb je er dan aan? Dat staat gewoon gelijk aan het gebruiken van de standaard chats, met als enige uitzondering dat het dan niet opgeslagen wordt in die cloud van ze.

Het probleem is met die backdoors (bedoeld of onbedoeld) in closed source applicaties is dat kwaadwillenden buiten de overheid hier ook misbruik van kunnen maken. Nogmaals de 'client to client' secret chats van Telegram zijn verre van perfect, maar in ieder geval open source en kunnen niet via backdoor uitgezet worden zonder dat de gebruiker dit door heeft.

Ja en nee.
Nee, de encryptie kan niet worden uitgezet zonder dat de gebruiker dat door heeft.
Maar het probleem is de encryptie zelf.. *DIE* heeft problemen, waardoor zelfs ALS de encryptie actief is je niet zeker bent of er niet meegelezen wordt.
Naar mijn mening is dat nog een stukje onveiliger.

Hou er rekening mee dat ook opensource gaten en 0days kan hebben.
Het is wat moeilijker om bewust beveiligingslekken in te bouwen in open-source (alhoewel Telegram dat erg goed gedaan heeft en het bewijs is dat je mensen alles kan laten geloven. ), maar het is al eens voorgekomen; maar het grootste probleem met OS is onopgemerkte problemen, terwijl mensen het wel veilig achten. Zie OpenSSL als grootste voorbeeld.

Dat het bij Telegram opensource is, zegt dus helemaal niets over de veiligheid.
Maar het gevaarlijke hier is juist dat de code er heel veilig uit kan zien, maar omdat je niet weet wat er op de server gebeurt terwijl er bewezen een gat in de crypto zit die het toe zal kunnen staan om berichten te decrypten die over de servers heengaan weet je dus nog niets. Maar het wekt wel de illusie dat het veilig is, omdat de code er goed uitziet...

En dat is waarom Telegram de meester in misleiding is.
Opensource terwijl het dat niet echt is. Cryptocontests die totale onzin zijn, maar het heel goed doen in de Marketing (kijk alleen al in dit topic, veel mensen denken dat het echt waar is.). Privacy policies die misleidend zijn. Beweren dat ze super veilig zijn, terwijl dat niet waar is. Et cetera.

Wat mij betreft is Telegram dus vele malen gevaarlijker, puur omdat ze mensen een vals gevoel van veiligheid geven... Mensen die Telegram dus gebruiken voor gevoelige data omdat ze denken veilig te zijn, zijn dat in de realiteit absoluut niet; en dat is extreem gevaarlijk... Een false sense of security is nog altijd gevaarlijker dan aware of no-security; en daarom denk ik dat WhatsApp zelfs zonder E2E nog altijd veiliger is dan Telegram.

[Anoniem: 156329]

De encryptie is zoals ik eerder ook al aangaf niet goed, hier ben ik me dan ook van bewust en dit is voor mij geen probleem zoals ik aal aangaf.
Ik zeg nergens dat Telegram veiliger/onveiliger is dan Whatsapp. Beiden zijn naar mijn mening net zo slecht beveiligd doordat ze vatbaar zijn (door backdoor of MITM attack).

Wat je overigens zegt dat Telegram server een MITM kan uitvoeren klopt, wat je vervolgens zegt dat de server gesprekken kan meelezen klopt niet, dit kan alleen als je het internet verkeerd tussen de twee clients kunt onderscheppen.
Nadat de beveiligde verbinding tussen twee Telegram clients is opgezet (deze auth is vatbaar voor MITM vanuit de server), worden de berichten tussen de clients verstuurd en niet via de server.

Encryption can happen end to end between clients, but there is no authentication, so the server can perform a MITM attack.

http://unhandledexpressio...stand-back-we-know-maths/

Het is niet veilig maar voor mij persoonlijk wel nuttig dat mijn gebabbel in de cloud makkelijk beschikbaar is.

De whatsapp encryptie is volgens het nieuwsartikel trouwens wel uit te zetten (of ik moet het behoorlijk verkeerd gelezen hebben).
Beide zijn onveilig, al kan Telegram gevaarlijker zijn inderdaad omdat het pretendeert veilig te zijn.
Maar mocht Telegram ooit groot worden is er wel het voordeel dat het mogelijk is om een Telegram+ te ontwikkelen welke wel een gangbare en goede encryptie heeft (zie het als PGP bovenop normale e-mail).
Voorlopig lijkt mij zoiets niet waarschijnlijk en gebruik ik Telegram puur omdat het cloud based systeem voor mij makkelijk is.

[WhatsappHack]

Wat je overigens zegt dat Telegram server een MITM kan uitvoeren klopt, wat je vervolgens zegt dat de server gesprekken kan meelezen klopt niet, dit kan alleen als je het internet verkeerd tussen de twee clients kunt onderscheppen.
Nadat de beveiligde verbinding tussen twee Telegram clients is opgezet (deze auth is vatbaar voor MITM vanuit de server), worden de berichten tussen de clients verstuurd en niet via de server.

Ik ben bang dat je dat gedeelte verkeerd hebt begrepen.

De encryptie zelf vind end-to-end tussen de clients plaats, maar het is niet zo dat de clients een directe (P2P) verbinding met elkaar leggen.
De secret chats passeren vooralsnog de Telegram servers, de server zit er dus altijd nog tussen om de berichten te versturen/ontvangen. En daar kan de server dus constant een MITM uitvoeren vanwege de crypto fout.
Om het te highlighten in de quote die je gaf:

Encryption can happen end to end between clients, but there is no authentication, so the server can perform a MITM attack.

De *ENCRYPTIE* _kan_ end to end gebeuren tussen de clients, maar dat zegt absoluut niet dat de twee clients een directe verbinding met elkaar hebben zonder dat de server daar tussen zit. En dat is ook niet het geval. De server zit er gewoon tussen en kan dus constant een MITM uitvoeren. Als het historie bijhoudt kan dat dus zelfs achteraf nog gebeuren...

Het is niet veilig maar voor mij persoonlijk wel nuttig dat mijn gebabbel in de cloud makkelijk beschikbaar is.

Oh dat kan ik me prima voorstellen.
De cloud is ook erg makkelijk, maar ik vermijd het persoonlijk als de pest. Liever soms ietsjes meer moeite doen, dan dat ik niet precies weet of m'n data veilig is.
Ik had het er pas nog over met Jennifer Lawrence... Nee grapje, maar dat akkefietje heeft wel m'n cloud wantrouwen een enorme boost gegeven.

Het enige dat ik schoorvoetend gebruikt heb is Dropbox, omdat het op uni verdomde makkelijk was met die shared folders; al was dat alsnog enkel omdat mede-studenten het allemaal wilden gebruiken, als het aan mij lag hadden we alsnog een van m'n private webDAV implementaties gepakt.

Anyway, dat gaat iets offtopic.


-edit- Oeps, stukje gemist:

De whatsapp encryptie is volgens het nieuwsartikel trouwens wel uit te zetten (of ik moet het behoorlijk verkeerd gelezen hebben).

In dit stukje van m'n reactie:

Nee, de encryptie kan niet worden uitgezet zonder dat de gebruiker dat door heeft.

Had ik het over Telegram. Je kan het daar niet uitzetten zonder dat er geen rare dingen gebeuren op je smartphone. Het probleem is echter als het aanstaat: je nog steeds niet veilig bent.

Bij WhatsApp is het op dit moment standaard uit te schakelen, omdat dit noodzakelijk is. Ik denk overigens dat het meer een kwestie van een fallback is....

Het artikel suggereert namelijk dat WhatsApp de crypto zelf op afstand uitschakelt, en dat altijd kan doen ongeacht OS, als het om een iPhone gaat... Ik denk eerlijk gezegd dat dat veels te veel moeite voor een simpel probleem zou zijn. Dan moeten ze overal aan gaan geven wanneer wel en geen encryptie te gebruiken; en dat ook nog eens opslaan in een distributed lijstje: dat is nogal ehh... Onveilig. Het kan veel simpeler en veiliger, en ik gok dat dat ook exact is wat WhatsApp heeft gedaan:
- Android client heeft E2E ondersteuning
- Android client probeert dus altijd E2E verbinding op te zetten
- Android client wil nu gaan praten met een iOS gebruiker...
- Android client merkt dat het niet werkt "E2E failed, fallback!"
- Android client valt nu terug op RC4 en probeert het opnieuw.

Heel simpel, heel effectief. Als de client het niet ondersteund: dan gewoon terugvallen op je normale protocol.
Dat is toch iets anders dan "WhatsApp schakelt dit uit", nee WhatsApp valt gewoon terug op het oude protocol bij gebrek aan ondersteuning van de client aan de andere kant. Source technisch is dat wat veiliger dan "ze zetten dit uit via een backdoor"

Zo werkt dat bijvoorbeeld ook met SSL/TLS, mits de instellingen van de server het toestaan.
- Jij zit op Windows 7, jij krijgt de maximale beveiliging!
- Jij zit op Windows XP, ik probeer de maximale beveiliging... Mislukt!
- Jij zit op Windows XP, ik merkte net op dat de maximale beveiliging niet werkt, laten we het opnieuw proberen met een oudere standaard... *pats, en het werkt*.

That simple.
Maar natuurlijk KAN er een backdoor inzitten waardoor ze het wel per toestel/account kunnen uitschakelen. Alles kan.

... We moeten er dan trouwens ook meteen rekening mee houden dat enkel Telegram de officiele Telegram app upload in de stores hiervoor. (En dat is de meest gebruikte client.) Daar kunnen ze ook prima wijzigingen in aanbrengen voor publicatie. Zo kan je bezig blijven.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:12]

[Matthijs8]

Het kan veel simpeler en veiliger, en ik gok dat dat ook exact is wat WhatsApp heeft gedaan:
- Android client heeft E2E ondersteuning
- Android client probeert dus altijd E2E verbinding op te zetten
- Android client wil nu gaan praten met een iOS gebruiker...
- Android client merkt dat het niet werkt "E2E failed, fallback!"
- Android client valt nu terug op RC4 en probeert het opnieuw.

Dit klopt niet, de client bepaald niet of er E2E wordt gebruikt, dat doet de server:
http://blog.nadim.compute...to-improve-its-encryption

[WhatsappHack]

Dat kan ook prima, inderdaad.

Dat artikel klopt trouwens niet. WhatsApp heeft helemaal nergens geclaimed dat ze end-to-end encryptie overal toepassen, noch dat deze geheel veilig is. Klein nuance verschilletje mbt het "ze willen een false sense of security creeeren". De enige die het so far geclaimed hebben zijn media, en vaak ook niet helemaal accuraat; gezien OpenWhisper enkel heeft aangekondigd er *mee bezig te zijn*; niet dat het af is en veilig is.

[MrAndy9797]

Moeilijk om er aan te ontkomen? Nochtans lukt het mij al jaren hoor Er is niets 'moeilijk aan te ontkomen'. Het is gewoon wil je het gebruiken of niet. Er is geen 'verplichting' omdat anderen het gebruiken.

[Anoniem: 138895]

Irritant genoeg slurpt watsapp je telefoonboek leeg dus als er ook maar iemand kent die jouw telefoonnummer in zijn adressenboek heeft en watsapp installeert, weet de inlichtingendienst welke echte volledige namen er horen bij al die belgegevens. Dat is wel heel makkelijk zo. Net zo iets als een anonieme ov chipkaart die je bij automaten alleen met pinbetaling kunt opladen. Daar valt niet tegen op te boksen anders dan wetgeving die worden afgedwongen.

[WhatsappHack]

Irritant genoeg slurpt watsapp je telefoonboek leeg dus als er ook maar iemand kent die jouw telefoonnummer in zijn adressenboek heeft en watsapp installeert, weet de inlichtingendienst welke echte volledige namen er horen bij al die belgegevens

Dat is onzin, want WhatsApp verstuurt de namen helemaal niet naar hun servers...
WhatsApp verstuurt enkel de telefoonnummer in hash vorm. Alle overige details staan in je telefoon en worden daar uitgevist. Als jij een naam in je telefoonboek wijzigt, dan wijzigt deze ook onmiddelijk in WhatsApp. Als je een contact verwijdert, dan weet de WhatsApp client ook onmiddelijk niet meer welke naam erbij hoort.

Er wordt dus helemaal geen ene hol aan namen en overige info naar de WhatsApp servers verstuurd.

[francoski]

Niet dat ik informatie heb die dit tegenspreekt, maar is hier bewijs voor? Het lijkt me voor WhatsApp namelijk erg prettig om die data te hebben.

En, als je de web-versie gebruikt, worden alle contacten via de servers van WhatsApp verstuurd naar je browser. Dan gaat die data dus in ieder geval door hun servers heen.

[WhatsappHack]

Niet dat ik informatie heb die dit tegenspreekt, maar is hier bewijs voor? Het lijkt me voor WhatsApp namelijk erg prettig om die data te hebben.

Ironisch genoeg is dat bevestigd tijdens een onderzoek naar de privacy waarborging van WhatsApp. Van onze eigen overheid:

The Dutch Data Protection Authority (DDPA) and the Office of the Privacy Commissioner of Canada (OPCC) both argue in a collaborative report that the service - which enables sending messages, images and videos over internet connections between smartphones - failed to delete information from the address books of people not signed up to the service and stored it in hash form.

Alle telefoonnummer werden dus in hash vorm verstuurd en opgeslagen, alleen vervolgens verwijderde WhatsApp de hashes van telefoonnummers die geen WhatsApp hadden niet; en dat werd hen kwalijk genomen.

Wat moet WhatsApp met die data?
Mind you dat ze niets mogen doorverkopen, dus zelfs als ze die data hebben kunnen ze er nog niets mee.

En, als je de web-versie gebruikt, worden alle contacten via de servers van WhatsApp verstuurd naar je browser. Dan gaat die data dus in ieder geval door hun servers heen.

Nee, de webversie gebruikt de data op het toestel. Dat wordt niet verzonden.
Natuurlijk worden de actieve gesprekken wel uitgewisseld, en gezien daar een naam van de contact bijzit die je telefoon erbij heeft staan, passeert die data wel de servers. Voor zover ik heb begrepen, maar dat wil ik absoluut niet als feit presenteren (dat zeg ik wel zo eerlijk bij ), wordt die data echter ook E2E encrypt; en daarmee wordt de regel dus niet geschonden. Dat is ook de reden waarom het vereist dat je toestel online is, en op dit moment niet compatible is met iOS.

De daadwerkelijke berichten e.d. gaan alsnog via je toestel, het enige dat die browser tool doet is het vervolgens ook op je browser schermpje presenteren. Als er data zichtbaar zou worden meegezonden, mogen ze die in ieder geval niet inzien noch bewaren...

[francoski]

Nou, data is geld. Ieder bedrijf wilt data.

Je kunt ook je contactenlijst openen in de web-versie. Zojuist eens de websocket data bekeken. Zie in ieder geval plain-text de status-teksten van mijn contacten langsvliegen. Toch komen er ook "binary frames" langs. Zonder er verder ingedoken te zijn zouden dat best goed de berichten / contacten kunnen zijn.
Zodra je een bericht stuurt gaat er inderdaad een "Binary Frame" over de websocket. Lijkt er dus erg op dat er inderdaad pas in de browser gedecrypt wordt.

[WhatsappHack]

Nou, data is geld. Ieder bedrijf wilt data.

WhatsApp verzamelt enkel geaggregeerde data; de rest zal worden betaald door de verkoop van abonnementen.
Althans: dat is het huidige plan. Als ze dat willen veranderen moeten ze eerst de privacy policy wijzigen...

En als ze dat doen, denk ik dat er heel erg veel negatieve publiciteit zal komen. Maar gezien ze juist bezig zijn met E2E implementatie, denk ik niet dat ze dat zullen gaan doen.
Wel ben ik bang dat de prijs iets omhoog zal gaan in de toekomst, doch niet in de nabije toekomst.

Iets met marktwerking en Facebook, ik gok dat ze dat ooit gaan veranderen op deze manier; dan kan je kiezen:
1.) de veiligheid en simpliciteit van WhatsApp, voor $x per jaar (zal geen godsvermogen zijn, maar wel iets meer dan 90 cent per jaar.)
2.) Facebook Messenger gratis, maar dan betaal je met je data.

Maar dat zal niet in de nabije toekomst zijn, als het uberhaupt al ooit gaat gebeuren. Ik verdenk Facebook er gewoon van zoiets te willen gaan doen. Al heeft WhatsApp wel heel erg veel te zeggen over wat er bij WhatsApp gebeurd, zowaar onafhankelijk. Aan de andere kant was het kopen van WhatsApp ook strategisch heel belangrijk voor FB, gezien Google ook in hun nek zat te hijgen.

Je kunt ook je contactenlijst openen in de web-versie. Zojuist eens de websocket data bekeken. Zie in ieder geval plain-text de status-teksten van mijn contacten langsvliegen. Toch komen er ook "binary frames" langs. Zonder er verder ingedoken te zijn zouden dat best goed de berichten / contacten kunnen zijn.
Zodra je een bericht stuurt gaat er inderdaad een "Binary Frame" over de websocket. Lijkt er dus erg op dat er inderdaad pas in de browser gedecrypt wordt.

Correct. De contactenlijst is synchroon aan die je kan vinden in WhatsApp -> Contacten op je toestel.

De status geheel in plain-text? Die ga ik zo es checken.
Ben ik wel benieuwd naar. Status is altijd iets raars geweest in WA, maar die data moet minstens met SSL beveiligd zijn. o0
Of bedoelde je na decryptie van de SSL versleuteling op de verbinding? Dan kan ik het me wel goed voorstellen namelijk. Status is anders geregeld dan contacten/berichten, zelfs in de voorwaarden.

De berichten zouden idd E2E versleuteld moeten zijn tussen browsert en telefoon.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:12]

[WhatsappHack]

Als je TextSecure vertrouwd, dan kan je WhatsApp's encryptie (tussen Android) ook vertrouwen; want het gebruikt *exact* hetzelfde systeem.

[Justgivemeaname]

Niet dus. Wat in dit artikel staat is dat de encryptie nog niet volledig is toegepast in WhatsApp en dus de encryptie nog niet zo compleet is als die in TextSecure/Signal zou moeten zijn. Bovendien blijft WhatsApp closed-source waardoor buitenstaanders niet kunnen controleren of alles wel goed geïmplementeerd is, terwijl er bij de open-source TextSecure/Signal tenminste de mogelijkheid bestaat dat iemand (die er verstand van heeft, moet ik er wel bijvoegen) kan bekijken/controleren of alles goed geïmplementeerd is, wat natuurlijk geen volledige zekerheid geeft, maar wel meer vertrouwen.

[WhatsappHack]

Ik denk dat je mijn "tussen Android" hebt gemist.
Tussen twee Android toestellen werkt het namelijk geheel naar behoren.
Iets wat dat artikel ook benadrukt.

[Matthijs8]

Het is niet het exact hetzelfde systeem, want de server kan theoretisch gezien bepalen dat er er tussen Android clients geen encryptie wordt gebruikt, en er is geen manier om dat te controleren. Ook als er wel encryptie wordt gebruikt is er bij WhatsApp nog niet de mogelijkheid om MitM aanvallen te ontdekken door het controleren van fingerprints.
Daarnaast staat in de aankondiging van Open Whisper Systems dat behalve het alleen op Android is, het ook alleen geld voor tekst berichten 1 op 1, niet voor media berichten of groupschat.
Toch nog best wat verschil met TextSecure dus.

[WhatsappHack]

Zeker, dat kan. Zal niet het geval zijn, maar het kan op dit moment.
Er moet wel rekening gehouden worden dat er ook niet geclaimed wordt dat het uberhaupt te allen tijde encrypt is. De implementatie is totaal nog niet klaar.

Of dit in de toekomst dus ook niet te controleren valt, is enkel speculatie.
We zitten hier te praten over software in een soort van Alpha status, nog geen eens Beta gezien het niet draait op andere OSes.
Hoewel het tussen Android-Android prachtig lijkt te werken, kunnen er nog heel moeilijk conclusies getrokken worden over de uiteindelijke werking van het systeem; en de controleerbaarheid ervan.

Maar het feit blijft:
Als je TextSecure vertrouwd voor de encryptie, dan kun je de encryptie van WhatsApp (waar deze actief is; Android dus.) ook vertrouwen.

[Donvermicelli]

Ik denk dat je WhatsApp niet zomaar kunt vertrouwen omdat het closed source is, wie geeft garantie dat de implementatie van de ecnryptie ook hetzelfde gegaan is?

[WhatsappHack]

De makers van het protocol die het ook geimplementeerd hebben. Maar zo kan je bezig blijven...

Wie zegt er dat de opensource implementatie bij andere diensten ook hetzelfde is in de appstore en/of op de servers waar het werkelijk op wordt geinstalleerd; zonder dat daar iets aan toegevoegd of gewijzigd wordt? Heb je toegang tot die servers, of enkel tot de public repositories van wat er zogenaamd gedraaid wordt...?

Nogmaals: dan moet je helemaal niemand vertrouwen, zowel open-source als closed-source niet. Met die instellingen zou je haast denken dat encryptie geheel overbodig is...

Ik geef WhatsApp geen min- noch pluspunten qua vertrouwen puur omdat het closed-source is; en geef open-source projecten ook geen min- noch pluspunten puur omdat het open-source is.
Het is allemaal even (on)betrouwbaar, en dan komt het er op neer: wie wil je wel vertrouwen; en welke data ga je over de dienst heensturen?

Als je even ervanaf hangt, dan zou ik helemaal niemand vertrouwen; zelfs de zogenaamd bewezen heel veilige open-source diensten niet: want wie weet wat voor 0day er wellicht nog in de code verborgen zit. (Ik bedoel, iedereen dacht ook dat OpenSSL enorm veilig was; hihi... Was dat ff van de koude kermis thuiskomen.)

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:12]

[Armin]

Je krijgt 0-sterren, maar dat kotm denk ik omdat mensen het concept 'vertrouwen' niet snappen.

Het is tegenwoordig een hype om te zeggen dat iets open source moet zijn. Maar uiteindelijk is het allemaal een kwestie van vertrouwen.

Vertrouw je WhatsApp niet, moet je het niet gebruiken ook al zou het open source zijn. Immers er is geen garantie dat de binary die je download van die source is gemaakt. Of dat hun servers wellicht backdoors hebben. Of dat de reviewers van de source code onbetrouwbaar of onbekwaam zijn.

Uiteindelijk moet je iets of iemand vertrouwen.

En dus ja, als je TextSecure vertrouwt kun je deze end-to-end encryptie ook wel vertrouwen. Of je moet zo paranoiede zijn dat WhatsApp in het geheim ook hun partner TextSecure bedriegt.

[Anoniem: 548504]

Is het ook wel eerst veilig geweest?

[Anoniem: 601896]

Vroeger had het alleen de RC4 encryptie, en daarvoor nog zwakkere of zelfs geen standaard. Het is wel 'veiliger' geworden maar enige bescherming tegen inzage van jouw berichten door de overheid als het moet zal het dus niet bieden. Dat is gezien het politieke klimaat in des werelds machtigste landen ook niet gek natuurlijk.

[3raser]

Voor zover ik lees is de e2e-encryptie tussen Android apparaten wel goed geregeld. Het gaat voornamelijk om de iOS versie van WhatsApp welke voor problemen zorgt. De enige negatieve opmerking in het geval van Android is dat het niet duidelijk is of dat de encryptie altijd wordt toegepast. Dat is een onderbuikgevoel en zolang dat niet bewezen is valt er weinig over te zeggen.

[Isheara]

Dus feitelijk maakt het geen ene r..t uit of je nou Android of iOS hebt, beide deugen niet qua end-to-end encryptie.

[francoski]

In feite ben je waarschijnlijkj behoorlijk veilig als je via WhatsApp tussen 2 Android telefoons communiceert, of via Imessage tussen twee Iphones. Iedere andere vorm is gegarandeerd niet erg veilig.

[Armin]

... niet erg veilig tegenover een overheid met rechtsmiddelen om de data op te vragen.

Immers ook al ben ik het technisch met je eens, heb ik het idee dat soms mensen behoorlijk doorslaan in hun prioriteiten. De kans dat een buitenlandse overheid jou bespioneert is veel en veel kleiner dan dat de Nederlandse dat doet. En dat is weer veel en veel kleiner dat dat een criminele organisatie jou probeert te treffen.

Natuurlijk is end-to-end encryptie een goede zaak, en is het wachten tot dat de tests op Android met success doorlopen zijn zodat het ook op Windows Phone en iOS komt, maar voor huis tuin en keuken gebruik van WhatsApp is de gewone encryptie nog voldoende qua veiligheid.

Ik zeg explliciet 'nog' voldoende gezien hun zwak beleid met niet volledig random keys en het feit dat men RC4 gebruikt. Maar op dit moment is er nog geen bekende end-to-end exploit voor de gewone encryptie. Dus wie chat hoeft niet bang te zijn dat je provider, telecomboer of willekeurige andere persoon op een wifi hotspot of zo mee kan lezen.

[francoski]

Helemaal mee eens! Dat verstond ik ook onder 'Behoorlijk'

[3raser]

Het maakt wel degelijk uit. De encryptie op Android apparaten is beter doordat ze een techniek toepassen die ze op iOS niet toe kunnen passen. Het zou mooi zijn als deze vorm van encryptie ook op iOS toepasbaar zou worden, dan hoeft het "oude" protocol niet meer te worden gebruikt en wordt de algehele beveiliging er een stuk beter van.

[Reactie gewijzigd door 3raser op 22 juli 2024 22:12]

[3raser]

Er is wel degelijk encryptie toegepast. De enige opmerking die daarbij wordt geplaatst is dat ze niet kunnen zeggen of die encryptie altijd wordt gebruikt. Er zouden bijvoorbeeld achterdeurtjes in WhatsApp kunnen zitten waarmee WhatsApp je encryptie op afstand uit zou kunnen schakelen (of iets dergelijks). De onderzoekers hebben dat niet aan kunnen tonen, maar ze hebben het ook niet kunnen weerleggen. Maar normaal gesproken is encryptie dus standaard en maakt het dus wel degelijk uit op welk platform je WhatsApp draait.

[Isheara]

Ook dat is onzin...

[Dr. Prozac]

Daarom heeft ook elke G7 leider geen android of ios telefoon, maar eentje die wel hoogwaardig beveiligd is.

De telefoon die ze echt gebruiken voor belangrijke contacten laten ze natuurlijk niet zien... bij een (G7-)ontmoeting moet je eenheid en harmonie uitstralen en niet wantrouwen.

Alle bestaande telefoons/OSsen hebben een bepaalde onbetrouwbaarheid, zelfs de Canadese BB vanwege de "Five Eyes".

Ik probeer zelf de veiligheid op mijn computer/telefoon te kiezen. Dit is natuurlijk veel gedoe en getweak, maar dat laat mijn Linux en Android toe.

[Reactie gewijzigd door Dr. Prozac op 22 juli 2024 22:12]

[Dorank]

Verder is het door de propriëtaire code van de WhatsApp-client niet zeker of de gebruikte sleutel niet alsnog door een derde bemachtigd kan worden. Tenslotte wijzen de testers erop dat de WhatsApp-client de gebruiker niet laat weten of er e2e-encryptie wordt gebruikt.

Dit alleen al is voldoende om aan te nemen dat de e2e niet werkt. Er is geen garantie over de publieke sleutels en er is geen systeem voor veilige uitwisseling. e2e valt of staat met een web of trust voor de publieke sleutels.

[Ruw ER]

Dus zolang je niet met iemand chat die een iphone gebruikt, ben je veilig?
Nog iets op het lijstje van things that android can what iOS can't.

[WhatsappHack]

Nee, want ook de communicatie met andere platforms is niet encrypt. Android-Android is uitsluitend E2E encrypt. Overige platforms hebben deze encryptie nog niet, daar wordt nog aan gesleuteld. Dus het is niet enkel iOS dat buiten de boot valt.

[andreetje]

Lijkt me toch een kwestie van een simpele update van Whatsapp op iOS.

[Hadespuiter]

Andersom heb je ook zo'n lijstje met op de eerste plaats "rechten van een app op iOS zijn volledig instelbaar, op Android niet".

[i7 930]

Hoe zit het met Windows Phone dan?

[WhatsappHack]

Daar is op dit moment ook nog geen E2E encryptie. Zit er wel aan te komen, net als op iOS.
Met v2.0 van TS protocol werkt alles ook naar behoren op iOS. Althans... In hun beta. (Noot: dat zit dus nog niet in WhatsApp ingebakken.)

[Anoniem: 185331]

Ik had dit compleet verwacht, want waarom zouden ze goed end-to-end encryptie gebruiken als toch iedereen gebruikt! Hetzelfde met Google en Facebook, als zij end-to-end encryptie uitbrengen, dan is het niet te vertrouwen! Ik verwacht wel dat de moderne services die end-to-end encryptie ondersteunen wel betrouwbaarder zijn, gewoon om de concurrent google en facebook te kloppen.

[Reactie gewijzigd door Anoniem: 185331 op 22 juli 2024 22:12]

[WhatsappHack]

Omdat E2E mensen veiliger houdt? En ook minder liability.
E2E is *juist* heel belangrijk als iedereen het gebruikt.

Ik snap niet wat je nu precies compleet verwacht had, want dit is heel erg oud nieuws. Die Duitsers van dit artikel doen net alsof ze iets nieuws hebben ontdekt, terwijl dit gewoon exact is wat ze bij OpenWhisper altijd al gezegd hebben.

End to End encryptie komt zeker weten in WhatsApp te zitten als totaal systeem tussen alle platforms... Daar wordt echter op dit moment nog flink aan gesleuteld, dus nee: nu werkt het niet. Dat had je niet hoeven verwachten, want dat is gewoon exact zoals de ontwikkelaars het zelf hebben gemeld.

Waarom zou bewezen sterke end to end encryptie niet te vertrouwen zijn bij Google en Facebook, maar wel bij anderen...? Heel erg rare redenatie... Of eigenlijk mis ik zelfs uberhaupt een redenatie.