WhatsApp kampte met vcard-lek in webclient

WhatsApp heeft een lek in WhatsApp Web gedicht dat een aanvaller in staat stelde een vcard met malware te openen in de browser. De aanvaller zou genoeg hebben gehad aan alleen het telefoonnummer van zijn doelwit.

Gebruikers van WhatsApp Web kunnen bijlagen openen die door derden via het mobiele platform zijn verstuurd, waaronder visitekaartjes van het vcard-bestandstype. Een aanvaller bleek kwaadaardige code als een dergelijke vcard te kunnen maskeren, waardoor een ontvanger bij het openen malware uitvoerde op zijn systeem, waarschuwt beveiligingsonderzoeker Kasif Dekel van Check Point. Het enige wat de aanvaller nodig had was het telefoonnummer van het WhatsApp-account. WhatsApp Web valideerde bestanden van het vcard-type niet.

WhatsApp heeft op 27 augustus een update uitgerold om het lek te dichten, zes dagen na hier door Check Point op gewezen te zijn. Versies hoger dan 0.1.4481 zouden het lek niet hebben en Check Point raadt gebruikers die nog op een oude versie zitten aan deze bij te werken. WhatsApp heeft wereldwijd 900 miljoen gebruikers, maar hoeveel mensen de webclient gebruiken is niet bekend.

Reacties (64)

[MadEgg]

Hoe werkt dit dan? VCards worden toch niet uitgevoerd? Een PIM-applicatie zal het bestand proberen te openen en, indien er iets niet in de haak is, daarin moeten falen. Dus als het mogelijk is om schade toe te brengen dan zou dat een fout in de PIM-applicatie zijn.

Of probeert WhatsApp Web zelf nog iets te doen met die VCard? De screenshot geeft de indruk dat er javascript wordt uitgevoerd vanuit de VCard? Dan is het dus alleen een risico voor WhatsApp zelf; de betreffende javascript zal dan in staat zijn om de Javascript van WhatsApp Web te beïnvloeden, en dus mogelijk andere contacten te spammen oid. Maar echt schade aan je PC toebrengen lijkt me lastig, tenzij dit dan weer gecombineerd wordt met een lek in de Javascript-implementatie van je browser zelf.

[WhatsappHack]

Heb je het onderzoek gelezen?
Staat gelinkt in het artikel:
http://blog.checkpoint.co...llions-of-whatsapp-users/

Vanaf "Technical Details" lezen, dat legt het eigenlijk behoorlijk uitgebreid en helder uit hoe ze het geflikt hebben en hoe het probleem kon ontstaan waardoor ze, zodra de vCard werd geopend op de PC, er malicious code kon worden uitgevoerd op de PC van de gebruiker.
Het probleem is dat WhatsApp geen validatie uitvoerde of het wel werkelijk een vCard was die over Web geknald werd, dat is nu dus opgelost.

[Reactie gewijzigd door WhatsappHack op 31 juli 2024 06:50]

[davince72]

Veel computerellende ontstaat als je gebruikers naar een malafide website kunt lokken.
Dat is precies wat hier kan gebeuren. Een whatsapp gebruiker acht zich veilig klikt op een vCard (maar feitelijk trap je een stuk javascript af)...en opeens verschijnt een scherm dat je je client moet updaten, maar in feite download je en installeer je een trojan horse.
Simpel as that.

[Blackbird-ce]

Lijkt alsof de webclient de vCard probeert te parsen en weer te geven (gebruik de webclient zelf niet). In dat geval zou het om iets simpels als XSS kunnen gaan.

Risico zou dan (bijvoorbeeld) kunnen zijn dat je complete adresboek wordt leeggeslurpt, je spam gaat versturen naar contacten of willekeurige nummers, je onderdeel uitmaakt van een DDoS of, zoals davince72 aangeeft, malafide software te laten downloaden door de gebruiker.

[Edit] I stand corrected. Zoals WhatsappHack aangeeft was het geen XSS hier. Desondanks geeft bovenstaande m.i. nog wel aan dat ook een simpel javascriptje veel kwaad kan doen.

[Reactie gewijzigd door Blackbird-ce op 31 juli 2024 06:50]

[WCas]

Dat klopt, er wordt enkel gebruik gemaakt van de mogelijkheid VCards te verzenden, door slim een .exe te verzenden als VCard, het probleem was dus dat WhatsApp dat accepteerde, maar dat de browser vervolgens zag dat het een .exe was (en het dus vroeg uit te voeren wanneer je erop klikt).

[Verwijderd]

Alternatieve titel: WhatsApp heeft snel vcard-lek in webclient gedicht. Maar dat zal wel te positief zijn zeker? Verder vraag ik me ook wel af hoeveel problemen je zou krijgen van die malware aangezien er bij de meeste mensen een virusscanner actief is.

[wizzkizz]

Als ik het goed lees, is het net zoals een besmette advertentie een aanvalsvector. Tenminste, voor zo ver ik weet heeft WhatsApp Web niet meer of andere rechten dan andere websites. Als je browser/OS niet kwetsbaar is voor de gebruikte payload, dan is er nog niets aan de hand. En als je browser/OS wel kwetsbaar is, dan was je vroeger of later toch geïnfecteerd geworden via een andere website.

[mrdemc]

Ik heb even de link aangeklikt, want ik begreep ook eerst niet waarom het geen lek in een browser is, maar het probleem is dat de Whatsapp client door het XMPP verkeer te manipuleren denkt dat het een vCard betreft terwijl het in werkelijkheid een bat-bestand oid is. Dit bestand wordt dan gedownload en uitgevoerd als de gebruiker op de vCard klikt.

Als ik het goed begrijp...

[Cerberus_tm]

Dus je moet er wel echt op klikken, niet alleen gesprek openen? En, als je dan geklikt hebt, geeft de browser dan nog een prompt om het bat-bestand uit te voeren, of gaat dat op de achtergrond vanzelf?

[LopendeVogel]

Niet dat je veel aan mijn antwoord hebt, maar je stelt iemand vragen die de antwoorden uit bovenstaand artikel moet halen (of de site waarnaar gelinkt wordt in het artikel), oftewel als hij ze kan beantwoorden kan jij ze ook zelf hierboven terug vinden:P
Tenzij mrdemc medewerker is van whatsapp, dan is het natuurlijk handig om al die vragen direct aan hem te stellen

[Cerberus_tm]

Dat is waar, maar eerlijk gezegd begreep ik het artikel niet helemaal. Na dat gelezen te hebben is het mij nog steeds niet helemaal duidelijk of het iets kan doen zonder dat je erop klikt. Ik krijg de indruk dat je erop moet klikken, het stoute bestand moet downloaden, en dat dan moet uitvoeren op je computer zoals je elk gedownload bestand uitvoert. Dan is het vervelend dat je malware naar iemand kunt sturen, maar "je hebt alleen iemands nummer nodig" is dan misleidend: hij moet immers zo dom zijn om een BAT- of EXE-bestand uit te voeren. Maar ik weet het niet zeker, en het artikel zegt dat nergens echt helemaal duidelijk. Misschien dat iemand anders het wel volledig begrijpt.

[Reactie gewijzigd door Cerberus_tm op 31 juli 2024 06:50]

[Verwijderd]

WhatsApp had een probleem Verder vraag ik me ook wel af hoeveel problemen je zou krijgen van die malware aangezien er bij de meeste mensen een virusscanner actief is.

Oh, almachtige virusscanner.

Een virusscanner herkent alleen malware die hij kent of zich op een bepaalde manier gedraagt.
IMO wordt de virusscanner heel erg overschat, als middel tegen alle problemen. Mede omdat de 0 dagen virussen en malware niet herkend worden.

[Verwijderd]

0 dagen virussen en malware kunnen best herkend worden... Juist omdat de virusscanner niet alleen naar specifieke virussen speurt, maar óók naar bijzonder gedrag.

Maar in de meeste gevallen is het niet de virusscanner, maar UAC die de malware afvangt. Immers, sinds Vista standaard draait de browser in een sandbox, én draait de user applicatie nooit op admin niveau. De meeste malware moet dus nog altijd om hogere berechtiging vragen om écht iets vervelend te doen, en daar zal een beetje oplettende gebruiker het tegenhouden als UAC op een raar moment daar om vraagt.

[Mr Pingu]

UAC zal wel schelen inderdaad maar UAC is ook niet heilig. Genoeg malware die zich in het systeem weet te nestelen door UAV te omzeilen.

[Verwijderd]

0 dagen virussen en malware kunnen best herkend worden... Juist omdat de virusscanner niet alleen naar specifieke virussen speurt, maar óók naar bijzonder gedrag.

Leuk dat je herhaalt wat ik gezegd heb. Als de malware niet binnen deze categorie valt zal deze niet gedetecteerd worden. Zoals ik al zei.

Maar in de meeste gevallen is het niet de virusscanner, maar UAC die de malware afvangt. Immers, sinds Vista standaard draait de browser in een sandbox, én draait de user applicatie nooit op admin niveau. De meeste malware moet dus nog altijd om hogere berechtiging vragen om écht iets vervelend te doen, en daar zal een beetje oplettende gebruiker het tegenhouden als UAC op een raar moment daar om vraagt.

Het is maar wat je echt vervelend vind. Het wissen van of aanpassen van data is IMO iets heel ergs vervelenders. Zonder admin rechten kun je nog heel veel zaken doen die de gebruiker niet wil.
Tevens kan de malware een code zijn die in de browser draait die prive data uit je browser doorstuurt.

[rodie83]

WhatsApp heeft op 27 augustus een update uitgerold om het lek te dichten, zes dagen na hier door Check Point op gewezen te zijn.

Ik zeg dan gewoon heel simpel: dat is snel en goed opgelost. je kan hier nog uren over discussiëren, maar lekjes en bugs en issues zullen er altijd zijn. Hoe er mee om wordt gegaan als het wordt geconstateerd, dat is belangrijk. En dat lijkt hier prima gegaan te zijn

[WhatsappHack]

Is sowieso wel een sterk team vind ik.
Toen ik met ze aan het babbelen was over account hijacking op Symbian, Android en iOS, hadden ze het binnen 3 dagen op al die clients geheel opgelost, terwijl het deels ook een platform probleem was bij Symbian: gewoon omheen gecode.

Zolang ze het slim en snel oplossen is het prima.
Wel moet je je natuurlijk afvragen of er niet meer problemen zijn met de media verwerking via de webclient, voornamelijk bij het gebruik van third party WhatsApp clients door een van de participanten. Maar daar hebben ze gok ik ook wel stappen tegen ondernomen.

[Verwijderd]

Ja en nee, er zitten daar wel tientallen zo niet honderden developers, mag je ook wel verwachten dat ze bugs snel fixen/van tevoren al afvangen, 3 dagen is dan nog best lang

[WhatsappHack]

WhatsApp heeft 55 medewerkers in dienst. That's it...
En dat is dus inclusief: developers, support, marketing, localization (vertalers), server engineers en de twee eigenaren. Het zijn dus een handjevol developers die er werken: geen tientallen, en al helemaal geen honderden. Voor zover ik weet wordt een behoorlijk deel nog altijd door een van de twee eigenaren zelf in elkaar gezet.

3 dagen om het verificatie proces van 3 totaal verschillende clients (qua platform) geheel om te bouwen, is behoorlijk netjes. Dat is 1 dag per client. 3 dagen is zeer snel om een patch te releasen, dat zie je niet in veel bedrijven hoor; zeker niet met zo'n behoorlijk lek wat fundamentele wijzigingen aan de gehele opzet en infra vereist.

Ik vind het een prima prestatie, meen ik oprecht.
Als ik kijk hoelang sommige software vendors erover doen om beveiligingslekken op te lossen, en op de een of andere manier juist van de zeer grote software boeren, dan mag 3 dagen zowat als lichtsnelheid bestempeld worden; voor zo'n omvang.

Als het nou een lullige patch is van twee regeltjes code: akkoord, dan is 3 dagen lang.
Maar het moeten uitzoeken, opnieuw ontwerpen en de nieuwe code schrijven... Dat is netjes.

[WhatsappHack]

Mooi onderzoek, leuk gevonden! Je moet er maar aan denken he.

Wat me wel verbaast is dat er wordt gezegd "Update je WhatsApp Web".
Dat is mij volledig ontgaan, of de uitspraak is gewoon raar, want heb nooit gemerkt dat je uberhaupt je Web kan updaten... Als je met de browser de Webclient opent dan krijg je gewoon the latest and greatest van de server geserveerd.
Maar misschien dat het voor mensen is die een kopietje hebben gemaakt van de bron ofzo...?
Kga er eens naar kijken, wel erg interessant.

[francoski]

Zolang je je scherm open laat staan niet. Talloze mensen 'hibernaten' hun pc. Maar dan alsnog krijg je een melding om te 'updaten' wat in werkelijkheid gewoon een refresh is. Paar dagen geleden zelf meegemaakt.

[Mr Pingu]

Ja of is het zo dat een deel van die webinterface op je telefoon staat, zoals ook de database van je chats?

[Ventieldopje]

Nee, dat wordt gewoon over en weer gelepeld via een WebSocket, vandaar dat je mobiel aan moet blijven staan en lekker accu vreet

[Mr Pingu]

Wat dat betreft is het een !$(*^$*@)-implementatie, ze hebben sowieso heel het XMPP protocol verkrachtt.

[WhatsappHack]

Door deze implementatie kan end-to-end encryptie zonder dat er ook maar iets op de WhatsApp servers hoeft te worden opgeslagen worden gegarandeerd (zodra het officieel actief is, anyway); een compromis dus.

[Pendora]

Euhm hoe kan je de web versie updaten?

[mclegodude]

krijg je notficatie van, als je die niet hebt, is het al gebeurd

[rens-br]

Je krijgt een melding in de linkerbovenhoek net boven de zoekbalk. Heb zo'n melding vorige week ontvangen. Er staat dan zoiets als:
'Whatsapp web moet worden bijgewerkt om te blijven werken'

[JP1980]

Dat is gewoon zo zonde. Normaal kies je zelf de software waarmee je het prettigst werkt. Echter op social media gebied bepaalt het kuddegedrag welke app je gebruikt. En dat is niet perse de beste. En dat is soms best irritant.

[Verwijderd]

WhatsApp was altijd prima totdat ze werden overgenomen door Facebook. Toen was men opeens opzoek naar een andere client.

[Cerberus_tm]

Daarvóór waren ze ook al slechter met privacy en zo, toch? En met het aanklagen van mensen die alternatieve cliënten ontwikkelden dacht ik.

[Reactie gewijzigd door Cerberus_tm op 31 juli 2024 06:50]

[WhatsappHack]

WhatsApp slecht met privacy? Welnee, die zijn altijd heel goed geweest met privacy bescherming.
In de begindagen wel wat minder met hun security die niet altijd helemaal op orde was, maar daarna hebben we jaren geen werkelijk lek (enkel wat overhyped nonsens) in WhatsApp gezien; dit is het eerste werkelijke probleem in zeer lange tijd: en gelukkig al gepatched voor disclosure, dus niets aan 't handje.

Qua Privacy is WhatsApp erg sterk. De policy beschermt je erg goed, er wordt geen donder van je opgeslagen noch geanalyseerd (enkel aggregated statistieken, van hun 900 miljoen gebruikers tezamen dus.), et cetera.

Aanklagen van mensen die alternatieve clienten ontwikkelen is wel een begrijpelijke keuze trouwens.
1.) Die clients gebruikten veel meer bandwidth
2.) Als er iets mis is met die clients, dan krijgt WhatsApp de schuld
3.) De security van die apps schortte er wel eens aan, en ook dat kreeg WhatsApp dan op hun dak.

Ik zou ze ook dwingen offline te gaan

[LopendeVogel]

Tsja of er niks opgeslagen wordt weet ik niet, mijn vriendin heeft nu tijdelijk een sgs2 gepakt, ik heb het een harde reset gegeven dus ze vult alles opnieuw in, wat doet whatsapp? Dit haalt de gehele chat historie terug tot volgens mij bijna 1 jaar.
Ik denk hu hoe ken dat nou, die (ongewenste) berichten waren al dik en dwars verwijdert, ik naar de instellingen kijken of die een optie heeft om back-ups te maken maar alles stond uit. Ook geen mogelijkheid om de historie definitief te verwijderen.

Indien er niks opgeslagen zou worden, zouden niet alle chats tot een jaar terug spontaan geladen kunnen worden toch? Dan zou je zeggen alleen de chats die niet verwijdert zijn, maar dat wordt dus kennelijk WEL allemaal opgeslagen.

PS. dit is geen aanval op jou hoor, kan zijn dat ik het na 2x zoeken (chat historie verwijderen ) gewoonweg 2x overheen gekeken heb.

[WhatsappHack]

Nee WhatsApp slaat dat niet op hun servers op, wel kan het zijn dat er nog een backup stond op bijvoorbeeld het SD kaartje wat je er in gepropt hebt of er nog in zat; of op het interne geheugen mits je niet gekozen hebt om het user gedeelte te verwijderen; maar van de WhatsApp servers kan het niet gekomen zijn.

[LopendeVogel]

Hihi nee dit is niet het geval, geen sd aanwezig en een full swipe gedaan (je weet wel via dat menu waar je komt met volume + power ), zowel de user data als de fact reset etc alles is uitgevoerd.

Tijdens aanmelden met whatsapp werd gevraagd om de chat te laden ofzo, toen werden zowel de huidige gesprekken ( die op der andere toestel niet verwijdert waren ) geladen maar ook alle gesprekken die al ongeveer een jaar geleden verwijdert zijn..

[WhatsappHack]

Dan moet er toch nog ergens op het toestel een backupje hebben gestaan (meer dan een jaar oud dus...) van de WhatsApp gesprekken.
Ik heb wel eens eerder gehoord van mensen die dit op mysterieuze wijze hadden met Samsung toestellen, maar het is in ieder geval niet zo dat het van de WhatsApp servers afkomt.

De server stuurt je wel de aangemelde Groepschats toe (zonder inhoud, enkel groep; evt met inhoud vanuit backup) en berichten die je nog niet had ontvangen.

Het is echt onmogelijk dat het van de WhatsApp servers afkomt.
Er wordt niets opgeslagen en de client haalt ook geen backups binnen via hun server ofzo (gaat ook niet, want die hebben ze niet.).
Het zou nogal raar zijn ook als zij zeggen "wij slaan niets van je op" en vervolgens laten ze de client wel een backupje downloaden van al je berichten die ze dus niet eens zouden mogen hebben.

Als dit zo was dan zou er nogal de ***** uitgebroken zijn en zouden ze intussen al dik in de class-action lawsuits hangen.
... Maar het is echt het toestel waar nog een WhatsApp backup op opgeslagen staat.

Enige andere optie is met bepaalde transfer tools tussen Android toestellen en bepaald type cloud backups (geintegreerd) of via software (zoals *horror* KIES); maar dat staat los van WhatsApp en komt dus niet vanuit hen op je toestel binnen... Dat is in principe hetzelfde als dat je op iOS je WhatsApp geschiedenis zou herstellen vanuit iCloud.

[Reactie gewijzigd door WhatsappHack op 31 juli 2024 06:50]

[LopendeVogel]

Kijk ik geloof je volledig ( jij bent toch wel de whatsapp expert van tweakers.. ) maar nu ga ik je grotendeels tegenspreken ( in de zin van, hier gaat het toch anders )

-Toestel is op factory reset gezet, nog een extra user wipe gedaan via hetzelfde menu.
-Met opstarten een nieuw gmail account gemaakt ( mijn vriendin gebruikt al jaren outlook/live dus zij wist het gmail account niet meer ), oftewel het gaat om een nieuwe user.
-Direct stap die volgde was uiteraard whatsapp downloaden ( voor de rest niks gedaan met accounts het enige account die actief staat is die wat net verzonnen is om de store te kunnen gebruiken )
- Whatsapp vroeg om gesprekken te laden -> zo gezegd zo gedaan, toen kwamen dus alle actieve gesprekken terug maar ook de chats die lang geleden verwijdert zijn.

Bij mij bijna hetzelfde, ik had mijn iphone6 verkocht en ben mijn oude SGS5 gaan gebruiken ( die mocht mijn vriendin tijdelijk lenen ), ik doe me sim erin en whatsapp stond eral op maar moest even herkennen wie ik was aangezien er een andere sim in zat. Nou smsje gekregen etc en kreeg ook de melding om de chat op te halen, bij mij kwamen ALLEEN de actieve gesprekken terug.

SGS5 geen fact reset/user wipe etc en kreeg netjes mijn actieve gesprekken terug en de gesprekken van mijn vriendin waren op dat moment gelijk weg.
SGS2 die mijn vriendin nu heeft blijft de oude chat terug halen (dit is eerder ook gebeurt doordat de sgs2 kuren had en we een volledige wipe gedaan hebben, ook toen kwam de oude historie terug)

-Om bij alles nog even de puntjes op de i te zetten;
Toen mijn vriendin de SGS5 ging gebruiken (zij heeft van orgine een sgs2) aangezien ik deze in de la had liggen dankzij de iphone6, ook een wipe etc op mijn sgs5 gedaan, zij stopt haar sim erin, maakt wederom een gmail account aan, download whatsapp en de gehele historie (precies diezelfde historie als wat we een paar dagen terug - terug gekregen hebben) werd geladen.
Het kan niet aan gmail gelinkt zijn aangezien het elke keer flut adressen zijn puur voor de playstore.

Het gaat hier dus wel om een samsung (galaxy s2). Uiteraard heb ik in de instellingen van het toestel zelf ook gekeken om te zien of er iets gedaan werd met whatsapp, dit is niet het geval. Lijkt me ook sterk dat dit het euvel zou zijn aangezien mocht samsung iets synce het via het gmail account zou gaan, en deze is nieuw aangemaakt.

Het is geen wereldramp, in de zin van we moeten contact opnemen met whatsapp. Maar het zijn veelal berichten uit het verleden wat nu gewoon niet meer gewenst zijn en dan is het niet leuk als die elke keer terug gehaald worden wanneer whatsapp opnieuw geinstalleerd word (of dit nu op de SGS2 is waar het al 2x gebeurt is of op de SGS5, ze blijven terug komen)
Het enige oordeel die ik kan trekken is dat het bij haar wel opgeslagen wordt bij whatsapp. Het kan niet het toestel zijn, en ook niet gmail/google. Tenzij er nog iets anders zou kunnen zijn?

[Reactie gewijzigd door LopendeVogel op 31 juli 2024 06:50]

[WhatsappHack]

Kijk ik geloof je volledig ( jij bent toch wel de whatsapp expert van tweakers.. ) maar nu ga ik je grotendeels tegenspreken ( in de zin van, hier gaat het toch anders )

Ook zeker doen, want iedereen kan het mis hebben; expert of niet.

-Toestel is op factory reset gezet, nog een extra user wipe gedaan via hetzelfde menu.
-Met opstarten een nieuw gmail account gemaakt ( mijn vriendin gebruikt al jaren outlook/live dus zij wist het gmail account niet meer ), oftewel het gaat om een nieuwe user.
-Direct stap die volgde was uiteraard whatsapp downloaden ( voor de rest niks gedaan met accounts het enige account die actief staat is die wat net verzonnen is om de store te kunnen gebruiken )
- Whatsapp vroeg om gesprekken te laden -> zo gezegd zo gedaan, toen kwamen dus alle actieve gesprekken terug maar ook de chats die lang geleden verwijdert zijn.

So far so good, hier is het rare gedeelte:
"Whatsapp vroeg om gesprekken te laden"

De client doet dit normaal enkel en alleen als er een backup gevonden wordt op het geheugen van het toestel, op een SD kaart die erin zit of als ie deze uit de cloud kan halen op enige wijze. (Is een beetje platform en merk afhankelijk)
Als dit nergens wordt aangetroffen, op Android is dat (nog voor korte tijd gezien binnenkort cloud opslag mogelijk wordt) eigenlijk vrijwel altijd "moet op het toestel aanwezig zijn", dan slaat de client dit gedeelte normaal gewoon over en krijg je een leeg schermpje, waar hoogstens je groepsgesprekken en actieve gesprekken (berichten die nog niet afgeleverd waren) in tevoorschijn worden getoverd. (Ook contactnamen kunnen niet getoond worden, tenzij je adresboek reeds was hersteld (In dat geval: waarvandaan zijn die hersteld dan?).)

Dat oude berichten dan terug komen is normaal. Dat groepsgesprekken (aldanniet zonder inhoud, tenzij WhatsApp een tijdje uit heeft gestaan) terug komen is normaal. Dat actieve gesprekken in de vorm van "nog niet eerder ontvangen" terug komen is ook normaal.

Bij mij bijna hetzelfde, ik had mijn iphone6 verkocht en ben mijn oude SGS5 gaan gebruiken ( die mocht mijn vriendin tijdelijk lenen ), ik doe me sim erin en whatsapp stond eral op maar moest even herkennen wie ik was aangezien er een andere sim in zat. Nou smsje gekregen etc en kreeg ook de melding om de chat op te halen, bij mij kwamen ALLEEN de actieve gesprekken terug.

Dat zijn normaliter nog niet afgeleverde berichten, ik neem aan dat je dat bedoeld?
Dat kan goed kloppen.

Als je vriendin hem voor jou gebruikt heeft, dan is de kans groot dat er voor jou geen oude berichten te herstellen vielen omdat je een ander nummer hebt; en de WhatsApp backup die aangetroffen wordt op het toestel dus niet hersteld kan worden. Deze wordt dan normaliter vakkundig de nek omgedraaid en vervolgens wordt er elke nacht weer netjes een backup gemaakt van *jou* gesprekken.
Dit gedrag verandert meestal overigens als je een SD kaart erin propt die niet door je vriendin gebruikt werd maar door jezelf.

SGS5 geen fact reset/user wipe etc en kreeg netjes mijn actieve gesprekken terug en de gesprekken van mijn vriendin waren op dat moment gelijk weg.

Dat is ook enigszins apart, maar ook weer platform afhankelijk.
Normaal gesproken blijft het WhatsApp account van je vriendin vrolijk doorpruttelen, tenzij zij op dat moment alweer ergens anders ingelogd was: dan knalt WhatsApp uit veiligheidsoverwegingen het account eruit, en vraagt om je opnieuw te registreren.

Als dat is gebeurd dan is dat inderdaad goed gegaan, en is het ook logisch dat er van jou eigenlijk niets hersteld kon worden; behalve lopende gesprekken waar je nog iets tegoed had.

-Om bij alles nog even de puntjes op de i te zetten;
Toen mijn vriendin de SGS5 ging gebruiken (zij heeft van orgine een sgs2) aangezien ik deze in de la had liggen dankzij de iphone6, ook een wipe etc op mijn sgs5 gedaan, zij stopt haar sim erin, maakt wederom een gmail account aan, download whatsapp en de gehele historie (precies diezelfde historie als wat we een paar dagen terug - terug gekregen hebben) werd geladen.
Het kan niet aan gmail gelinkt zijn aangezien het elke keer flut adressen zijn puur voor de playstore.

Hier ben ik je even kwijt.
Je vriendin kreeg dus haar geschiedenis hersteld op de SGS2, en toen ze zich daarna aanmelde op de SGS5 kreeg ze haar historie wederom terug?
Je hebt enkel de simkaart overgezet, je niet aangemeld met je Samsung account en een ander gmail account, yes?

Het is geen wereldramp, in de zin van we moeten contact opnemen met whatsapp. Maar het zijn veelal berichten uit het verleden wat nu gewoon niet meer gewenst zijn en dan is het niet leuk als die elke keer terug gehaald worden wanneer whatsapp opnieuw geinstalleerd word (of dit nu op de SGS2 is waar het al 2x gebeurt is of op de SGS5, ze blijven terug komen)

Ja dat is sowieso raar, want als je die berichten verwijderd dan moeten ze ook uit de backup opzouten.
Als je die verwijderd en WhatsApp nog minstens 24 uur gebruikt hebt, dan kan het normaal niet voorkomen dat die berichten daarna nogmaals op enige wijze terugkomen; tenzij er tussendoor iets mis is gegaan met het overschakelen naar nieuwe backup encryptie... Dan *kan* het nog wel eens voorkomen. (Maar dan ben je recentere gesprekken *wel* kwijt, helaas.)

Het enige oordeel die ik kan trekken is dat het bij haar wel opgeslagen wordt bij whatsapp. Het kan niet het toestel zijn, en ook niet gmail/google. Tenzij er nog iets anders zou kunnen zijn?

Nee in principe niet, er worden echt nimmer backups gemaakt en verzonden naar de WhatsApp servers; en die servers slaan niets op.
Het enige dat, in theorie, zou kunnen gebeuren is dat de server denkt dat je berichten nog niet afgeleverd zijn; maar dan zou het tot maximaal 30 dagen terug gaan.

Er moet *ergens* op het toestel een back-up hebben gestaan.
Ik ben wel erg geinteresseerd hoe dit nou zit, en waarom ik als ik dit soort verhalen hoor het steeds maar weer Samsung is.
Heb het namelijk wel eerder gehoord, maar constant uitsluitend op Samsung toestellen; niet op HTC, Sony, Huawei; niets... Dat doet toch het vermoeden uitgaan dat er iets geks gebeurd op Samsung toestellen.

Kan je mij eens een PM'etje sturen met de expliciete stappen die je hebt uitgevoerd op zowel de SGS2 als SGS5, en wat er nu exact precies hersteld werd op beide toestellen; maar ook wat er ontbrak?
Dan ga ik dat raadseltje eens doorsturen naar een van m'n contacten bij WhatsApp, want nu ben ik zelf ook wel benieuwd.
Ervanuitgaande dat je echt 100% zeker weet dat er geen SD kaartje is overgezet of er (per ongeluk) nog inzat, tenminste.

Als ik het zo hoor lijkt het er op dat Samsung bij een factory reset toch niet volledig het geheugen en de opslag wist, waardoor WhatsApp toch nog een backup tevoorschijn weet te toveren; dat verklaart ook waarom de berichten zo oud zijn en vervolgens enkel nog actieve backlog berichten binnenkomen.
Dat is ook vreemd op zich natuurlijk, maar verklaart wel prima waar WhatsApp in hemelsnaam die data vandaan weet te toveren.

Ben benieuwd! Als je me dat PM'etje ff stuurt dan ga ik es kijken of ze hier wat zinnigs over te zeggen hebben, gezien ik al random mensen tegen ben gekomen op de internets met dit "euvel"; dan moeten zij het al helemaal eerder gehoord hebben en weten wat het veroorzaakt.

[Cerberus_tm]

En je heet WhatsappHack...dat vind ik dan een opmerkelijke naam! Nummer 1 is volgens mij niet of nauwelijks het geval; mocht het toch zo zijn, dan kun je gewoon het gegevensgebruik zelf limiteren per gebruiker. Telegram heeft er ook geen probleem mee: je moet de smoesjes van Whatsapp niet geloven. Nummer 2 is niet het probleem van Whatsapp, dat kunnen ze negeren. Idem voor nummer 3. Er is werkelijk geen serieuze reden waarom Whatsapp zo evil deed (al moet ik toegeven dat dat na de overname door Facebook was; maar volgens mij wordt Whatsapp nog altijd redelijk zelfstandig bestuurd door de eigen directeur?). Telegram doet immers ook niet zo evil: iedereen kan gewoon een client maken.

En Whatsapp ging zelfs zo ver om het hele Facebook-account van de maker van een populaire Whatsapp-client uit de lucht te halen; als dat niet evil is weet ik het niet meer. Hij kon dus niet eens meer contact maken met zijn vrienden: zoiets doe je toch niet. Het is zelfs illegaal in Nederland, denk ik.

Wat betreft privacy/veiligheid scoort Whatsapp zeer slecht volgens de EFF, een zeer betrouwbare organisatie op dit gebied:
https://www.eff.org/secure-messaging-scorecard
Zoals te zien scoort Telegram veel beter. Ook scoort Whatsapp slecht op het gebied van de bescherming van gebruikers tegen de overheid:
https://www.eff.org/who-h...rnment-data-requests-2015

Verder is te zien aan dingen als de blauwe vinkjes, die bij invoering verplicht voor iedereen waren, dat de privacy van gebruikers jegens andere gebruikers ze totaal niet interesseert, al was ook dat van na de overname.

[WhatsappHack]

En je heet WhatsappHack...dat vind ik dan een opmerkelijke naam!

Werkelijk?
Dan heb je denk ik de 2e regel van m'n post niet gelezen.

Nummer 1 is volgens mij niet of nauwelijks het geval; mocht het toch zo zijn, dan kun je gewoon het gegevensgebruik zelf limiteren per gebruiker. Telegram heeft er ook geen probleem mee: je moet de smoesjes van Whatsapp niet geloven

Dat is behoorlijk het geval, omdat er restricties worden omzeild die de normale WhatsApp client oplegt, for good reason...
Dat Telegram er een compleet ander model op nahoudt met een compleet file sharing systeem er aan vast: dat is aan hen. Dat betekend niet dat iedereen dat model maar moet volgen en dat dit daadwerkelijk de slimste keuze is voor de toepassing.

Nummer 2 is niet het probleem van Whatsapp, dat kunnen ze negeren

Ja, want voor de PR en Marketing zijn artikelen met de merknaam "WhatsApp" all over it is natuurlijk erg fijn als negatieve aandacht omdat er lekken in third-party clients zitten.
Natuurlijk is dat wel hun probleem.

Er is werkelijk geen serieuze reden waarom Whatsapp zo evil deed (al moet ik toegeven dat dat na de overname door Facebook was; maar volgens mij wordt Whatsapp nog altijd redelijk zelfstandig bestuurd door de eigen directeur?). Telegram doet immers ook niet zo evil: iedereen kan gewoon een client maken.

Evil omdat ze hun platform beschermen, de veiligheid willen verhogen en het niet zo tof vinden als andere apps hun infrastructuur misbruikt?
All corporations are evil, of hoe moet ik het zien?

Telegram's client gedeelte is open-source, dat is hun keuze. Dat ze dat doen, en WhatsApp kiest voor proprietary, maakt de een niet meer evil of beter dan de ander.
Het is een keuze.

Telegram is ook verre van zo populair als WhatsApp met een handvol gebruikers, kennelijk is wat Telegram allemaal doet dus niet per definitie wat de markt wil hebben.

Wat betreft privacy/veiligheid scoort Whatsapp zeer slecht volgens de EFF, een zeer betrouwbare organisatie op dit gebied:
https://www.eff.org/secure-messaging-scorecard
Zoals te zien scoort Telegram veel beter. Ook scoort Whatsapp slecht op het gebied van de bescherming van gebruikers tegen de overheid:
https://www.eff.org/who-h...rnment-data-requests-2015

Niet zo heel lang meer.
In een van de volgende iteraties zal de WhatsApp score omhoog gaan, en voor Telegram zal hij iets zakken.
WhatsApp heeft de laatste tijd niet stilgezeten, en dat is de EFF ook opgevallen.
Daarnaast heb ik vernomen dat de EFF overweegt, omdat zoveel mensen de tekst niet lezen die duidelijk stelt dat de client wel secure kan zijn: maar de verwerking van de data en de privacy policies e.d. nooit getest zijn en dat je er dus niet zoveel waarde aan kan hechten, om toch controles uit te voeren op de policies van bedrijven.

In dat geval kom je er op uit dat die van WhatsApp heel sterk is, maar die van Telegram minder.
Ook dat je al je data moet overhandigen aan Telegram zou best eens een keer als minpunt kunnen verschijnen.
Ook wordt er hoogstwaarschijnlijk wat kritischer gekeken naar het Telegram protocol, daar die nu een groen vinkje krijgt: maar dat eigenlijk niet verdient vanwege de security lekken die erin zitten.

Et cetera.
Die scorecard is een indicatie van hoe *transparant* een organisatie is, het zegt niet perse iets over hoe veilig je data is.
Kijk, ik kan dus een super veilige client hebben: en alle vinkjes halen bij de EFF. Maar vervolgens publiceer ik alle gesprekken 1 op 1 publiek op een website, inclusief foto's, video's, et cetera. Of ik kan maar 2 vinkjes halen, maar je data zeer goed beveiligen, sterke encryptie inbouwen, je privacy waarborgen, et cetera.
Dat is een beetje raar... En zo denken een aantal mensen erover, voor zover ik heb begrepen zouden er bij de EFF dus een en ander aan wijzingen worden bekeken voor de scorecard.
Misschien behoudt Telegram, zeker als ze nog even wat cruciale wijzigingen in die infrastructuur en brakke encryptie van ze doorvoeren, een behoorlijk aantal vinkjes en wie weet dat ze op dat punt bovenaan kunnen blijven staan. Al zal het knap lastig worden met die policies over dataverwerking.

Maar goed, dat terzijde.
Het moge nu ondertussen wel duidelijk zijn voor de meeste mensen hoop ik dat Telegram een nogal onveilig platform is.

Verder is te zien aan dingen als de blauwe vinkjes, die bij invoering verplicht voor iedereen waren, dat de privacy van gebruikers jegens andere gebruikers ze totaal niet interesseert, al was ook dat van na de overname.

Ja, want die functie is totaal niet uit te schakelen in je instellingen ofzo; er is welgeteld 1 release cycle geen optie beschikbaar geweest (behalve in de beta versie, daar zat ie al in) om het uit te schakelen.
En al zouden ze dat eerst niet van plan zijn geweest: dat ze luisteren naar hun gebruikers die het dus uit willen zetten, en dit meteen voor ze inbouwen: prachtig.

Daarnaast dat WhatsApp hard bezig is om constante end-to-end encryptie op basis van TextSecure in te bouwen, geeft ook aan dat ze helemaal niets om de privacy van gebruikers geven natuurlijk.
Dat hun privacy policy nog altijd netjes stelt dat ze niets van je mogen inzien of bewaren (kleine uitzonderingen daargelaten) en niets meer dan ook niets wat ze wel hebben te delen of te verkopen, laat ook zien dat ze het allerslechtste met de gebruikers voorhebben.
Dat WhatsApp, die altijd heeft gefocust op simpliciteit en "moet door iedereen super makkelijk gebruikt kunnen worden", een Webclient bouwen die in de ogen van veel gebruikers wat moeilijk en omslachtig werkt: puur omdat ze op die manier kunnen garanderen dat er niets op hun servers wordt opgeslagen en end-to-end encryption altijd zal blijven functioneren: of je het nu op je PC opent of op je mobieltje (iets dat Telegram bijvoorbeeld niet kan), en dus willens en wetens het geen schoonheidsprijs laten verdienen puur zodat gebruikers erg veilig zijn... Dat laat natuurlijk ook zien dat de privacy van gebruikers ze niets interesseert.

En zo voorts.
Het is maar of je perse van het slechtste uit wil gaan, of dat je even kijkt wat ze nou werkelijk allemaal aan het doen zijn.
Dat ze zoveel effort steken in het beschermen van gebruikers, is iets dat je van Telegram absoluut niet kan zeggen.

[Reactie gewijzigd door WhatsappHack op 31 juli 2024 06:50]

[Verwijderd]

" Ik vind het een prima prestatie, meen ik oprecht."

Ik ook al weer de zoveelste fout he. Ze weten echt iets over beveiliging daar!..
Ga toch fietsen..

"begindagen wel wat minder met hun security die niet altijd helemaal op orde was, maar daarna hebben we jaren geen werkelijk lek"
Het is nooit op orde geweest..

[WhatsappHack]

Ik ook al weer de zoveelste fout he. Ze weten echt iets over beveiliging daar!..
Ga toch fietsen..

Het is nooit op orde geweest..

De zoveelste fout? Nooit op orde geweest?
Care to elaborate, en dan graag met zaken die niet 4 tot 5 jaar geleden speelde?

Op deze manier kan ik moeilijk reageren op je claims omdat ik niet weet waar je je post op baseert...

[LopendeVogel]

Ik denk de Toyota Prius wegens de storingen en fouten in de software de laatste tijd, dit zal inderdaad niet over whatsapp gaan.

[JP1980]

Prima ja. Maar niet perfect. Vooral het gemis van een cliënt op verschillende platformen zoals PC. Inmiddels is er wel een webclient maar dat is maar dat is geloof ik iets wat verbind met je telefoon ... niet echt een oplossing. Voor mij dan.

[xFeverr]

Maakt opzich ook niet uit hoor, het enigste wat je telefoon moet hebben is een netwerkverbinding en hij moet minstens één keer zijn gelinkt aan een PC. Daarna kan je telefoon van mij part in China liggen, whatsapp web zal dan gewoon werken. Ook op een ander netwerk

(Disclaimer: dit verhaal is dan wel voor Android. Ik weet niet hoe het op andere os'en zit)

[Verwijderd]

Nee. Je telefoon moet wel contact kunnen blijven houden met je computer. Dus China gaat 'm toch niet worden.

Ik heb er met Android soms al last van dat door de slaapstand van mijn mobiel de web App het al niet meer doet.
Het wordt echt tijd voor een native app.

[LopendeVogel]

Nou hoe ik het van collega's hoor die dit op werk gebruiken, is dat het wel blijft werken ook wanneer je weg bent met je telefoon. Wat ik begreep ging het als volgt:

Je gaat naar de website voor die whatsapp web, je linkt je toestel via een QR code aan je whatsapp web(browser) en vervolgens blijft die gekoppelt totdat je op je pc aangeeft je te willen afmelden. Zolang jij je niet afmeld op de PC (wat bij collega's dus vast en zeker weleens gebeurt is) zal die whatsapp web versie blijven draaien ongeacht of je nog aanwezig bent bij je computer of niet.
Hoe ik het zo allemaal hoor zou het min of meer een standalone versie zijn die synct met je mobiel, staat je mobiel uit kan je doorgaan op de whatsapp website, zet je vervolgens je mobiel aan dan synct die de chat van de whatsapp website.

Nu spreek ik niet uit mijn eigen ervaringen maar die van collega's ( ik ben niet zo'n die-hard whatsappert )

[Reactie gewijzigd door LopendeVogel op 31 juli 2024 06:50]

[wells.p]

Maar je batterij gaat meteen leeg. Met telegram gaat het via de cliënt en niet via je telefoon.

[xFeverr]

overdrijven is ook een vak... je doet het voorkomen alsof je batterij direct heel hard naar beneden loopt. Dat is natuurlijk totaal niet waar. Óók de telegram app verwerkt alsnog de berichten die binnenkomen op je telefoon, of je de desktop client nou gebruikt of niet.

[wells.p]

Mijn ervaring met mijn Oneplus is dat hij erg warm word en de batterij sneller leeg gaat dan met de client van Telegram.

Het is inderdaad wel wat overdreven.

[WhatsappHack]

Raar, ik merk op de M8 nauwelijks battery drain. Het enige wat ie ook hoeft te doen is nieuwe berichtjes doorsturen met reguliere intervals (daarom merk je soms even wat lag tussen client en telefoon), dat kost niet zo heel gek veel batterij. Op iOS merk ik het nauwelijks.

Wel apart dat het op die OP wel veel stroom vreet.
(Of wat is veel, eigenlijk)

[thatent]

Ik merk nauwelijks tot niets aan de batterijduur van mijn telefoon als ik de hele dag WhatsApp Web aan heb staan en zo nu en dan een gesprek voer.

[WhatsappHack]

Klopt, het creeert een E2E encrypted socket tussen je PC en je telefoon.
Door dit te doen hoeft er niets op WhatsApp's servers opgeslagen te worden, en kan end-to-end encryption blijven functioneren zonder dat de WhatsApp servers het kunnen zien. Best ingenieus, eigenlijk. Maar het werkt inderdaad wat minder makkelijk dan gewoon een dedicated client, dat is het nadeel...
Het is dan ook meer een compromis tussen usability en security eigenlijk, geen full fledged oplossing.

[ArnoutV]

Wat is er vanaf dat moment dan veranderd?

[FreshMaker]

Aan Whatsapp niets, maar men wilde ineens privacy-aware zijn, en populair evangeliseren voor 'betere' oplossingen

[Donstil]

Maarja wat is dan echt de beste? Is dat Telegram?

Naar mijn mening niet, de beste is een client waarmee ik al mijn contacten (vrienden, familie, collega's) kan bereiken. Dat is hier Whatsapp, zonder uitzondering zitten al mijn contacten op Whatsapp.

[JP1980]

Precies. Whatsapp is de beste omdat iedereen dit gebruikt. Neem je deze factor weg en je kijkt puur naar de software dan denk ik dat er heel veel betere alternatieven zijn. Maar deze werken niet omdat niemand ze gebruikt. Kip ei verhaal.

[disheaver]

Voor IM apps helaas niet het geval. Je moet wel de app kiezen die door iedereen wordt gebruikt. Er in nog geen (wijdgebruikt) open protocol waarbij jezelf de cliënt bij kan kiezen, zoals bij email wel het geval is.

[Dorank]

XMPP, het protocol achter de meeste IM diensten (schijnbaar ook whatsapp). Helaas meestal gebruikt op een dusdanige manier dat er geen keuze in clients is en dat communicatie met de buitenwereld (federation) niet werkt.

[thatent]

Wat een genuanceerd en goed onderbouwd bericht! ;-)
Ik vind het een hele fijne messenger. Heb alleen op Windows Phone (lang geleden!) slechte evaringen hiermee gehad. Sinds ik over ben gestapt op Android: niets dan positieve ervaringen wat mij betreft.

[SampleUser]

De WP client werkt hier gewoon goed op WM10... Ze zullen het wel gefixt hebben

[NeFoRcE]

Niet qua gebruikers, en laat het daar nou net om gaan qua marktaandeel / impact.