WhatsApp slaat telefoonnummers niet-gebruikers gehasht op na kritiek CBP

WhatsApp heeft na onderzoek van het College bescherming persoonsgegevens een aantal maatregelen genomen bij de verwerking van telefoonnummers van niet-gebruikers. Het bedrijf slaat die telefoonnummers nu gehasht en afzonderlijk op.

Door de aanpassingen voldoet WhatsApp volgens het CBP aan de wettelijke vereisten om de gegevens te mogen verwerken. Gebruikers van WhatsApp uploaden telefoonnummers van hun contacten inclusief die van niet-WhatsApp-gebruikers. Omdat het verzamelen van alle nummers helemaal niet nodig is voor de werking van de dienst, schendt de dienst de privacyregels, constateerde het CBP in 2013.

De chatdienst liet daarop aan de privacyautoriteit weten dat het 'technisch niet mogelijk is' de dienst aan te bieden zonder dat de app alle contactgegevens uitleest. De maatregelen die WhatsApp wel heeft genomen moeten garanderen dat de verwerking alleen plaatsvindt om gebruikers elkaar te laten vinden en met elkaar in contact te brengen, en niet voor andere doelen.

Daarnaast moet die verwerking nu veiliger gebeuren. Slechts 'een beperkt aantal technici' zou bijvoorbeeld toegang hebben tot de hashes van telefoonnummers. Die hashes worden afzonderlijk opgeslagen, wat erop duidt dat dit eerder niet gebeurde. WhatsApp zou overigens bestrijden dat het CBP bevoegd is om te oordelen over de kwestie. Wel werkte het bedrijf mee aan het onderzoek en laat het een externe audit verrichten.

Reacties (160)

[WhatsappHack]

Ik weet niet hoor, maar dit is echt extreem oud nieuws.
WhatsApp slaat deze data al jaaaaaaren gehashed op, ik snap dus niet waar dit artikel opeens vandaan komt. Het staat geloof ik al ruim 2 jaar ook netjes op de wikipedia vermeld.

Notebene het originele onderzoek van het CBP in samenwerking met de Canadese privacy waakhond maakt vermelding van dit feitje: https://www.priv.gc.ca/media/nr-c/2013/nr-c_130128_e.asp

In order to facilitate contact between application users, WhatsApp relies on a user’s address book to populate subscribers’ WhatsApp contacts list. Once users consent to the use of their address book, all phone numbers from the mobile device are transmitted to WhatsApp to assist in the identification of other WhatsApp users. Rather than deleting the mobile numbers of non-users, WhatsApp retains those numbers (in a hash form). This practice contravenes Canadian and Dutch privacy law which holds that information may only be retained for so long as it is required for the fulfilment of an identified purpose. Only iPhone users running iOS6 on their devices have the option of adding contacts manually rather than uploading the mobile address numbers of their address books to company servers automatically.

Ik snap er dus werkelijk geen hol van waar dit opeens, ruim 2 jaar na dato, naar buiten wordt gebracht.
Daarnaast blijkt het niet te kloppen: dit werd al gedaan *tijdens* het onderzoek. Het CBP had daar destijds het een en ander over te klagen, maar gehashed werden die nummers al. Hoe het dan zo zou zijn dat het "na kritiek van CBP" aangepast is, is mij een raadsel.... Het werkte immers al zo, en dat zegt hun eigen onderzoek resultaat destijds ook.
De ander pijnpunten die ze hadden (oa encryptie), werden meteen tijdens het onderzoek door WhatsApp opgelost; en dat is dus jaren geleden.

En toen was het mbt hashes dus nog "dat vinden wij niet zo leuk", en nu is het opeens "daarmee voldoen ze aan de minimale eisen"?
Ik snap hem niet meer. Heb altijd al gezegd dat het zo gewoon aan de wet moet voldoen...

Het enige wat mogelijk nieuw is, is dat afzonderlijk opslaan... Wat het minst boeiende is, imho.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 20:37]

[GlowMouse]

Het is inderdaad vreemd dat het CBP de loftrompet steekt over hashing, terwijl ze in een eerder rapoort (jan 2013) nog stelde dat de gehashte gegevens eenvoudig terug te halen zijn:

WhatsApp kan de gehashte ‘out-of-network' nummers daardoor zonder onevenredige inspanning opnieuw berekenen en bijvoorbeeld een opzoektabel maken van alle ‘out-of-network' nummers in leesbare (plain text) en gehashte vorm. Van anonimiseren door middel van onder andere hashen is daarom geen sprake.

Deze visie van het CBP was ook op Tweakers gemeld.

[Darkstriker]

Niet elke vorm van hashing is evengoed natuurlijk. Sommige zijn niet terug te halen (althans nog niet), anderen zijn binnen elke milliseconden te kraken. Oftewel: misschien is dat wel verandert. Aan de andere kant heb ik me niet ingelezen, dus het zou ook gewoon een veranderde mening van het CBP kunnen zijn.

[DLGandalf]

Laten we salting niet vergeten, als er simpelweg een hash van een telefoonnr gemaakt wordt op naieve manier, dan is een rainbow table maken voor 10 miljard telnummers nou ook niet echt heel moeilijk en kan je lookups in nog minder dan een miliseconde maken.

[Verwijderd]

Ja precies, je kunt er wel hashes van maken, maar aangezien telefoonnummers uit maximaal 10 nummers bestaan zul je ze altijd makkelijk terug kunnen vinden.
Tenzij je een hashing methode gebruikt die per telefoonnummer heel veel tijd nodig heeft....

[M.l.]

De chatdienst liet daarop aan de privacyautoriteit weten dat het 'technisch niet mogelijk is' de dienst aan te bieden zonder dat de app alle contactgegevens uitleest.

Klinkklare f'ing onzin. Als ze nou precies het tegenovergestelde doen: het gehasht (of niet gehasht) opslaan van de nummers die wel worden gebruikt. De apps van de gebruikers kunnen aan de WhatsApp servers vragen of het nummer bekend is, zo niet dan hoeft dat ook niet opgeslagen te worden.

Gebruikers hebben geen controle (behalve gewoon geen of een beperkt adresboek gebruiken), over welke contactpersonen wel of niet gecheckt worden.

Die garantie stelt natuurlijk niets voor, behalve dat ze ooit "oeps, was niet de bedoeling" roepen als blijkt dat ze zich er niet aan hebben gehouden.

O ja, en hashen van telefoonnummers is vast nuttig als ze extreem lang en willekeurig zijn. Maar omdat we in Nederland maar 8 unieke cijfers hebben kan ik iedere 'Nederlandse' hash brute-forcen op mijn rekenmachine in afzienbare tijd (even aangenomen dat het gekozen algoritme snel is).

[PizZa_CalZone]

Wacht effe... sta ik als non-WhatsApp gebruiker geregistreerd met met telefoonnummer op de servers van WhatsApp omdat mensen die mijn nummer in het telefoonboek van hun telefoon hebben staan dit uploaden naar de servers van WhatsApp?

En daarnaast hebben ze het gore lef gehad om dit niet gehashed op te slaan?

Tevens staat mijn wifi wachtwoord ook al in de microsoft cloud, omdat mensen met Windows 10 dit automagisch uploaden als ik ze eenmalig toegang heb gegeven.

Waar gaat het heen met deze wereld? Moet ik nu eisen gaan stellen aan de software van mijn vrienden/familie/bekenden alvorens ik ze een telefoonnummer uitdeel?

[Reactie gewijzigd door PizZa_CalZone op 22 juli 2024 20:37]

[Maurits van Baerle]

Dat klopt. Daarom heeft Google bijvoorbeeld onder vuur gelegen voor het indexen van emails in Gmail. Je kunt wel betogen dat iedereen die een GMail account aanmaakt akkoord gaat met het indexeren maar de mail van iemand zonder GMail account die een mailtje stuurt naar iemand met een GMail wordt ook geindexeerd. En daar is nooit toestemming voor gegeven.

Voor een soortgelijk probleem heeft Facebook onder vuur gelegen. Met die 'Social Buttons' ('Like deze pagina op Facebook' etc.) volgt FB de bezoekers van een site. Ook bezoekers zonder FB account die op zo'n pagina terecht komen en dus nergens toestemming voor hebben hoeven geven.

Helaas komt het er op neer dat je er als individu weinig tegen kunt doen. Je zult het moeten hebben van clubs als het Europees Parlement (Safe Harbour) of het CBP (dit zonder toestemming uploaden van contact gegevens) om jouw belangen te behartigen.

[Aardwolf]

Helaas komt het er op neer dat je er als individu weinig tegen kunt doen.

Nou helemaal niets eraan kunt doen klopt ook niet. Neutraal zijn (passief) of roepend "er valt niks meer aan te doen en ga maar in een hut op de hei wonen", gaat simpelweg niets helpen. Je kan bijv. gewoon zeggen dat je het er niet mee eens bent... hoe meer mensen dat zeggen hoe meer dit opvalt en dat instanties/media dit oppikken, bijv. BOF, CBP, etc. En bij het CBP bijvoorbeeld kan iedereen zijn melding doen.

[Reactie gewijzigd door Aardwolf op 22 juli 2024 20:37]

[Maurits van Baerle]

Oh ja, helemaal mee eens natuurlijk. Laten zien dat je dit belangrijk vindt heeft zeker nut. En behalve Bits Of Freedom and CBP heeft het ook zin om het de Europarlementariër waar je vorig jaar op hebt gestemd te laten weten. Er is nu een Europees momentum bezig waarin er steeds meer vragen worden gesteld bij de Amerikaanse manier van omgaan met privacy. Zoek jouw MEP-er op en laat hem of haar weten wat je er van denkt. Dat helpt ze enorm bij hun werk, ze zitten in het EP om jou te vertegenwoordigen.

[RebelwaClue]

Daarom blokkeer ik ook dit soort trackers (zoals de FB like button en de G+ button) met de nodige plugins. Als niet FB gebruiker heeft FB niks met mijn info te maken

[Aardwolf]

Zelfs als wel gebruiker is het onnodig vind ik. Via Ghostery laat ik die ook altijd overal blokkeren. Gelukkig is het met dergelijke plug-ins niet moeilijk gemaakt, je moet alleen even het bestaan ervan weten.

[thedicemaster]

wifi gegevens worden niet "automagisch" in de cloud gezet.
deze functie moet aan staan in de wifi instellingen, en daarnaast moet de gebruiker ook nog tijdens het aanmelden aangeven dit te willen delen.

[Pendora]

Maar als jij je wachtwoord geeft aan een vriend weet je niet of hij dit allemaal aan heeft gezet. Als hij dan weer bevriend is met je buurman kan hij ook weer gebruik maken van je WiFi. Gaat leuk worden met rechtszaken over downloaden van bestanden. Tevens wij weten wel hoe je dit kan voorkomen maar denk je nou echt dat Annie die een standaard Experia modem heeft en een standaard Windows 10 installatie weet dat dit überhaupt gebeurd?

[thedicemaster]

die vriend kan dan net zo goed die beveiligings code in een text bestandje op zijn dropbox plaatsen en deze delen.

per ongeluk gebeurt ook niet snel omdat het vinkje om te delen bij het aanmelden op een netwerk standaard uit staat, en onwetende mensen eerder op volgende klikken dan willekeurig vinkjes gaan klikken.

[Verwijderd]

per ongeluk gebeurt ook niet snel omdat het vinkje om te delen bij het aanmelden op een netwerk standaard uit staat, en onwetende mensen eerder op volgende klikken dan willekeurig vinkjes gaan klikken.

Bij mij kom je alleen het (gescheiden) gast-LAN op met Windows t/m 7.

[Jack Flushell]

Gefelicteerd!

[Verwijderd]

Gecondoleerd was gepaster geweest.

[Dorank]

Ik zou zeggen, ga even zitten er volgt wat schokkend nieuws voor je.


Al zou je geen enkel account hebben bij partijen als Facebook, Google, MS, Apple, enz... Dan nog hebben ze volledige NAW, geboortedatum, telefoonnummers, emailadressen op het moment dat er ook maar 1 persoon is die jouw gegevens in gevult heeft in zijn eigen adressenbestand.

En dat geldt niet alleen voor de "sociale" diensten, elke applicatie van een derde die geinstalleerd wordt en toegang heeft gekregen tot het adresboek heeft deze gegevens naar waarschijnlijkheid geplunderd en voor eeuwig bewaard bij deze derde partij.

[Aaargh!]

Tevens staat mijn wifi wachtwoord ook al in de microsoft cloud, omdat mensen met Windows 10 dit automagisch uploaden als ik ze eenmalig toegang heb gegeven.

Laat me raden:je gebruikt WPA2-PSK (1 password voor alle users). Stap over naar WPA2-Enterprise en laat je users inloggen met 802.1x , iedereen logt in met een username/password, dan kan je een tijdelijke user/pass aanmaken voor gasten. Als je het goed aanpakt zet je ze ook in een apart VLAN met alleen internet access.

[Reactie gewijzigd door Aaargh! op 22 juli 2024 20:37]

[SoundByte]

Dat wordt nu en in de toekomst dus een groot probleem. Althans dat kan. Als het geen jurudische of andere probleem vormt omdat een gebruiker er maling aan heeft. Dan 'all your data is still belongs to US just in case'. Zoiets.

[innerchild]

En dan hebben we het nog niet eens over facebook. Daar kunnen apps van je vrienden al jouw persoonlijke data opvragen omdat in de overeenkomst vaak staat dat ze 'root' mogen worden...
Zit je dan op facebook je eigen zoveel mogelijk te beschermen en ondertussen komen ze via de zijdeur van de buren in je woning.. Alhoewel als je op facebook zit dat je er dan ook zelf om vraagt.

Social media is meer sharing media geworden...

[Armin]

Wacht effe... sta ik als non-WhatsApp gebruiker geregistreerd met met telefoonnummer op de servers van WhatsApp omdat mensen die mijn nummer in het telefoonboek van hun telefoon hebben staan dit uploaden naar de servers van WhatsApp?

En daarnaast hebben ze het gore lef gehad om dit niet gehashed op te slaan?

Nee, Watsapp hasde altijd al. Ik weet niet waar Tweakers dit vandaan haalde, maar het was al gehashed voor CBP begon met haar onderzoek. Het idee dat WatsApp ook maar iets aangepast heeft ivm wat gemopper van een tandeloze tijger uit Nederland (want niet of nauwelijks mogelijkheden tot aanpakken) is ook een godspe.

Men heeft ongetwijfedl wat vriendelijke brieven uitgewisseld, en oprecht ook geluisterd naar de kritiek van zo'n organisatie. Maar het hashen was al de praktijk. Anders dan bijvoorbeeld Viber die wél alles (in ieder geval tot voor kort) uploade.

Maar ja, geen hond in Nederland gebruikt Viber, dus weet de CBP het wellicht niet eens.

[sjongenelen]

góh. Hoe denk je dat e-mail spam werkt?

Ik snap alleen het gezeur over telefoonnummers niet. Ik ken letterlijk álle telefoonnummers van nederlands. ALLEMAAL! Sterker nog; jij ook! en de persoon naast mij ook !

Wat moet ik er mee? Ik kan 0201234567 bellen nu? en dan?

[Reactie gewijzigd door sjongenelen op 22 juli 2024 20:37]

[iAR]

Juist, jij kan er niets mee. Maar als er elders dat nummer gematched wordt, op Facebook en daaraan hangt een heel profiel dan is ineens wel bekend wie dat nummer is.

En daar hebben we geen zicht op. We weten niet wat er waar precies verzameld wordt. Als Whatsapp alleen sec het telefoonummer heeft opgeslagen is dat op zich niet erg maar je kunt je ook afvragen wat ze er precies mee moeten.

[sjongenelen]

En dus mijn vraag; en dan? Op dit moment wordt je telefonisch ook lastig gevallen voor reclame (minder dan eerst). Daarom is het bel-me-niet register in het leven geroepen...

Ik snap de mensen die roepen dat hun privacy wordt geschonden gewoon niet ..

[P_Tingen]

Nou, dan weten we bijvoorbeeld dat jij Persoon A, B en C in je kennissenkring hebt. Van die personen weten we ook weer wie zij in hun kennissenkring hebben en zo hebben we al weer wat meer informatie, namelijk vriendenkringen.

Heeee! Dat is leuk, want vrienden hebben vaak gedeelde interesses, dus als jij bevriend bent met Persoon A, B en C en we weten dat die alledrie nogal van activiteit X houden, dan is er een gerede kans dat jij ook van activiteit X houdt en dus kunnen we gericht op jou adverteren. En zolang activiteit X iets onschuldigs is, zeg wandelen op de hei, is er misschien niks aan de hand, maar stel nou eens dat die Persoon A, B en C worden geassocieerd met minder frisse activiteiten, dan kom jij misschien ook wel in de kijker, want als A,B en C er van houden en ze zijn jouw vrieden.....

De vraag is of je dat moet willen. En het kan het best zijn dat hett jou niet boeit, maar het is WEL een inbreuk op je privacy.

[HMC]

Inderdaad. En om het nog drastischer te brengen; wandelen in de hei kan in de toekomst wel eens tegen de wet verklaard worden. En dan sta je bekend als iemand die dat wel eens deed, en misschien nog wel nog steeds.

[sjongenelen]

Hoe is het gokken van gedeelde interesses _{(want de data is imo waardeloos -mijn telefoonkennissen hebben totaal niet dezelfde interesses)} dan een inbreuk op mijn privacy?

[iAR]

Zoals HMC zegt, als lopen op de hei ooit verboden wordt en aan jouw profiel hangt foutief dat jij dat graag deed dan zou dat een risico kunnen zijn voor jouw, zonder dat je dat weet.

En ik weet dat er veel als'sen in de zin zitten maar dat is juist het hele eieren eten: er is nóg geen gevaar maar dat kán wel komen.

[killercow]

T probleem is natuurlijk dat whats-app niet alleen mijn nummer heeft, maar ook al precies weet wie mijn vrienden zijn, en dat is een privacyinbreuk waar ik niet akkoord mee ben gegaan. Ik ben namelijk geen klant van whats-app en heb ze nooit gevraagd mijn gegevens in te zien, op te slaan en te gebruiken voor hun business.

Laat nu juist dat vriendennetwerk zo interessant geweest zijn voor de overnamen van whats-app. Dus tjah mijn privacy, en de jouwe waren met die van nog een paar miljoen mensen blijkbaar toch enkele miljarden waard.

[svenk91]

Om een ander perspectief te zoeken:

[perspectief]De privacybreuk moet je bij je vrienden zoeken, die hebben de data vrijwillig overgedragen aan Whatsapp. Als 50% van je vrienden op Facebook vrijwillig aan candy crush hun vriendenlijst overhandigt kan je de informatie van wie je vrienden zijn nog zo verborgen zetten, candy crush doet niets fout (de toestemming ervoor wordt duidelijk gevraagd en moet geaccepteerd worden door je vrienden), het zijn je vrienden die die data doorgeven.

Jouwn vrienden die vrolijk al hun data overdragen zijn zo Miljarden waard ja, leuk informantennetwerk.[/perspectief]

Zelf zie ik de waarheid een beetje in het midden, het is inderdaad de schuld van je vrienden (en van jou om ze te vertrouwen), maar de bedrijven zijn zeker niet zonder verantwoordelijkheid want ze bemoedigen 'persoonsspionage'.

Dit brengt ze zelfs in staat tot bedrijfsspionage, jouwn mobiele nummer deel je op je bedrijfspagina (compleet openbaar), en dankzij al jouwn bedrijfscontacten kan Whatsapp dit gevonden nummer koppelen aan dat nummer in de database die ze hebben via jouwn contacten. Nu weten ze toch een deel van je bedrijfsnetwerk wat best waardevolle informatie kan zijn.

[WhatsappHack]

Niet perse. Er zit geen naam of wat voor andere data gekoppeld aan die hash.
Ze weten niet wie jij bent. Maar uiteraard kunnen ze eventueel wel zien wie allemaal je vriendjes zijn: maar dat doen ze niet. De koppeling an sich vindt namelijk louter plaats op je toestel... Die hash staat maar eenmalig op de server.

[sjongenelen]

precies!

[iAR]

No offence, maar een Bel Me Niet Register heeft in deze discussie helemaal niets te maken. Dat gaat om gebruik van je telefoonnummer door commerciele partijen. Dit gaat om het opstellen en verzamelen van profielen. Dat houd je niet tegen met een registertje omdat het op de servers van advertentieplatvormen en app-makers gebeurd.

[mjl]

Ja maar zoals hierboven aangegeven.kunnen ze ook alle 899999999 mogelijke telefoonnummers (of misschien nog minder, er zitten wat meer restricties op de nummers dan alleen de 0 vooraf en minimaal een 1 op positie twee...) opslaan in de database en kan elke jan doedel deze matchen met andere gegevens.

Het enige wat ze kunnen doen is een netwerk maken van de connectiviteit van de nummers van wel whatsapp gebruikers. Leuke haarbal dataset maar verder weinig nuttig en waarschijnlijk slaan ze alleen netnummer op en niet de connectie waar ze die van hebben gekregen?

[Reactie gewijzigd door mjl op 22 juli 2024 20:37]

[bigbadbull]

Ik snap alleen het gezeur over telefoonnummers niet. Ik ken letterlijk álle telefoonnummers van nederlands. ALLEMAAL! Sterker nog; jij ook! en de persoon naast mij ook !

Wat moet ik er mee? Ik kan 0201234567 bellen nu? en dan?

duss jij slaat enkel de telefoonnummers op en voegt daar geen naam aan toe ?
buiten dat nummer hebben ze dus ook al een naam en als je dan nog eens de volledige naam er bijgezet het en het adres ....
tel maar op, ze weten dus direct meer dan het telnr alleen.
Daarbij willen Google MS, Steam nu ineens ook allemaal je nummer kennen onder het mom van 2factor authentication (ok dat werkt wel maar .... ).
eindjes aan elkaar knopen levert voor hen wel heeel veel op.

[RebelwaClue]

Zoals eerder vermeldt slaat WhatApp geen namen bij deze nummers op.

[LollieStick]

Stiekem bel je dan dus eigenlijk 0201234567

[mjl]

Altijd al benieuwd geweest of 0123456789 in gebruik is. Hoop het niet, vul dat regelmatig in als een nummer verplicht is maar ik niet in zie waarom een website deze nodig heeft...

[Tk55]

Ja, dat is natuurlijk hoe Whatsapp werkt. Het bekijkt dan van al je contacten of zij Whatsapp hebben. Helaas is er niet echt een fatsoenlijke andere mogelijkheid.

[kozue]

Die is er dus wel en staat ook al in het artikel: hashes gebruiken. Een hash is niet meer terug te vertalen naar de originele gegevens en is dus niet privacygevoelig. Iedere programmeur met een beetje verstand of ervaring weet wat een hash is en het is dus redelijk bespottelijk dat een veelgebruikte software als whatsapp er door privacyinstanties toe gedwongen moet worden om de privacy van niet-gebruikers te beschermen. Dat hadden ze vanaf het begin al moeten doen.

[eborn]

De grap is natuurlijk dat telefoonnummers maar een hele beperkte set gegevens zijn. Je kunt wel hashen, maar je maakt er binnen no-time een rainbow table van. Als je bij de hashes komt, dan kom je vaak ook bij de salt. Waarbij het de vraag is of er uberhaubt gesalt wordt.

[kozue]

Ja, daar heb je inderdaad gelijk in. Zo veel zal het dus misschien niet uitmaken. Maar mijn reactie was eigenlijk meer bedoeld als tegenspraak op de bewering van Tk55 dat er geen fatsoenlijke andere mogelijkheid is, want dat klopt gewoon niet.
Het is zelfs niet eens nodig de hashes op te slaan. In plaats van het telefoonboek van gebruikers uploaden en opslaan kunnen ze het ook omdraaien: alleen de telefoonnummers van gebruikers opslaan, en dan bij het installeren eenmalig de contactenlijst nalopen en koppellen wanneer er een match gevonden is. Daarvoor hoeven ze echt niet permanent op de server opgeslagen te worden.

[WhatsappHack]

en dan bij het installeren eenmalig de contactenlijst nalopen en koppellen wanneer er een match gevonden is.

Dat gaat hem niet worden natuurlijk, want de contactenlijst moet constant up to date gehouden worden; voor als iemand zijn account verwijderd; of juist als er iemand WhatsApp krijgt die dat voorheen niet had.

[kozue]

Waarom niet? Die problemen heb je met contactlijsten uploaden ook.
Als iemand een nieuwe contact invoert moet die (of de hele lijst) geupload worden. Dat kun je ook vervangen door een check of deze persoon whatsapp gebruikt.
Als een nieuwe gebruiker whatsapp installeert die jou in z'n lijst heeft wordt die vanzelf aan jouw lijst toegevoegd door een check aan zijn/haar kant.
En als iemand z'n account verwijderd verdwijnt de link tussen de 2 vanzelf mee toch?

Wat je zegt zijn alleen excuses om de huidige praktijken goed te praten, geen oplossing voor de privacyschending van niet-gebruikers. Maar gezien al je andere reacties hier die whatsapp goed in het licht proberen te zetten, terwijl het eigenlijk gewoon een datamining service is (en je naam ), heb ik eigenlijk het idee dat je voor whatsapp werkt, of een bedrijf dat er financieel gewin van heeft.

[WhatsappHack]

Nou nee, die problemen heb je niet per definitie.

Als een nieuwe gebruiker whatsapp installeert die jou in z'n lijst heeft wordt die vanzelf aan jouw lijst toegevoegd door een check aan zijn/haar kant.

Dan werkt het dus enkel als die persoon jou ook al in zijn/haar contactenlijst heeft. Als dat niet het geval is, krijg jij dus niet te zien dat je intussen ook met die persoon kan WhatsApp'en; wellicht kom je er nooit achter. En ga je dus toch een SMSje sturen of bellen met die persoon, of als het internationaal is neem je wellicht toch maar geen contact op.

De manier die je voor ogen hebt is gewoon ontzettend gebruiks onvriendelijk, terwijl met de huidige methode het systeem feilloos werkt, prima in elkaar zit en de privacy tot op zeer grote hoogte perfect waarborgt; wat het CBP ook beaamt.

Wat je zegt zijn alleen excuses om de huidige praktijken goed te praten, geen oplossing voor de privacyschending van niet-gebruikers.

Nee, de huidige praktijk zit gewoon prima in elkaar.
Smaken verschillen, maar jou methode is gewoon niet gebruiksvriendelijk en een halfbakken oplossing in vergelijking met de huidige situatie. Het is leuk verzonnen, maar in de praktijk werkt dat gewoon niet naar behoren.
No offense trouwens hoor! Ik snap je insteek, en dat is voor Tweakers wel leuk misschien; maar m'n oma moet er ook nog mee kunnen werken. Bij wijze van spreken.

Je moet ergens de balans maken tussen security en user-friendly; en dat heeft WhatsApp gewoon prima in orde...

Maar gezien al je andere reacties hier die whatsapp goed in het licht proberen te zetten, terwijl het eigenlijk gewoon een datamining service is (en je naam ), heb ik eigenlijk het idee dat je voor whatsapp werkt, of een bedrijf dat er financieel gewin van heeft.

Dus omdat ik positief ben over de implementatie, moet ik wel voor ze werken? Verzin eens iets origineels zeg.
Vind het eerlijk gezegd, met alle respect, enigszins triest als mensen het ergens niet mee eens zijn en dan maar gaan roepen "je zal wel voor ze werken". *zucht*
Nee, ik werk niet voor WhatsApp; noch een bedrijf dat er op een of andere wijze financieel gewin bij heeft. Ik werk voor mezelf.
M'n naam is nogal straight to the point. WhatsApp + Hack. Do the maths. Een nick die ik ooit gekozen heb toen ik me hier registreerde om me te mengen in een discussie die ik veroorzaakt had, mag je raden waar het om ging.

Er is geen sprake van privacy schending van niet gebruikers.
Dat is wat het CBP nu ook prima beaamt. Waarom zou je daar aan twijfelen?

Anyyywayy... Het is helemaal geen datamining dienst. Hoe kom je daarbij? Heb je er bronnen/bewijs voor?
Alles spreekt je daar namelijk in tegen:
1.) Privacy policy beschermt je tegen alle vormen van datamining, behalve geaggregeerde statistieken (die dus nooit een privacy inbreuk kunnen vormen)
2.) Alle privacy waakhonden die onderzoek hebben gedaan, zijn uiterst positief over WhatsApp; zo ook onze CBP en de Canadese overheid die samen het onderzoek uitvoerde.
3.) Ook raar, als ze zoveel dataminen dat ze intussen de boel steeds verder E2E aan het encrypten zijn... knappe jongen die dan kan minen.

Maar goed, dat ik die feiten opsom komt vast omdat ik miljarden verdien aan het promoten van WhatsApp ofzo.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 20:37]

[Skateman]

Blackberry Messenger! Veel beter, meer mogelijkheden en er zit een beter bedrijf achter.

[Verwijderd]

Wacht effe... sta ik als non-WhatsApp gebruiker geregistreerd met met telefoonnummer op de servers van WhatsApp omdat mensen die mijn nummer in het telefoonboek van hun telefoon hebben staan dit uploaden naar de servers van WhatsApp?

Het goede nieuws is dat het telefoonnummer toch niet van jou is maar van de provider. Weer een zorg minder :-)

[Geim]

"WhatsApp zou overigens bestrijden dat het CBP bevoegd is om te oordelen over de kwestie" Wat Wie is dan wel bevoegd om privacy schendingen aan te kaarten?

[Verwijderd]

Een stukje uit de T&C's van WhatsApp:
You agree that: (i) the WhatsApp Service shall be deemed solely based in California; (ii) the WhatsApp Service shall be deemed a passive server that does not give rise to personal jurisdiction over WhatsApp, either specific or general, in jurisdictions other than California; and (iii) that you agree to subject to the jurisdiction of California in the event of any legal dispute. These Terms of Service shall be governed by the internal substantive laws of the State of California, without respect to its conflict of laws principles. Any claim or dispute between you and WhatsApp that arises in whole or in part from the WhatsApp Service shall be decided exclusively by a court of competent jurisdiction located in Santa Clara County, California..

CBP heeft niets te vertellen in California, dus heeft WhatsApp wat dat betreft gelijk. Ze hebben ook geen Nederlandse vestiging. Bij "Contact" op hun website staat alleen een adres in California.

[TheGhostInc]

CBP heeft niets te vertellen in California, dus heeft WhatsApp wat dat betreft gelijk. Ze hebben ook geen Nederlandse vestiging. Bij "Contact" op hun website staat alleen een adres in California.

Je hebt helemaal gelijk. Dus stel dat het CBP een maatregel zou willen nemen, dan zullen ze 'iets' moeten doen waar ze wel iets over hebben te vertellen. En dan krijg je grofweg de volgende redenatie:
WhatsApp wordt verkocht in de App Store, dus vraag Google/Apple om de verkoop te staken, zo niet dan komt er een verkoopstop op de apparaten die inbreuk kunnen maken op de privacy van NL/EU burgers.

Zo ver komt het natuurlijk niet. Apple & Google hebben allebei een eigen 'messenger' (lees: concurrent) in het assortiment. Als WhatsApp iets 'illegaals' doet en er vanuit de EU een verzoek komt om WhatsApp te verwijderen, dan zijn Apple & Google niet te beroerd om hier gehoor aan te geven. Daarom heeft WhatsApp dus ook geluisterd naar het CPB.

[WhatsappHack]

Die autoriteit heeft het CBP helemaal niet, en bovendien zou dat nergens op slaan; immers is WhatsApp veel privacy vriendelijker dan tig andere apps die er op de markt zijn. Daar gaat het niet aan liggen. Dit was werkelijk *het enige* kritiek puntje dat het CBP had: die nummers die al gehashed opgeslagen werden. Ze hebben nu hun mening opeens veranderd, maar ale.

Die kunnen echt niet zomaar die apps laten verwijderen uit de App Store hoor... Daar komen dan eerst flink wat rechtszaken aan te pas. En dan nog gaat het wss niet lukken.

[TheGhostInc]

Die autoriteit heeft het CBP helemaal niet

CBP kan sowieso een dwangsom opleggen, maar uiteindelijk is hun doel privacy, niet boetes uitdelen.

WhatsApp wil niet aan 'de verkeerde' kant van de streep komen. Apple heeft ook al laten zien dat zij Apps verwijderen met minder aanleiding, daarvoor hoef je echt geen rechtszaak aan te spannen. En wat je vooral niet wilt als Apple, Google of WhatsApp dat de (EU) politiek er over na gaat denken, want voordat je het weet heb je een onwerkbare wet aan je broek hangen.

Autoriteit is niet alleen maar 'hoeveel stokken' je hebt om mee te slaan, het betekent ook dat je richting geeft aan het (publieke) debat. Andere Apps die op de markt zijn hebben dus nu ook een 'benchmark' en kunnen niet zomaar meer beweren dat 'ze het niet wisten'.

[WhatsappHack]

Ja en hoe willen ze die dwangsom gaan innen dan?
CBP heeft geen autoriteit over WhatsApp. WhatsApp heeft totaal geen presence in de EU op wat voor wijze dan ook, het is een 100% Amerikaans bedrijf die onder de Amerikaanse wet valt. Gebruikers gaan er ook mee akkoord dat ze weten dat dit de situatie is, en alle data ook op Amerikaanse servers verwerkt wordt; conform Amerikaanse regels.

Hoe wil het CBP dan een boete gaan uitdelen? Op welke grond willen ze die gaan innen van WhatsApp? Dat gaat hem niet worden.
Dat staat overigens ook beschreven in het artikel dat je linkt. Daar komt een jurist aan het woord die hetzelfde zegt als ik doe.

Maar dat terzijde, het vage is dus dat WhatsApp deze hashing al uitvoerde. Dat staat in het originele onderzoek van het CBP ism Canadese overheid. (Deze is overigens van de CBP website verwijderd: http://www.cbpweb.nl/Pages/pb_20130128-whatsapp.aspx Ik ben benieuwd waarom!)
Toen vond het CBP nog dat het weliswaar gehashed gebeurd, maar dat ze er niet blij mee zijn.

Nu is de situatie zo te zien voor geen meter veranderd, maar nu is het CBP opeens wel blij en beweren ze dat het "dankzij het CBP" aangepast is: maar het originele onderzoek stelt dat dit de situatie al was toen zij het aan het onderzoeken waren.

Snap je waarom ik echt geen reet meer begrijp van wat het CBP nou wil?
Dit hele gebeuren was al bekend, het werd al gehashed opgeslagen; en nu is opeens 't originele onderzoek ook pleite van de CBP website (staat gelukkig nog wel op de Canadese site) en zijn ze 180 graden van mening veranderd.
Ik snap hem niet meer.

WhatsApp voldeed al prima aan de wet, dat beweerden zij zelf 2 jaar gelden al; en nu is het CBP kennelijk van mening veranderd en vinden ze dat WhatsApp inderdaad gelijk had; maar presenteren ze dat alsof het dankzij hen komt.

[TheGhostInc]

Ja en hoe willen ze die dwangsom gaan innen dan?
CBP heeft geen autoriteit over WhatsApp. WhatsApp heeft totaal geen presence in de EU op wat voor wijze dan ook, het is een 100% Amerikaans bedrijf die onder de Amerikaanse wet valt. Gebruikers gaan er ook mee akkoord dat ze weten dat dit de situatie is, en alle data ook op Amerikaanse servers verwerkt wordt; conform Amerikaanse regels.

WhatsApp heeft geen presence, maar zonder internettoegang (in de EU) hebben ze ook business meer (in de EU). Het internet lijkt globaal, maar het is ook maar een hoopje netwerken en in Turkije laten ze zien wat er allemaal kan.

Als het CPB niet bij machte blijkt om een bedrijf als WhatsApp in het gareel te houden, dan zal eerder een uitzondering gemaakt gaan worden in de netneutraliteit dan dat de politiek zal accepteren dat buitenlandse bedrijven vogelvrij zijn. Binnen de EU zijn de regels al geharmoniseerd voor een eerlijker speelveld, het is een 'kleine moeite' om buitenlandse bedrijven te verplichten zich aan de EU regels te houden of anders het recht tot de markt te verbieden.

WhatsApp/Facebook/Google/Apple spelen een spel, waarbij zij ook weten wat de EU kan doen, Microsoft heeft in het verleden ook al een paar heel vervelende maatregelen langs zien komen en dat was in een tijd waarbij Microsoft onvervangbaar was... WhatsApp is dat duidelijk niet, helemaal niet als er een Frans of Duits bedrijf nog even klaagt bij de minister, al helemaal niet nu veel VS bedrijven amper belasting betalen.

Ps. Ik denk dat het CPB hun gezicht wat wilde redden, het lijkt erop dat WhatsApp 'hun best' heeft gedaan en zo kan CPB door naar het volgende dossier in plaats van bovenstaande ellende op de hals te halen.

[WhatsappHack]

WhatsApp heeft geen presence, maar zonder internettoegang (in de EU) hebben ze ook business meer (in de EU). Het internet lijkt globaal, maar het is ook maar een hoopje netwerken en in Turkije laten ze zien wat er allemaal kan.

Mja maar dat zal wel loslopen.
De dag dat ze een dienst als WhatsApp gaan blokkeren omdat het wat telefoonnummers in *gehashte* vorm opslaat, terwijl er blijkbaar nog duizenden kinderporno sites en dergelijken bestaan zou een politiek zeer zwarte dag zijn; en dan krijgen ze een *enorm* gelazer.

Dat werd al rustig steeds erger qua kritiek toen de pirate bay werd geblokkeerd, dat corporate hollywood kennelijk belangrijk genoeg was om een site met allerlei content (inclusief illegale, ja) te blokkeren; maar dat er sites met verkrachtingen, dierenmishandeling, kinderporno, terroristen, mensenhandel, et cetera nog prima toegankelijk waren.

Daarnaast is de privacy schending, als daar uberhaupt al sprake van is (kennelijk niet dus, aldus het CBP nu.), met een *gehasht* telefoonnummer zonder naam of wat voor andere informatie dan ook zo verschrikkelijk klein, dat het heel bizar zou zijn als ze daar werkelijk de toegang voor zouden blokkeren; als je even kijkt wat andere bedrijven allemaal verzamelen wat wel "kritiek" krijgt van het CBP: maar waar verder eigenlijk niets aan wordt gedaan.

Dan denk je toch niet dat ze WhatsApp werkelijk zouden zijn gaan blokkeren over zo iets bizar triviaals?

Als het CBP niet bij machte blijkt om een bedrijf als WhatsApp in het gareel te houden, dan zal eerder een uitzondering gemaakt gaan worden in de netneutraliteit dan dat de politiek zal accepteren dat buitenlandse bedrijven vogelvrij zijn. Binnen de EU zijn de regels al geharmoniseerd voor een eerlijker speelveld, het is een 'kleine moeite' om buitenlandse bedrijven te verplichten zich aan de EU regels te houden of anders het recht tot de markt te verbieden.

Man, dat zou echt de meest ironische en amuserende gebeurtenis in een lange tijd zijn als dat zou gebeuren.
Die hele net-neutraliteit in Nederland (en dus eigenlijk ook deels voor de EU) is begonnen met WhatsApp...
KPN wilde een chatheffing invoeren voor WhatsApp, en daar werd de NL overheid zo pissed van dat ze meteen die netneutraliteit gingen regelen.

En dan zou er nu een uitzondering voor WhatsApp gemaakt worden vanwege een super triviale "privacy" overtreding?
Ik denk dat dat niet zo snel zal loslopen, zeker gezien de overtreding al extreem klein was: en het CBP nu toegeeft dat het eigenlijk totaal geen probleem is... Maar goed, we waren dan ook hypothetisch bezig natuurlijk. Het CBP heeft gedreigd en gedreigd, WhatsApp hield vast dat hun policy prima in orde was en dat het CBP niets te klagen noch te zeggen had: en voila, nu opeens gaat het CBP daar mee akkoord (en zijn de relevante artikelen van hun site verdwenen zo te zien.).

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 20:37]

[Jerie]

WhatsApp heeft wel presence in de EU. Hun applicatie werkt in het Nederlands, en is dus gericht op de markt van de Benelux. Zo werkt het met aanpakken van goksites ook.

[WhatsappHack]

Dat de dienst bereikbaar is vanuit Nederland, en er een vertaling beschikbaar is in het Nederlands (die overigens door de Nederlandse community wordt verzorgd); wil niet zeggen dat ze zich specifiek op de BeNeLux richten. En dat is het hele probleem en de grijze waas met die internationale wetgevingen.

Ze accepteren voor betalingen bijvoorbeeld ook geen Nederlandse banken, enkel credit cards of PayPal. Er is geen iDeal of iets dergelijks. Ze vragen niet specifiek aan Nederlanders om de dienst te komen gebruiken. En een vertaling is niet per definitie "richten op een markt", dat zou een raar criteria zijn.

Er zitten gewoon erg veel haken en ogen aan.
Dat er *zeer* veel Nederlanders zijn die WhatsApp gebruiken, staat echter vast. De vraag is alleen hoe dat juridisch geinterpreteerd zou worden als het werkelijk ooit tot een zaak zou komen, en dat wordt relatief lastig.

[RaJitsu]

Ja en hoe willen ze die dwangsom gaan innen dan?

Is het niet mogelijk om lokaal gewoon apps niet meer toe te staan in de appstore? Bij Windows Phone kan dit sowieso wel en Opera Max werd eerst ook niet voor alle demografieën toegestaan op Android.

Dus dan zou ik zeggen, laten blokkeren en op die manier betaling afdwingen.

[thedicemaster]

zo'n T&C geldt alleen voor gebruikers.
CBP is geen whatsapp gebruiker, en hoeft zich er niet aan te houden.

[WhatsappHack]

Nee, maar de CBP is een Nederlandse organisatie; en WhatsApp is een 100% Amerikaans bedrijf. CBP heeft dus geen autoriteit over WhatsApp.

Het gaat er niet om waar het CBP zich aan hoeft te houden, maar waar de gebruiker akkoord mee gaat als ze WhatsApp gaan gebruiken. En over die voorwaarden heeft het CBP geen hol te zeggen... Al waren ze over het algemeen zeer tevreden over WhatsApp en hoe privacy vriendelijk het is. Dat zegt wel wat!

[uip]

... maar Whatsapp biedt wel diensten aan in België en Nederland...
Betekent dit dat elk bedrijf wereldwijd diensten kan leveren, zolang het in zijn land van vestiging de regels volgt? Verwacht je aan gokwebsites vanuit Macau, kindsexwebsites uit Rusland, torrentwebsites uit Zweden, munitiewinkels uit de States ...

[WhatsappHack]

Ze kunnen ervoor zorgen dat het *gebruik* van dit soort diensten illegaal is in Nederland (oa die kindersexwebsites zijn dat uiteraard al. Online gokken is een beetje een grijs gebied), en dat de gebruikers gestraft kunnen worden. Ook zouden ze de sites kunnen laten blokkeren; maar dat doen ze volgens mij niet voor de gokwebsites, niet voor de kindersexsites, ze hebben het wel geprobeerd voor de torrentsites (kan je nagaan waar prioriteiten liggen als kinderporno wel open blijft staan, en een torrent site niet...), et cetera.

WhatsApp biedt geen diensten aan *in* Belgie en Nederland. WhatsApp biedt de optie dat gebruikers uit die landen de dienst ook mogen gebruiken, en dan akkoord gaan met de voorwaarden plus verwerking conform Amerikaanse wetgeving. Als ik in Amerika ben en daar een stuk worst koop en daar blijkt iets mis mee te zijn, dan kan de Voedsel & waren autoriteit hier er ook geen donder voor me betekenen. Same here, dat een dienst via internet *beschikbaar* is in Nederland, wil niet zeggen dat de Nederlandse overheid er dan ook maar iets over te zeggen heeft. Hoogstens kunnen ze het gebruik van de dienst illegaal maken of de dienst blokkeren...
Munitiewinkels in de VS doen ook niets illegaals, en zijn ook gewoon vanaf hier te bezoeken. Ze zullen alleen nooit naar NL verschepen.

Anders zou elke site op het internet onder alle wetgevingen van alle landen vallen waar het in te bezoeken is, zo werkt het niet...

Either way, het CBP en de NL overheid in 't algemeen zou in die voorbeelden die jij noemt hoog en laag kunnen springen: zonder hulp van de overheid van de landen waar de dienst zich in bevind, kunnen ze er helemaal niets over zeggen. Geen boetes uitdelen. Niet forceren dat ze moeten stoppen, et cetera.
Daarom kan je enkel het gebruik van zo'n dienst illegaal maken, en dat is WhatsApp niet...

Je verwart hier dus twee zaken. Wat de overheid te zeggen heeft over Nederlandse inwoners (jij mag niet naar kindersex sites. Jij mag geen munitie kopen vanuit de states en hiernaartoe importeren, etc.) en wat de Nederlandse overheid voor autoriteit heeft om boetes uit te delen aan buitenlandse partijen.

Die eerste bevoegdheid hebben ze, die tweede niet. Het CBP en de NL overheid hebben nul komma nul zeggenschap over bedrijven op een ander continent onder andere wetgeving, en that's it...

[RaJitsu]

WhatsApp biedt geen diensten aan *in* Belgie en Nederland. WhatsApp biedt de optie dat gebruikers uit die landen de dienst ook mogen gebruiken, en dan akkoord gaan met de voorwaarden plus verwerking conform Amerikaanse wetgeving. Als ik in Amerika ben en daar een stuk worst koop en daar blijkt iets mis mee te zijn, dan kan de Voedsel & waren autoriteit hier er ook geen donder voor me betekenen.

Dit is natuurlijk een redenatie van likmevestje. Ten eerste bieden ze hun dienst wel degelijk in Nederland aan. Zo niet, dan moeten ze geen Nederlandse variant uitbrengen die Nederlandse nummers ondersteunt en bijv. ala de Amerikaanse varianten van HBO en Netflix het niet mogelijk maken om iig vanuit Nederland (zonder proxy oid) de dienst af te nemen.

Verder is het niet zo dat als jij een Amerikaans product afneemt, je gebonden bent aan de Amerikaanse wet of dat een aanbieder conform de Amerikaanse wet in een ander land zaken mag doen.

Je zegt zelf als dat Whatsapp wel degelijk aan de norm voldeed, waardoor het sowieso geen probleem was. Deden ze dit niet, dan werd die verandering wel degelijk aangebracht (als dat niet al gedaan was op basis van dergelijke klachten), of hun app gewoon teruggetrokken.

[WhatsappHack]

Okee, dus om een voorbeeld te pakken: als een website een Nederlandse vertaling aanbied (er wonen NLers over de hele wereld trouwens. In Afrika praten ze het ook in grote gebieden.), en je zo'n standaard registratieformuliertje hebt met alle landen van de wereld erin bij "country" en een optie om "+31" te kiezen op dat formulier; dan is de dienst/site opeens gericht op de Nederlandse markt?

Dus enkel als ze *geen* Nederlandse vertaling hebben *en* geen ondersteuning bieden om "+31" te kiezen, dan is het geen diensten aanbieden?

Nee, ze bieden het AAN Nederlanders aan ("jullie mogen een NL nummer gebruiken bij onze dienst, als je dat wil"), maar ze bieden het niet *IN* Nederland aan.
En dat is toch een verschil. Er zijn sowieso niet echt goede wetten om dit te regelen, alle weten met landsgrenzen en dergelijken zijn van voor het internet; en het internet laat die grenzen soms net iets te snel verdwijnen of vervagen. Hier idem dito. Er is gewoon niet op berekend.

Het voorbeeld dat je noemt van Netflix is echter wel een typisch voorbeeld van een bedrijf dat diensten *IN* Nederland aanbied:
- Nederlands kantoor, onder NL wetgeving
- Specifiek product gericht op de Nederlandse markt

WhatsApp is een *generiek* product, dat toevallig in alle landen gebruikt kan worden omdat je je eigen telefoonnummer mag gebruiken. Het heeft geen kantoren in Nederland en is *NIET* specifiek op de Nederlandse markt gericht.
Dat is een compleet andere situatie.

Verder is het niet zo dat als jij een Amerikaans product afneemt, je gebonden bent aan de Amerikaanse wet of dat een aanbieder conform de Amerikaanse wet in een ander land zaken mag doen.

Als ik een dienst afneem uit Amerika, bijvoorbeeld als ik een server oid koop van een Amerikaans bedrijf, dan valt dat allemaal onder Amerikaanse wetgeving (inclusief troep als DMCA en what not.)
Ook als ik de dienst vanuit Nederland kan gebruiken. Het interesseert ze *niets* wat de Nederlandse wet zegt. Als het bedrijf iets verkoopt qua dienst dat in Nederland illegaal is, dan ben *IK* strafbaar als ik het afneem; het bedrijf niet want die doen niets dat tegen de wet is; immers hebben ze hun internet presence gewoon vanuit Amerika op het WWW gezet en doen ze al hun zaken vanuit daar; dat ik vanuit NL hun site bezoek, en mogelijk iets doe wat tegen de NL wet is: dat zal hun een rotzorg zijn...

En dat is de hele pest van het internet.
Er is geen uniformiteit, er zijn geen vaste regels, grenzen zijn heel vaag; en er zijn extreem veel conflicterende wetgevingen, en ga zo maar door. Dat is ook waarom het CBP denkt te claimen dat ze zeggenschap hebben over WhatsApp, en WhatsApp op hun beurt weer meld dat het ze eigenlijk niets kan boeien wat het CBP precies vindt omdat het CBP totaal geen autoriteit heeft om WhatsApp iets te dwingen te doen; ze kunnen als maximum de dienst blokkeren: maar dat gaat echt nooit gebeuren...
En de app terugtrekken dus ook niet.

Je moet je even indenken dat er dus tig overheden zijn die allemaal zo hun eigen regels hebben qua dataopslag, verwerking van gegevens, et cetera. Die conflicteren nog al eens met elkaar, en het kan zelfs zo zijn dat als jij aan de wet van land 1 gaat voldoen; dat je dan conflicteert met de wet van land 2. Het is dus nooit goed. Vandaar dat over het algemeen wordt aangehouden dat je de wet volgt van het land waarvandaan de dienst wordt geleverd... En daar heeft het CBP dus bar weinig te zeggen.

[Reactie gewijzigd door WhatsappHack op 22 juli 2024 20:37]

[Milmoor]

Er is in Europa inmiddels aardig wat jurisprudentie dat als een dienst zich richt op de bewoners van een bepaald land, ze ook aan de regels van dat land moeten voldoen. Dit speelt oa bij een zaak van een Oostenrijker tegen Facebook.
Link is voor Ierland, degene die uitlegde dat de data autoriteit per land ook van belang is kan ik zo niet terugvinden: http://www.theregister.co...facebook_google_analysis/

[WhatsappHack]

Dat gaat over de safe-harbour voorziening, dat was (was ja) een regelgeving die ervoor zorgde dat Amerikaanse bedrijven toch data van EU personen mochten verwerken op eigen continent, mits er aan een paar regeltjes werd voldaan. Een rechter heeft daar een streep doorgehaald.

Wél was er een zaak tussen Facebook en België. Facebook's EU hoofdkantoor zit in Ierland, dus Facebook wil zich aan de Ierse wet houden en is dat ook verplicht. Maar België vond dat ze ook aan de Belgische wet moesten gaan voldoen. En daar ontstond een probleem:
Als Facebook iets moet doen van Belgie, wat niet mag in Ierland; of vice-versa: dan is Facebook *altijd* de l*l, en is er met geen mogelijkheid te voldoen aan de wetgeving; dan zijn ze of in 't ene land, of in 't andere de sjaak; en moeten ze ergens alle gebruikers dan maar gaan weren.

Facebook vond dat, terecht naar mijn mening, nergens op slaan.
Dat geheibel loopt nu nog steeds, en laat destemeer weer zien dat er, als ze die hele EU toko perse overeind willen houden (wat de landen zelf kennelijk, helaas, graag willen), gewoon uniforme wetgeving komt mbt privacy en dataverwerking die voor de gehele EU geld; in plaats van opeens weer allerlei regeltjes per land en mogelijk conflicterende wetgeving.

Echter, Facebook heeft een presence in Europa. Hoofdkantoor Ierland. Google heeft ook kantoren in Nederland.
... WhatsApp echter, die heeft dat niet en is 100% een Amerikaanse dienst, die generiek beschikbaar is over de gehele wereld; en ja: ook Nederlanders mogen er gebruik van maken, maar er wordt niet specifiek op Nederlanders gericht. Het hele karakter van WhatsApp is dan ook internationaal. En daar is de wetgeving *nog* vager over, zeker omdat de EU eigenlijk niets te zeggen heeft over bedrijven die enkel in de US of A zitten... En al helemaal als slechts 1 lidstaat gaat zitten mekkeren dat het ze niet veel zal boeien, doch zullen zij goede suggesties natuurlijk altijd overwegen.

[mashell]

Vandaar dat over het algemeen wordt aangehouden dat je de wet volgt van het land waarvandaan de dienst wordt geleverd...
Niet waarvandaan maar waaraan! Als je een website in het Nederlands maakt die klanten uit Nederland laat kopen en artikelen naar Nederland verzend, dan heb je gewoon aan de Nederlandse wetgeving te voldoen ook als je de site in Congo host. Heb je daar geen zin in, of conflicteert de Nederlandse wet met die in Congo? Dan lever je gewoon niet aan Nederland. Net als er geen overkoepelende wet is, is er ook geen regel die zegt dat je met 1 website alle landen van de wereld moet kunnen bedienen.

[WhatsappHack]

Ja maar dan heb je het over export/import, dan kan de Douane het tegenhouden als het product (wapens/munitie, drugs, etc.) niet voldoet aan de lokale wetgeving. Hier hebben we het over een generieke dienst die toestaat dat er NL nummers worden gebruikt... Dat is een heel andere zaak.

De wetgeving is hier gewoon heel erg vaag over, en ik denk dat dat ook nog wel even zo blijft gezien veel landen bepaalde regels hebben waar ze aan vast houden, en weigeren compromissen te sluiten... Intussen blijft het een rotzooi. Zelfs binnen de EU is het een wirwar van leipe conflicterende regeltjes.

[RebelwaClue]

Dat iets in de voorwaarden van een bedrijf staat, maakt het nog niet rechtsgeldig. Ze kunnen dit wel leuk melden, maar als bv de Nederlandse wet er heel anders over denkt, hebben ze geen poot om op te staan. Niet dat het CBP nu perse bevoegd is of niet. Maar WhatsApp kan wel degelijk gesommeerd worden hashes te gebruiken en blijven ze in gebreke, komt de dienst te vervallen in Nederland bv.

[TWeaKLeGeND]

Een niet Nederlandse instantie gok ik zo.

[HMC]

Aankaarten en oordelen over zijn natuurlijk wel twee verschillende dingen.

[Simyager]

NSA die is de enige die het kan bewijzen.

[Reactie gewijzigd door Simyager op 22 juli 2024 20:37]

[SoundByte]

In principe jezelf als je de disclaimer maar leest. Maar wie doet dat nu telkens. Ik niet. Cbp is (heb ik gemerkt) ook maar een wassen neus. Het us een soort witwas bureau voor anti-privacy. Als je privacy issues opgeeft bij Cbp en dan redelijke maatregelen neemt (..). Dan zeggen zij ' ok'. En dan zit je goed. Niemand die er meer naar kraait. Zoiets als Nederlandse zorg authoriteiten. Ook zo'n poppenkast. Als zij zeggen dat het goed is 'dan is het goed'. Of zoals het ACM.

[Reactie gewijzigd door SoundByte op 22 juli 2024 20:37]

[cc12]

Grappig is dat de mensen die ik als WhatsApp contact heb, ook op FB te zien zijn als mogelijk personen die ik ken. Oftewel: er is verstrengeling tussen de database van WA en FB.

[WhatsappHack]

Er is absoluut geen verstrengeling tussen de database van WA en FB.
1.) Zo'n database aan de zijde van WhatsApp bestaat niet (geen prive koppeling)
2.) Facebook mag niet bij de data van WhatsApp komen, dus zelfs ALS er data op die wijze wordt opgeslagen mogen ze er niet bij.

Ik heb ze er ook een tijdje van verdacht dat het toch gebeurde ondanks dat het niet mag, maar kwam er achter dat Facebook zelf toegang had tot mijn contacten; en een deel van de contacten had gejat via Messenger; voordat ik dat van m'n toestel af had gesodemieterd.
Daarnaast is er op onverklaarbare wijze iets gebeurd waardoor mensen die ik op Google+/Google Hangouts heb veel hoger in m'n vrienden suggesties komen. (En die mensen heb ik *niet* op WhatsApp)

Facebook scant dus zelf je contacten af, op heel veel verschillende manieren.
Het is niet WhatsApp die dit aanbied.

[Dreamvoid]

Er hoeft ook maar 1 iemand te zijn die jouw nummer + naam in zijn contactenlijst heeft en Facebook/Whatsapp kent jouw naam/nummer koppeling.

[Reactie gewijzigd door Dreamvoid op 22 juli 2024 20:37]

[WhatsappHack]

Nou nee, want WhatsApp verstuurt geen namen mee... Enkel het nummer verlaat het toestel. Dus WhatsApp weet niet wie ik ben als ik geen WhatsApp gebruik. Als ik het wel gebruik weten ze het overigens ook pas werkelijk op het moment dat je betaald, maar kunnen ze in principe vaak al zien aan de "naam" die mensen kiezen voor pushberichten.

Facebook Messenger wel, daar heb je gelijk in; en de normale Facebook app probeert gegevens te linken aan de hand van telefoonnummers en e-mail adressen die mensen op hun profiel hebben opgegeven en in je contactenlijst staan. (Tot mijn verbazing soms ook enkel op naam. o0 Had een G+ contact die enkel met naam in m'n toestel was geimporteerd, en tik: vriendschapsvoorstel. Ze doorzoeken bij Facebook dus echt je gehele contactenboekje, en dat kan je iig op iOS niet uitschakelen voor zover ik kan zien.)

In het geval van WhatsApp is dat echter niet aan de orde.

[Dreamvoid]

Dat bedoel ik ook niet. Als iemand anders jouw nummer onder jouw naam heeft staan in zijn adresboek, dan kan elke service waarmee hij zijn contacten deelt (LinkedIn, Google, Skype, Facebook, etc etc etc) weten welke naam er achter dat telefoonnummer hangt. Daar heb je zelf geen invloed op.

Ook je telefoonprovider weet jouw nummer, je naam, en ziet dat jij verbinding legt met WhatsApp servers. Je telefoonfabrikant weet het ook, en de OS maker ook. Er zijn zo ontzettend veel manieren waarop mensen de combinatie telefoon/naam kunnen verzamelen.

[Reactie gewijzigd door Dreamvoid op 22 juli 2024 20:37]

[Aaargh!]

Ik denk dat Facebook die gegevens zelf verzameld. Ik heb zelf geen FB account maar kreeg wel eens een aantal aanmeld-mailtjes van iemand die het verkeerde mail address had gebruikt. Omdat ik gek werd van de spam heb ik 't account maar ff bevestigd, ingelogged en toen verwijderd. Ik schrok best wel van wat ik toen zag:

1) Account was in het Deens
2) Naam en andere gegevens kwamen op geen enkele manier overeen met mijn naam.
3) Facebook kwam met een hele lijst vrienden-suggesties, allemaal mensen die ik persoonlijk ken.

Dat FB dit weet, zonder dat ik daarvoor iets heb hoeven invullen, zonder dat ik ooit een FB account heb gehad, en op een account met een totaal andere naam, lokatie, taal, etc. is toch wel heel erg scary

Wat mij betreft mag FB gewoon keihard verboden worden. Thuis blokkeer ik 'm al in de firewall van m'n router, alle verkeer van/naar FB wordt onmiddellijk gedropt.

[Reactie gewijzigd door Aaargh! op 22 juli 2024 20:37]

[Qauters]

Dat is niet zo vreemd hoor. Minimaal één van je contactpersonen heeft ooit toestemming gegeven aan Facebook om contacten te zoeken via zijn/haar email. Op dat moment is jouw email (al dan niet gehasht) gelinkt aan die persoon of personen. Omdat ze buiten je email om niets tot weinig van je weten, is de taal / naam niet relevant.

De rest van de contacten wordt geïmpliceerd door allerlei algoritmes, denk aan gedeelde vrienden van de contactpersonen die jij kent.

Dit doet whatsapp dus exact hetzelfde, alleen dan met telefoonnummers. Overigens valt op whatsapp ook je Facebook profiel te koppelen en dan is het cirkeltje weer rond.

[rgjleclaire]

en je hebt geen facebook of facebook chat app op je telefoon?

[mae-t.net]

Ik niet, dus dat zal mogelijk aan een andere factor liggen.

[it0]

Volgens mij leest FB gewoon je contacten uit. Daarnaast is WA eigendom van FB,

[MsG]

Volgens mij leest de Facebook-app zelf ook je telefoonnummer uit en kun je tegenwoordig op Facebook het telefoonnummer invullen. Ik denk eerder dat Facebook dan kijkt naar wie je al wel als nummer in je telefoon hebt maar nog niet als FB-vrienden hebt.

[Schuurdeur]

Leuk, dat ze zeggen dat deze nu gehashed en ergens anders wordt opgeslagen.

Maar is het gewoon niet mogelijk om de niet gebruikers te "droppen" na dat je ze gescanned hebt?
Dan hoef je deze ook niet op te slaan lijkt me.

[diabolofan]

Omdat je dan contacten die zich na jou aanmelden niet meer kan herkennen, dan moet je ze alsnog weer uitlezen.

[koelpasta]

Wat is dat dan weer voor een fabeltje?
Er is nul reden om telefoonnummers van nietgebruikers op te slaan.
Het heeft pas zin om een telefoonnummer op te slaan als een nietgebruiker de app download en gaat gebruiken. Er is NUL reden om gegevens van nietgebruikers op te slaan.

Hun smoes was dat ze dat niet konden scheiden omdat het technisch niet mogelijk was. Maar nu kunnen ze die scheiding dus wel maken en zodoende de boel encrypten. Maar dat geeft nog geen enkele reden om die gegevens op te slaan.

Het is gewoon het zoveelste fabeltje dat wordt aangedragen om privacyschending goed te praten.

[.oisyn]

Je punt drie keer herhalen maakt het niet meer waar. Er is namelijk weldegelijk een reden, je wilt namelijk niet dat je telefoon elke keer dat jij Whatsapp opstart alle telefoonnummers waarvan nog geen Whatsapp-contact van bekend is worden geüpload naar de servers. En gezien de datalimieten die er nog altijd zijn op mobiel internet, en zeker in het buitenland met roamingkosten, denk ik dat de gebruikers nog altijd liever hebben dat die data maar 1 keer wordt geüpload ipv elke keer opnieuw.

[Verwijderd]

Kan mij jou datalimiet nou schelen, ik wil als niet-whatsapp/facebook gebruiker niet dat whatsapp/facebook gegevens over mij verzameld, simpel.

Dus, als ze dan een check op contacten doen moet dat nu (blijkbaar) met gehashte telefoonnummers, ik geloof best dat ze dat doen, maar die hashing functie hebben ze waarschijnlijk zelf gemaakt waardoor ze een hash gewoon terug kunnen rekenen naar telefoon nummer.

[.oisyn]

maar die hashing functie hebben ze waarschijnlijk zelf gemaakt waardoor ze een hash gewoon terug kunnen rekenen naar telefoon nummer.

Dat is gewoon populistisch onderbuikgewauwel. Je hebt geen enkel datapunt om die bewering te ondersteunen.

Maar goed, zoals ik al eerder zei, zelfs met fatsoenlijke hash functies is het een relatief koud kunstje om telefoonnummers terug te halen middels brute forcing, gezien de gelimiteerde hoeveelheid aan mogelijke telefoonnummers.

[batjes]

Nu nog uitvogelen hoe WA de boel hashed anders heb je ook weinig aan rainbow tables.

[WhatsappHack]

Maar wat is daar het werkelijke probleem nou mee?
Ik kan elk nummer op deze aardbol genereren en vervolgens een hash van maken. Dat duurt helemaal niet lang, je maakt tienduizenden van die combinaties aan per seconde als je wil.

En dan? Heb ik een lijstje met hashes van telefoonnummers.
Je naam wordt niet mee verstuurd, die blijft achter op de client van de gebruiker; het is dus werkelijk puur die hash. Ik kan daar persoonlijk niet zo wakker van liggen, maar dat kan per persoon verschillen natuurlijk.

[koelpasta]

Er is namelijk weldegelijk een reden, je wilt namelijk niet dat je telefoon elke keer dat jij Whatsapp opstart alle telefoonnummers waarvan nog geen Whatsapp-contact van bekend is worden geüpload naar de servers.

Eeh, wordt dat dan niet bekend op de servers zodra die mensen whatsapp installeren?
Met andere woorden, waarom moet whatsapp uberhaupt specifiek weten wie er NIET aan de whatsapp is? Om te kunnen communiceren heb je toch genoeg aan de informatie van wie er WEL allemaal op zitten?

Laten we wel wezen, er is geen enkele beperking om een systeem te bouwen dat niet afhankelijk is van specifieke informatie van wie er niet op de dienst is ingeschreven (het is technisch dus wel degelijk mogelijk, in tegenspraak tot wat whatsapp beweert). Het enige doel dat ik kan verzinnen om alle contacten binnen te hengelen en op te slaan is om de persoonlijke omgeving van telefoongebruikers te profileren.

Ik wordt er gewoon een beetje boos van dat het nu de normaalste zaak van de wereld schijnt te zijn om bewust privacy inbrekende software te schrijven (ik hoop dat je snapt dat iemands volledige contactenlijst veel geld waard is en enorm privacygevoelige informatie kan bevatten) en dat later uit te leggen met fabeltjes over dat het niet anders kan vanwege technische belemmeringen.

En om even terug te komen op het fabeltje dat alle contacten anders elke keer opnieuw moeten worden geupload. Waarom niet alleen de contact uploaden waarmee de gebruiker op dat moment wil communiceren? De service kan dan checken of de gebruiker bestaat (zich aan heeft gemeld bij de service) en kan de zender vertellen als dat niet zo is. Er is mijns inziens nog steeds geen geldge reden om alle contacten up te loaden en te bewaren.

[Reactie gewijzigd door koelpasta op 22 juli 2024 20:37]

[WhatsappHack]

En om even terug te komen op het fabeltje dat alle contacten anders elke keer opnieuw moeten worden geupload. Waarom niet alleen de contact uploaden waarmee de gebruiker op dat moment wil communiceren? De service kan dan checken of de gebruiker bestaat (zich aan heeft gemeld bij de service) en kan de zender vertellen als dat niet zo is. Er is mijns inziens nog steeds geen geldge reden om alle contacten up te loaden en te bewaren.

Omdat je een lijst hebt met contacten die je berichten kan sturen.
Dat is wel zo gebruiksvriendelijk. Anders kan je net zo goed met buddy lists gaan werken, en dat is nou precies totaal het tegenovergestelde van wat WhatsApp wilde: een makkelijk te gebruiken systeem waarbij enkel het telefoonnummer belangrijk is; een vervanging van SMS/MMS.

Je contactenlijst is dus automagisch je "buddy list", en WhatsApp laat vervolgens zien wie er opzitten. Als je dat elke keer moet checken krijg je een nogal omslachtig en vervelend systeem... Ik bedoel, ik neem aan dat je je wel voor kan stellen waarom dat irritant en zeer ongebruiksvriendelijk is; of heeft dat uitleg nodig?

[.oisyn]

Eeh, wordt dat dan niet bekend op de servers zodra die mensen whatsapp installeren?

Eeh, hoe krijgt een andere gebruiker die die nummers in zijn contactlijst heeft staan daar dan weet van? Dat kan alleen maar door elke keer als je de app opent met Whatsapp te communiceren: "Hey, ik heb van deze lijst contacten nog geen bijbehorend whatsapp account, controleer eens of ze misschien nu wel een account hebben geopend". Als je telefoon dat zou doen dan is dat feitelijk een nog veel groter veiligheidsrisico (hoe vaker de lijst verstuurd wordt, hoe groter de kans dat dat bericht wordt onderschept door kwaadwillenden). En als alle telefoons in de wereld dat continu doen, dan ontstaat er dus een hele backlog aan nummers die nog nagekeken moeten worden, en staan ze evenwel nog (tijdelijk) opgeslagen in het geheugen van de systemen.

Als ze gehasht worden verstuurd en opgeslagen dan heeft Whatsapp er weinig aan behalve dat ze kunnen opzoeken welke accounts erbij horen, en het scheelt jou een hoop dataverkeer.

En om even terug te komen op het fabeltje

Zucht...

Waarom niet alleen de contact uploaden waarmee de gebruiker op dat moment wil communiceren?

Ik weet niet of jij een vervent Whatsapp gebruiker bent, maar ik zou het nogal irritant vinden als ik niet van tevoren kan zien of een gebruiker over Whatsapp beschikt.

[Reactie gewijzigd door .oisyn op 22 juli 2024 20:37]

[koelpasta]

Eeh, hoe krijgt een andere gebruiker die die nummers in zijn contactlijst heeft staan daar dan weet van?

Eeh, door het aan de server te vragen mischien?
Wel eens van DNS gehoord? Is net zoiets. En daar staan ook niet alle IP adressen in waar geen dienst op draait, toch? En een DNS hoeft ook niet alle bij jou bekende IP adressen op te slurpen om te bepalen of jij een website kunt bezoeken, toch?

Jij wilt iets zeggen tegen een persoon, je stuurt DAN die (en alleen die) gegevens op, server hasht de info en kijkt of ie de hash van die persoon heeft staan, zo ja, dan ok aan zender om bericht te versturen, zo nee dan bericht aan zender dat user niet bekend is. Klaar.
Ok, mischien een lokaal caching mechanisme zodat als de persoon eenmaal bekend staat als gebruiker de telefoon dat niet meer hoeft te vragen aan de server. Als de ontvanger zich dan heeft afgemeld dan kan de server het bericht niet afleveren en vertelt de zender dat de persoon niet meer bestaat en de telefoon wist de cache voor die persoon.
En er is dus nog steeds geen reden om NIET gebruikers op te slaan.

Dat kan alleen maar door elke keer als je de app opent met Whatsapp te communiceren: "Hey, ik heb van deze lijst contacten nog geen bijbehorend whatsapp account, controleer eens of ze misschien nu wel een account hebben geopend".

Dat is niet zo. Het is zelfs raar om het zo te doen. Je hoeft alleen te kijken of de persoon waar je iets heen wilt sturen aangemeld is en wel op het moment dat je iets wilt versturen.
De server heeft in princiepe NOOIT informatie nodig over personen die NIET aangemeld zijn bij whatsapp. Het is dus een heel specifieke keuze geweest van de makers om het toch op die manier te doen.

Ik weet niet of jij een vervent Whatsapp gebruiker bent, maar ik zou het nogal irritant vinden als ik niet van tevoren kan zien of een gebruiker over Whatsapp beschikt.

Om die check (op wat voor manier dan ook) te doen heb je ALLEEN informatie nodig over de mensen die WEL aangemeld zijn. De rest die niet in dat lijstje staat is impliciet NIET aangemeld.
Vandaar, fabeltjes en smoesjes.
Er zijn betere mechanismen die ook nog eens niet zo privacyinvading zijn als wat whatsapp nu doet. Maar het doel is dus kennelijk om gegevens te verzamelen en niet om een zo optimaal mogelijke service te bieden.
Enne, wat is eigenlijk het verdienmodel van whatsapp? Of dacht je dat ze het uit hun eigen goedheid hosten ofzo? Zo werkt de wereld helaas niet...

[.oisyn]

Eeh, door het aan de server te vragen mischien?

Dan is het toch geen "fabeltje" dat die contacten elke keer naar de server gestuurd moeten worden? Misschien is het een terminologie-dingetje hoor, maar ik zie geen enkel verschil in "contactlijst uploaden" en "vragen aan server". In beide gevallen worden de gegevens geüpload. Dit staat natuurlijk los van het feit of die gegevens worden opgeslagen of niet.

Het is dus een heel specifieke keuze geweest van de makers om het toch op die manier te doen.

Het ging er ook niet om dat ze wel móeten, het ging erom dat jij liep rond te bazuinen dat er geen enkele reden voor was (keer 3) . Ik geef een reden, eentje waar ik met plezier gebruik van maak.

Om die check (op wat voor manier dan ook) te doen heb je ALLEEN informatie nodig over de mensen die WEL aangemeld zijn.

Tja, je kunt wel woorden in all caps blijven schrijven, maar je gaat daar weer eens volledig voorbij aan het punt dat ik in mijn eerste reactie al maakte. De discussie wordt een beetje moeizaam zo.

Laat ik het even samenvatten:
• Nee, het is niet van fundamenteel belang van de dienst om álle contactinformatie op de servers op te slaan.
• Het is potentieel onveilig om elke keer als jij de app opent alle contacten waarvan je telefoon nog geen bijbehorend whatsapp account van weet te uploaden naar de servers
• Het werkt onhandig als als gebruiker met de hand eerst de informatie moet opvragen of een contact inmiddels wel Whatsapp heeft. De usability is 10x beter als hij dat meteen kan zien
• Zolang je geen whatsapp gebruikt, ben je niets meer dan de hash van je nummer zonder verdere gegevens whatsoever. De inbreuk op de privacy van de non-Whatsapp gebruiker is dus zeer discutabel. Zo heb ik ook wat random nummers in mijn telefoon staan. Het zijn geen telefoonnummers, maar mijn telefoon weet niet beter en het zouden wel valide nummers kunnen zijn. Maak ik nou inbreuk op de privacy van de personen achter die nummers, ookal weet ik bij god niet wie dat zijn?

En dit is mijn laatste woord.

[Reactie gewijzigd door .oisyn op 22 juli 2024 20:37]

[koelpasta]

• Het is potentieel onveilig om elke keer als jij de app opent alle contacten waarvan je telefoon nog geen bijbehorend whatsapp account van weet te uploaden naar de servers

Het is ook potentieel gevaarlijk om die contacten ergens centraal op een server te plaatsen zoals het tot nu toe ging.

• Het werkt onhandig als als gebruiker met de hand eerst de informatie moet opvragen of een contact inmiddels wel Whatsapp heeft. De usability is 10x beter als hij dat meteen kan zien

Vraag jij bij het bezoeken van een website ook met de hand op wat het ip adres is van de site die je wilt bezoeken? Ik namelijk ook niet.
Als gebruiker zou je gewoon kunnen sturen en kijken of de servers er iets mee kunnen. Ik denk dat de usability dan niet 10x minder wordt.

Zolang je geen whatsapp gebruikt, ben je niets meer dan de hash van je nummer zonder verdere gegevens whatsoever.

En zolang hetzelfde nummer altijd dezelfde hash krijgt dan valt daaruit een hele kaart van sociale banden te maken. Die hash is dan alsnog een unieke identifier die iets zegt over de sociale kringen van de gebruiker.

Maak ik nou inbreuk op de privacy van de personen achter die nummers, ookal weet ik bij god niet wie dat zijn?

Heb jij die nummers uit de contactendatabase van iemand anders zn telefoon geplukt? Bevatten die random nummers dezelfde sociale netwerk-informatie als de echte nummers in jouw telefoon?
Volgens mij maak je met die random nummers dus in geen enkel opzicht inbreuk op iemands privacy. Dat is waarom je ze ook random noemt.
Maar de normale contacten in je telefoon zijn verre van random. Ze bevatten op zich allerlei soorten informatie (zoals een link tussen naam en telefoonnummer) en impliceren nog veel meer informatie als je ze in context bekijkt.

[robvanwijk]

Eeh, hoe krijgt een andere gebruiker die die nummers in zijn contactlijst heeft staan daar dan weet van? Dat kan alleen maar door elke keer als je de app opent met Whatsapp te communiceren: "Hey, ik heb van deze lijst contacten nog geen bijbehorend whatsapp account, controleer eens of ze misschien nu wel een account hebben geopend".

Dat is helemaal niet de enige manier, enkele alternatieven:

• Timeout:
  Elke week (ofzo) alle onbekende contacten proberen op te vragen.
• Laat het aan de gebruiker over:
  Maak een knop "hele adresboek controleren" (die knop laat je bij een nieuwe installatie natuurlijk in felle kleuren, groot, midden in beeld zien).
• Laat het aan de andere kant over:
  Jantje heeft al Whatsapp, Pietje nog niet. De telefoon van Jantje heeft ooit opgrevraagd dat Pietje toen geen Whatsapp had en onthoud dat. In plaats van neurotisch continue bij de server te zeuren "heeft Pietje al een account gemaakt?", kun je ook gewoon wachten tot Pietje een account aanmaakt, dan meteen ziet dat Jantje al een account heeft en een bericht stuurt.

(Bovenstaande methoden kunnen natuurlijk ook gecombineerd worden.)

Als ze gehasht worden verstuurd en opgeslagen dan heeft Whatsapp er weinig aan behalve dat ze kunnen opzoeken welke accounts erbij horen, en het scheelt jou een hoop dataverkeer.

Wat heeft hashen met dataverkeer te maken? Van hashen wordt een telefoonnummer niet korter en waarschijnlijk zelfs langer! Een aanzienlijk percentage van alle telefoonnummers is bij Whatsapp bekend, dus als je een hash gebruikt die even lang is als een telefoonnummer, dan ga je heel veel collisions (en dus: false positives) krijgen.
Alle telefoonnummers waar wel een Whatsapp-account van bekend is kunnen uiteraard op de telefoon van de gebruiker gecached worden.
Hashen van telefoonnummers is sowieso zinloos trouwens; ze zijn maar acht cijfers lang (de "06" staat vast en telt dus niet mee), waardoor er slechts honderd miljoen mogelijkheden zijn; dat bruteforce je in seconden...

Ik weet niet of jij een vervent Whatsapp gebruiker bent, maar ik zou het nogal irritant vinden als ik niet van tevoren kan zien of een gebruiker over Whatsapp beschikt.

Maar dat is het punt helemaal niet; een losse gebruiker, on-demand checken (als de gebruiker ermee wil communiceren) is prima. Dat is echter een enorm verschil met continue, ongevraagd, het hele telefoonboek doorsturen. Of vind jij het "nogal irritant" als één van je vrienden een Whatsapp account aanmaakt en je daar niet meteen een seintje van krijgt (maar pas een dag later)?

[Dykam]

en zodoende de boel encrypten

Niks aan je punt aan te merken, maar wel dat er niks geencrypt wordt, maar gehashed. Wat overigens alleen maar beter is.

[.oisyn]

Nou ja, hashing heeft de nare eigenschap van pigeonholing, waar encryptie dat nou juist niet heeft - hash($telefoonnummer) is niet uniek, encrypt($telefoonnummer) wel. Die uniciteit is wel nodig om de persoon te zoeken die bij dat telefoonnummer hoort. Het one-way principe is met encryptie prima te hanteren - pak een public key variant en gooi de privé-sleutel weg. Dan kun je maar 1 kant op.

Maar goed, met de zeer gelimiteerde input space van telefoonnummers is het sowieso een beetje een zinloze aangelegenheid.

[Reactie gewijzigd door .oisyn op 22 juli 2024 20:37]

[ATS]

Dat kan natuurlijk wel, maar maar één kant op. Een nieuwe aanmelder zou op dat moment kunnen zien wie er nog meer WA heeft. Deze contactpersonen zouden dan een signaaltje kunnen krijgen van de nieuwe aanmelding. Wat dan niet werkt is een signaal bij iemand die de nieuwe aanmelder wel in de lijst heeft, maar niet andersom. Maar de vraag is of dat signaal überhaupt wenselijk is.

[demonic]

wat dacht je van anders gewoon dagelijks de contacten te checken? net zoals dat er dagelijks back-ups worden gemaakt?!

[Schuurdeur]

Klinkt logisch Diablofan.
Zo had ik er nog niet over na gedacht

[djpfaff]

Dat is ook nergens voor nodig, als ik een tekst bericht stuur, hoeft het nummer van de ontvanger toch ook niet in mijn telefoon te staan, die kan ik eenmalig invullen.
Ze zouden er ook voor kunnen kiezen, om eenzelfde implementatie te gebruiken, dat als je een berichtje stuurt, ze dan controleren, of het nummer gekoppeld is aan een whatsapp account, en als dat niet het geval is dit terugmelden, of eventueel een text berichtje sturen naar de ontvanger, met de melding dat ze een Whatsapp berichtje hebben, maar dit alleen kunnen lezen als ze ook Whatsapp installeren, of nog mooier, het berichtje omzetten naar text, en als zodanig versturen.
Of het zou kunnen, dat als een contact later de applicatie installeert, die app, automatisch een berichtje stuurt, naar iedereen in zijn contacten lijst, die al Whatsapp hebben, om die lijst up to date te maken, dan weet je ook meteen iedereen die jou in zijn contacten lijst heeft staan.
Al met al zijn er wel degelijk technische mogelijkheden om het te implementeren, zonder dat de nummers van niet gebruikers wordt opgeslagen.

[Muta]

"The technology isn't just here yet".

[Muta]

Whatsapp erkent het CBP niet (beetje pesten?) maar laat ze wel binnen? Volgens mij weten ze dondersgoed hoe het zit, maar zoeken ze de grenzen op.

[Armin]

Whatsapp erkent het CBP niet (beetje pesten?) maar laat ze wel binnen? Volgens mij weten ze dondersgoed hoe het zit, maar zoeken ze de grenzen op.

Ze erkennen het niet, maar nemen de suggesties wel serieus.

Overigens WhatsApps hasde altijd al, dus Tweakers heeft het hier volledig bij het verkeerde eind. Twee aanpassingen die wellicht wél gemaakt zijn naar aanleiding van kritiek van de Canadese CBP (met wie de NLse samenwerkte) waren de volgende:
- opt-out van status delen
- opt-out van je volledige adresboek delen en handmatig mensne toevoegen.

Nu was er ook van gebruikers al kritiek op deze zaken, dus het kan ook toeval zijn geweest.

Het hashen echter was al gaande alvorens men met het onderzoek ook maar begon.

[WhatsappHack]

Het is niet perse Tweakers die 't bij het verkeerde eind heeft, maar een persbericht van het CBP die helemaal nergens op slaat.
Zag net dat Olaf er al mee bezig was om te proberen te achterhalen waar dat persbericht opeens vandaan komt, want het klopt inderdaad niet.

[Verwijderd]

Oftewel de modi operandus van facebook.
Gelukkig zijn er tegenwoordig wel betere alternatieven.

[rgjleclaire]

modus operandi.

[iAR]

Natuurlijk! Maar dat doet toch iedereen? Facebook laat proefballontjes op en als er veel protest komt slikken ze de functie in om hem in 3 kleine stapjes alsnog uit te rollen. En inseens zeurt niemand meer. Het is een glijdende schaal.

[WhatsappHack]

WhatsApp heeft een joint-investigation van de Canadese en Nederlandse privacy waakhonden volledige medewerking gegeven. Niet omdat ze perse hun autoriteit erkennen, maar omdat ze gewoon input wilde hebben en overtuigd waren dat ze goed bezig waren op privacy gebied.
En dat pakte deels ook zeer goed uit, want de conclusie bedroeg in korte lijnen (en dit was in 2012/2013; toen WhatsApp nog stevig aan 't ontwikkelen was):
1.) WhatsApp bewaakt de privacy prima, en doen wat ze beloven conform privacy policy
2.) WhatsApp had slechte encryptie, maar heeft dit direct gewijzigd
3.) WhatsApp's automatische wachtwoord generatie methode voor accounts was te simpel te doorbreken, dit erkende ze en is direct aangepast
4.) WhatsApp verstuurd het contactenboek in hash formaat, weliswaar zonder persoonlijke data: maar toch worden alle nummers (in hash) verzonden. Dat vinden we niet leuk.

Punt 1, 2 en 3 waren positief voor WhatsApp; want dat zijn twee overheden die zeggen dat WhatsApp zich perfect aan de regeltjes houdt qua privacy waarborging en ook voor de volle 100% doen wat ze beloven in hun privacy policy.
Dat is dus gewoon enorm lekkere marketing voor WhatsApp natuurlijk, dus natuurlijk laten ze van die privacy waakhonden binnen! Als je niets te verbergen hebt en werkelijk doet wat je beloofd, waarom zou je ze dan weigeren; ongeacht of ze wel of geen autoriteit hebben? Dat is gewoon goede PR.

Punt 4 echter, daar kon WhatsApp zich totaal niet in vinden. Veel gebruikers, waaronder ikzelf, konden zich daar ook niet in vinden dat het een probleem was.
... En nu kan het CBP zich opeens ook niet meer in hun eigen uitspraak vinden, en zegt nu dus opeens dat punt 4 helemaal geen probleem is. Heel leip.

Ik denk dus niet dat WhatsApp de grenzen aan het opzoeken is, dit punt interesseerde WhatsApp gewoon niets; en het artikel van het CBP is zo enorm raar dat niemand weet hoe ze er bijkomen dat WhatsApp dankzij hen opeens aan hashing is gaan doen; terwijl dat 3 jaar geleden al het geval was.

[Robbaman]

Geen idee wat het hashen van telefoonnummers precies oplevert, je weet immers hoe een nummer eruit ziet, dus een simpele https://en.wikipedia.org/wiki/Rainbow_table lijkt me voldoende om van elke hash precies te weten welk nummer het is...

[Keiichi]

Met een salt die hun alleen weten wordt het best lastig de juiste rainbow table te maken

[pvcholten]

Het zijn alleen maar nummers van 10 cijfers (of 12 met landcode), dan wordt een rainbow-table vrij simpel, als de salt bekend is.

[jerkitout]

edit: Ik dacht aan wachtwoorden, wat ik heb geschreven is niet waar voor als je iets zoals een telefoon nummer in een database wil opzoeken.

===

Nee, elke hash krijgt zijn eigen salt. Een rainbow table is onmogelijk.

Wel is waar dat elke individual salt + hash nog (relatief) snel kan worden gecrackt ivm weinig combinaties.

Als je voor een iemand hun telefoon nummer krakt, een je weet ook wie hun contacten zijn, dan kan je voor die contacten aannemen dat zij dezelfde landelijk code hebben, en zo kan kraak je snel een boel nummers in groepen.

Als je geen contact lijst heb, dan moet je ook alle landelijk combinaties proberen, wat het weer moeilijk maakt.

[Reactie gewijzigd door jerkitout op 22 juli 2024 20:37]

[.oisyn]

Nee, elke hash krijgt zijn eigen salt. Een rainbow table is onmogelijk.

Het is andersom: een salt is onmogelijk. Het is geen wachtwoord die je moet verifieren, de gebruiker moet wel vindbaar zijn. Als ik zoek naar de gebruiker met telefoonnummer 0123456789, dan kan ik bij gehashte nummers zoeken naar hash(0123456789), maar ik kan niet zoeken naar hash(0123456789 + user_specifieke_salt) omdat ik nog niet weet welke user erbij hoort. En dan moet je dus de hele database doorlopen om te kijken welke user dat nummer heeft.

[Reactie gewijzigd door .oisyn op 22 juli 2024 20:37]

[Robbaman]

Je hebt gelijk, ik haal wat dingen door elkaar. Zonder salt is het met een rainbow table een eitje, maar zelfs met salt is het door het relatief klein aantal combinaties nog steeds niet heel ingewikkeld om de boel terug te leiden tot het originele nummer lijkt me.

[Robbaman]

Dat zou je denken, maar dan moeten ze die salt toch ook nog ergens opslaan. Overal dezelfde salt gebruiken is juist weer een risico, dus ik vermoed dat ze dat niet zullen doen.

[jerkitout]

De salt wordt gewoon aan de hash gekoppeld in plaintext. De salt is niet bedoeld on geheim te zijn. En elke hash krijgt een andere salt.

[Reactie gewijzigd door jerkitout op 22 juli 2024 20:37]

[siepeltjuh]

De salt wordt gewoon aan de hash gekoppeld in plaintext. De salt is niet bedoeld on geheim te zijn. En elke hash krijgt een andere salt.

Dat kan alleen als je van twee traps salt gebruik maakt. één per hash die niet geheim is en als doel heeft een 'unieke' hash te leveren en één voor alle hashes die geheim is.

[.oisyn]

De salt wordt gewoon aan de hash gekoppeld in plaintext

Dat hoeft helemaal niet. Het gaat er idd om dat je de salt opslaat, maar dat hoeft niet per se in de resulterende hash te gebeuren. Kan ook gewoon in een aparte kolom in de database.

[Dykam]

Als elke hash zijn eigen salt heeft, dan is het nut van zo'n database een beetje weg, en dat is het opzoeken van details op basis van nummer. Dan moeten ze opeens door de hele database heen lopen en losse vergelijkingen doen, ipv. een index te kunnen gebruiken.

[.oisyn]

Rainbowtables zijn nochtans relatief nutteloos bij telefoonnummers van in NL maar maximaal 1 miljard verschillende combinaties (minder eigenlijk als je de ongebruikte ranges eruit filtert). Het is sneller om gewoon te brute forcen.

[Hatsieflatsie]

Ik vind het verrassend dat een internationaal georienteerde applicatie als Whatsapp luistert naar een klein clubje in Nederland.

[batjes]

Omdat als WA het negeert klopt dat kleine clubje aan bij de EU en daar zal WA weinig zin in hebben.

[mashell]

Nou ja. Het zijn natuurlijk zinvolle aanbevelingen. Die kun je natuurlijk ook gewoon net zo goed opvolgen.

[Chrotenise]

Op zich prima dat ze het aangepast hebben, alleen jammer dat ze dit niet direct zelf konden bedenken.

[Jasphur]

Zullen waarschijnlijk development kosten aan verbonden zijn voor Whatsapp. En zolang er niemand over "zeurt" hebben ze de kosten niet. En nu ze gecontroleerd zijn moeten ze wel.

Wel netjes dat ze een externe audit laten verrichten.

[Chrotenise]

Het in één keer maken kost minder dan externe audit door CPB + papiermolen eromheen + nog een keer een externe audit van 3e partij.

[Webgnome]

Het niet maken kost niks als het niet opvalt.. Dat is waar men op had gegokt waarschijnlijk.

[mae-t.net]

Of niet bij stilgestaan. Immers als ze niks met de gegevens doen schenden ze geen regels toch? In elk geval in een simpele gedachtengang...

[Verwijderd]

En dan word Whatsapp gehackt en ligt de database op straat. Toch beter om het gelijk goed te doen.

[Verwijderd]

Ik denk als je bij jou op je werk gaat rondkijken dat er ongetwijfeld ook heel veel zaken zijn waarvan je dat kunt zeggen.