Die key zou eigenlijk deterministisch moeten worden gegenereerd uit een password wat ik dan op meerdere apparaten kan intypen.
Maar inderdaad, dat is nu niet het geval, secret chats kan ik inderdaad niet op meerdere apparaten tegelijk lezen.
Dan kan enkel als je per gesprek een wachtwoord instelt, en de partij waarmee je communiceert dat wachtwoord ook kent. (Die moet het ook kunnen lezen natuurlijk, wel zo handig.
)
Als namelijk overal hetzelfde wachtwoord gebruikt zou worden, dan zou gesprekspartner A ook je secret-chats met gesprekspartner B kunnen lezen. Wat wel een optie zou zijn is om de keys te synchroniseren, maarja... Je private keys opslaan in een cloud waarvan je juist niet wilt dat de berichten uberhaupt gelezen kunnen worden klinkt een beetje tegenstrijdig natuurlijk, dus dat wordt hem ook niet.
... Een opzet als WhatsApp zou wel kunnen werken voor secret-chats.
Behalve de chats met een self-destruct timer natuurlijk, maarja: die hebben dan ook niet als doel om nog teruggelezen te kunnen worden.
Weet je niet.
Volgens een aantal instanties, waaronder het CPB, is dat het geval. (En die hebben maandenlang toegang gehad tot de servers tijdens een grootschalig onderzoek waar WhatsApp wel aan wilde meewerken)
Als WhatsApp het zegt (en legaal bindend met je overeenkomt), de FTC het wilt afdwingen met een miljardenboete boven het hoofd als het niet goed gaat, het CBP het bevestigd en toko's als de EFF stellen dat het klopt... Wie ben ik dan om er aan te twijfelen, puur en alleen omdat ik het niet met m'n eigen ogen kan zien?
Er is helaas wel meer dat je niet met je eigen ogen kan zien, maar toch algemeen bewezen is.
Natuurlijk beweren ze dat wel, maar het is closed source, dus niemand kan uitsluiten dat er een backdoor in zit. En zeker aangezien het een Amerikaans product is lijkt me dat een vrij reëel risico.
Mwah. De maker van de encryptie is eh... Nogal het principiele type en nogal een cryptografie genie, zegmaar.
Ik denk niet dat ie gaatjes gaat prikken in het condoom, zeker niet als zijn eigen reputatie en dat van zijn succesvolle bedrijf op het spel staat.
Waar het bedrijf zich bevind is niet zo relevant.
Immers is bewezen dat bijvoorbeeld de encryptie die Apple toepast op iPhone opslag ook inderdaad totaal niet te kraken valt. (iMessage trouwens wél geloof ik, ik dacht dat daar een master-key ingebouwd zit.)
Althans: tot nu toe is nooit aangetoond dat het wel kan, en er is niemand die er de afgelopen jaren ook maar iets van een backdoor in heeft gevonden. Tuurlijk, er kan een zero-day inzitten... Maar dat kan bij elke software, en daarom moet je je leven ook nooit laten afhangen van 1 laag encryptie. (Als je daarom encrypt. "Wat gaan we eten vanavond?" is iets minder gevoelig.)
'Mag niet' maar niemand kan het controleren. En 'mag niet' heeft in geval van regels die toch niemand 100% kan controleren, maar zelden een commercieel bedrijf tegengehouden om er geld uit te slaan.
Want de overheid heeft geen macht meer?
WhatsApp moet gewoon meewerken aan onderzoeken van de privacywaakhond in de VS (en die hebben al een paar keer behoorlijk ruzie gehad met Facebook, waardoor Facebook nog altijd "under probation" staat; wat inhoudt dat als ze nog één keer flink over de schreef gaan in x jaar tijd, ze zo'n gigantische boete krijgen dat het nog maar de vraag is of ze het kunnen overleven.) en ook de FTC heeft Facebook & WhatsApp gewaarschuwd om toch vooral zichzelf aan de ijzersterke policy van WhatsApp te houden, anders kan het zomaar eens zijn dat de gehele overname omgekeerd wordt.
Dan krijg je dus: Facebook geld kwijt. Facebook miljaren boete. WhatsApp waarschijnlijk stuk.
... Dat is niet een "ze doen het, want ze riskeren een miljoentje boete" meer. Anders was ik het geheel met je eens geweest.
En nogmaals, CBP heeft het ook gechecked. (Albeit, dat onderzoek is alweer een tijdje geleden; sure. Maar toen bleek wel al dat alles volgens de beloftes ging. Dat zegt ook wel wat. En ze werken nog steeds mee met het CBP.)
Ik had destijds begrepen dat het overnamebedrag meer dan $20 miljard was. Ik zoek even terug en lees nu $21,8 miljard. Waarom zou daar maar 4 van moeten worden terugverdiend? (kan best hoor, misschien mis ik iets)
Overigens, ook 4 miljard is best een aardige incentive om even wat 'regels' te buigen die uiteindelijk toch niemand kan afdwingen.
Ik denk dat 21,8 na correctie van de aandelenemissie is?
Enfin. Het verschil:
- Facebook heeft 4 miljard in cash betaald
- De rest is allemaal betaald via een aandelen emissie. Dat kost Facebook geen reet, en de aandeelhouders dokken alles via aandelen die opeens minder waard zijn. Echter, de koers steeg; en is sindsdien nog hoger geworden dan dat hij al stond.
Ergo: dat geld is eigenlijk alweer eh... Verdampt? Het heeft Facebook zelf in principe geen ene ruk gekost.
Derhalve komt het werkelijke overname bedrag neer op 4 miljard + een risico.
En het risico is: als de WhatsApp figuren opeens besluiten alle uitgegeven aandelen in 1 klap te verkopen tegen lage prijs, dan zou de koers kunnen zakken. En dan is het geld *wel* pleite.
Maar waarom zouden ze dat in godsnaam doen?
Wat maakt het uit wat een server doet als ik kan zien dat client side een secret chat wordt encrypted met public key waarvan de bijbehorende private key van de ontvanger diens apparaat niet verlaat.
Omdat in dit geval de server een MITM kan uitvoeren, en derhalve je secret-chats kan decrypten.
Zonder te zien wat de server draait, kan je er dan niet vanuitgaan dat dit niet gebeurt; zeg je zelf.
Wie zegt dat exact die source code gebruikt is om de feitelijke apps te produceren die iedereen op zijn telefoon heeft staan? En dus ook of die servers wel de enige zijn?
Ik gok dat de partijen die er onderzoek naar hebben gedaan, niet bepaald de eerste de beste idioten zijn die dat over het hoofd hebben gezien.
Maarja, als je het zo ver wil doortrekken kan je voor elke dienst, Telegram inclusief, je vraagtekens hierbij zetten. De compiled source in de Play Store hoeft namelijk niet per definitie hetzelfde te zijn als die in de open-source distributie.
Met als enige voordeel dat je wel zelf een client kan schrijven.
... Rest enkel die server nog waar je alsnog niets van weet. (Wat kennelijk een probleem is.)
Als WhatsApp overigens zo 100% veilig is, waarom dan nog die ophef over dat ze TextSecure gingen invoeren, wat naar wat ik begreep gefaseerd en slechts deels gebeurd is (ik geloof op 1 van de 2 iOS en Android?) en momenteel is er sprake van dat het Signal protocol er in komt? (maar ik geef direct toe: ik heb daar vluchtig het een en ander over gelezen maar ben niet exact op de hoogte)
Omdat die invoer betekende dat het end-to-end encrypted zou worden? Dat is natuurlijk een erg leuke toevoeging. Althans, dat vind ik. Wel zo prettig.
Waar je het eerder louter moest hebben van de policy, de onderzoeksresultaten, de overheden en wat waakhonden; komt daar nu nog de garantie op end-to-end encryptie bij.
En sure, daar zeg ik als kantekening absoluut bij: op het moment dat het klaar is.
Op dit moment is het dat inderdaad nog niet, en kan je de encryptie niet controleren; en heeft de server de mogelijkheid de client te dwingen encryptie uit te schakelen als een device incompatible blijkt. Als het geheel klaar is, kan dat wel; en kan de server niet meer forceren om de encryptie uit te schakelen. (En daar komt dan dus een sausje overheen waardoor je zelf kan controleren of het wel werkelijk encrypt is.)
Het klopt dus dat het gefaseerd gebeurt. Het klopt niet dat het enkel op Android en iOS werkt; en ook niet in beperkte mate. Android/iOS/WP/BB->BB/WP/iOS/Android (en vice versa) zijn allen encrypt. Voor zover ik begrepen heb pist enkel Symbian nog buiten de boot, en zijn groepsgesprekken nog niet 100% betrouwbaar encrypt.
Maar de meeste 1 op 1 gesprekken zijn intussen, cross-platform, encrypt.
TextSecure == Signal. In principe. Ze hebben enkel de naam gewijzigd, maar het project is in principe hetzelfde.
Het is ook meer "de encryptie technologie in TextSecure", dan dat het "TextSecure" is. Snap je?
TextSecure zit niet werkelijk ingebouwd in WhatsApp, de encryptie van TextSecure (axolotl) zit ingebouwd.
Zie ook:
https://github.com/Whispe...l-Android/wiki/ProtocolV2
Daar kan je ook zien dat op de Signal github, nog steeds zo'n beetje alles verwijst naar "TextSecure".
Maar ik vertrouw facebook gewoon voor geen cent. En ik vind het ook om andere redenen een kwalijk bedrijf, dus zelfs al zouden hun claims waar zijn (wat ik vooralsnog niet kan controleren) dan nog boycot ik ze liever. Maar dat is natuurlijk subjectief, de eerdere argumenten staan daar los van.
En dat is natuurlijk je goed recht.
Smaken en gevoelens zullen altijd verschillen, dat moge duidelijk zijn.
[Reactie gewijzigd door WhatsappHack op 25 juli 2024 17:26]
/i/2000969921.png?f=fpa)
:strip_exif()/i/1392884304.jpeg?f=fpa)
/i/1386053492.png?f=fpa)
/i/1392970851.png?f=fpa)
:strip_exif()/i/1395177615.jpeg?f=fpa)
:strip_icc():strip_exif()/u/114881/LinuxvsFreebsd2613.jpg?f=community){kind=small}
:strip_exif()/u/92989/av-74.gif?f=community){kind=small}
/u/407403/WAhack.png?f=community){kind=small}
Maar de meesten niet.)
:strip_exif()/u/47102/rr_icon_2.gif?f=community){kind=icon}
Waarom zou hij zijn reputatie, zijn principes en de enorm goede reputatie van zijn bedrijf overboord gooien of zwaar op de tocht zetten door een halfbakken encryptie in WhatsApp te zetten...? Geloof je dat werkelijk? 
Het argument "open source is altijd veilig, closed source nooit", is gewoon niet waar.
:strip_icc():strip_exif()/u/277895/crop5eda5f3273e75_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/226508/crop5bdc1d65f24c2_cropped.jpeg?f=community){kind=small}
/u/203113/crop577f890ab8646_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/206554/crop61824af93f9d0_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/416380/efeggeg.jpg?f=community){kind=small}
:strip_exif()/u/218071/crop56c86faf16f74_cropped.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/140051/BSOD.jpg?f=community){kind=small}
/u/606312/crop5686dc136697a_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/132250/d1ca484677dbb1382705e67689809639.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/364802/avatar60x60.jpg?f=community){kind=avatar}
:strip_exif()/u/505097/crop569fc8a07efd1.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/418610/crop57bbf79ba626a.jpeg?f=community){kind=small}
/u/589858/crop5e0b762f21d3c_cropped.png?f=community){kind=small}
/u/143137/crop5d1c4f96268ca_cropped.png?f=community){kind=small}
/u/36103/avatar_60.png?f=community){kind=avatar}
/u/359203/Untitled-1.png?f=community){kind=small}
:strip_icc():strip_exif()/u/351515/crop5c6d1bc75da6c_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/230744/crop570f80d4cad11_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/25212/crop5bb715b4827b7_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/20383/crop57de62db41c81.jpeg?f=community){kind=small}
.:strip_icc():strip_exif()/u/5634/crop616bfdd3d480f_cropped.jpg?f=community){kind=small}
:strip_exif()/u/15989/crop599c075fa7f03.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/125859/crop5f21ef3dcba6f.jpeg?f=community){kind=small}
:strip_exif()/u/56159/archer.gif?f=community){kind=small}
/u/16450/icon06.png?f=community){kind=small}
:strip_icc():strip_exif()/u/274331/fireball_icon.jpg?f=community){kind=icon}
:strip_icc():strip_exif()/u/46233/art_planet_60x60.jpg?f=community){kind=small}
/u/32673/crop60a226f7c0ff5.png?f=community){kind=small}
/u/12967/c5512929c5778c25c9da2378c7dbb01b.png?f=community){kind=small}
:strip_icc():strip_exif()/u/188216/logo%2520t.net%2520.jpg?f=community){kind=small}
/u/440501/crop575273352aa38_cropped.png?f=community){kind=small}
/u/331213/crop56ef13408ff38_cropped.png?f=community){kind=small}
:strip_exif()/u/356502/crop5b17f4bc39e72_cropped.gif?f=community){kind=small}
/u/468514/crop67a52a3ca0480_cropped.png?f=community){kind=small}
