WhatsApp is twee dagen onbruikbaar in Brazilië wegens rechterlijke uitspraak

De naar schatting 93 miljoen gebruikers van WhatsApp in Brazilië kunnen de applicatie donderdag en vrijdag niet gebruiken. Een rechter heeft besloten om de telecomproviders op te dragen WhatsApp te blokkeren om druk te zetten op het bedrijf.

De rechter wil door de blokkade WhatsApp ertoe dwingen informatie vrij te geven. De rechtbank had in een onderzoek om gegevens gevraagd die bepaalde gebruikers hadden uitgewisseld via de dienst, maar WhatsApp voldeed herhaaldelijk niet aan dat verzoek, schrijft de krant Folha de Sao Paulo. Om wat voor gegevens het gaat, is onbekend.

De blokkade duurt van woensdagnacht middernacht lokale tijd tot aan vrijdagnacht middernacht lokale tijd. In die tijd moeten providers WhatsApp in zijn geheel blokkeren. De applicatie heeft in Brazilië naar schatting meer dan 93 miljoen gebruikers, oftewel meer dan 90 procent van de bevolking die online is in het land. Daarmee is het met afstand de meestgebruikte tool.

WhatsApp-voorman Jan Koum reageert met teleurstelling op de blokkade. "We zijn teleurgesteld in de kortzichtige beslissing om toegang tot WhatsApp te blokkeren. Het is een communicatietool waar veel Brazilianen afhankelijk van zijn. Het is triest om te zien dat Brazilië zich isoleert van de rest van de wereld."

De chat-app heeft onder Braziliaanse providers geen vrienden gemaakt. Met de introductie van de belfunctie zien providers WhatsApp als 'provider zonder licentie' en de lobbygroep van providers dringt er bij de overheid op aan dat die strenge regels oplegt aan applicaties die voip gebruiken.

Reacties (176)

WhatsApp *kan* helemaal geen privé gegevens prijsgeven van haar gebruikers... Die verzamelen ze immers niet. Van een groot deel van de gebruikers weten ze niet eens wie het is.
En overheidsbemoeienis is nou precies waarom WhatsApp zo'n enorm sterkte encryptie heeft geactiveerd: daar wilden ze geen risico lopen, gewoon E2E inschakelen en zelfs als de overheid dan een tap wil hebben heeft het totaal geen zin dankzij de sterke encryptie van de berichten zelf.

WhatsApp slaat helemaal niets op op haar servers... Alle berichten worden meteen verwijderd zodra ze afgeleverd zijn. Hier worden nooit kopietjes van gemaakt op welke wijze dan ook.
En bijkomend groot probleem met dit soort zaken: het merendeel van de communicatie op WhatsApp is dus end-to-end encrypt tegenwoordig, waardoor WhatsApp niet kan meelezen zelfs als ze dit zouden willen. Ze zouden dus bijvoorbeeld wel kopietjes (tap) kunnen maken van de verzonden berichten en dit dan aan de Braziliaanse overheid geven: maar die kunnen er vervolgens geen hol mee omdat het enorm sterk encrypted is... Dat schiet natuurlijk ook niet op, dus geven ze gewoon netjes te kennen dat er überhaupt niet voldaan kan worden aan de verzoeken van de overheid.

De Braziliaanse overheid vind dat kennelijk niet zo tof, maar WhatsApp wil niet meewerken: en *kan* ook helemaal niet meewerken. Ze hebben die privé gegevens en communicatie niet.
Het enige dat WhatsApp wél heeft zijn (delen van) metadata... Maar als de Braziliaanse overheid weet dat 2 partijen met elkaar gecommuniceerd hebben via WhatsApp, ben ik benieuwd wat ze verder nog nodig hebben dan... Maar in principe zou WhatsApp daar aan kunnen voldoen, als het goed is.

Tot zover lijkt het er op dat WhatsApp terecht weigert mee te werken. Het beschermt de privacy van de gebruiker zo goed, dat het gewoon niet mee *kan* werken met diepgaande verzoeken om data op te hoesten. WhatsApp is geen telco, dus heeft geen verplichting om alle berichten van alle gebruikers te bewaren zoals Braziliaanse providers al het SMS verkeer moeten bewaren... Dit lijkt nu als drogreden te worden gebruikt om WhatsApp te blokkeren, want daar lobbyen, zoals het artikel ook al aangeeft, de Braziliaanse telco's *enorm* voor omdat de gratis VoIP functie in WhatsApp hun winst onder druk zet. (Nou en? Ga dan concurreren!!) Die willen WhatsApp heel graag geblokkeerd hebben, en dat lijkt ze nu gelukt te zijn met een heel bizarre reden...

Het blijft enigszins speculatie, maar als ik berichten van Februari dit jaar (toen werd ook gedreigd met een blokkade) zie waaruit ook bleek dat een eerdere zaak op dit gebied puur door lobby bleek te komen, terwijl ze al wisten dat WhatsApp onmogelijk mee kon werken met het verzochte onderzoek... Dan ruikt dit toch een beetje naar schandalig misbruik van de rechtelijke macht in Brazilië.

Het lijkt er dus niet op dat WhatsApp werkelijk geblokkeerd wordt omdat ze weigeren informatie te overhandigen die ze niet eens hebben, maar puur vanwege lobbygroepen van de telco's. o0
Best heel erg bizar eigenlijk. Dit zie je ook terug in heel veel reacties (gedeelde berichten met opmerkingen) van Brazilianen op Jan Koum's facebook... Als de Brazilianen zelf al denken aan machtsmisbruik, dan zit er toch echt een luchtje aan de hele zaak.

Maar goed. Ik ben benieuwd wat de werkelijk reden is voor de blokkade, en hoop voor de Brazilianen dat ze snel weer gebruik kunnen maken van WhatsApp. Iedereen moet veilig kunnen communiceren met een applicatie die je privacy respecteert, berichten zeer sterk encrypt en niet al je berichten opslaat.... Ook Brazilianen. Of de telco's dat nou leuk vinden omdat ze centen mislopen of niet.

Wel is het natuurlijk zo dat de overheid aldaar inderdaad kan beslissen WhatsApp te blokkeren als WhatsApp niet de gegevens verzamelt die de overheid in Brazilië verzameld willen zien... Dat is dan dus echter gewoon een Encryptieverbod! En dat zou nagenoeg nog veel en veel spijtiger zijn. En dan is het mooi om te zien dat WhatsApp hun poot stijf houden, en nog liever geblokkeerd worden dan dat ze hun encryptie en privacy policy overbood gooien... Waarvoor hulde.

[Reactie gewijzigd door WhatsappHack op 17 december 2015 06:56]

Het idee dat ze het niet kunnen is natuurlijk volledig misplaatst: Whatsapp kan prima hun app aanpassen zodat hij de gevraagde gegevens doorstuurt. Niet dat ik zeg dat ze dat zouden moeten doen, maar puur alleen dat end-to-end-encryptie op een meestal auto-updated (closed source) app heel erg weinig zegt. De data staat praktisch gewoon ergens waar WhatsApp bij kan en de data is (waarschijnlijk) niet verwijderd. Alles buiten dat om is praktisch alleen obsfuscatie vanuit WhatsApp en de overheid gezien. Beslissen om hierbij de wet te negeren is dan ook vooral gewoon een verrassende business keuze die blijkbaar het het waard is: Als ze dit wel hadden gedaan hadden ze mogelijk meer klanten wereldwijd verloren dan ze er door hadden behouden. Haalt allemaal natuurlijk niet weg dat ik persoonlijk blij ben met de keuzes die WhatsApp maakt, maar m'n punt is vooral dat je hier niet blind op moet vertrouwen (als de VS dit zou eisen dan vermoed ik dat WhatsApp heel anders zou reageren)

---

Volgens nu.nl om 16:40 is het verhaal trouwens compleet anders:

Aanleiding van de blokkade was het wegblijven van vertegenwoordigers van de dienst bij de rechter. Whatsapp werd eind juli door de rechter gesommeerd uitleg te geven in een strafrechterlijk onderzoek, maar niemand kwam opdagen. Er werd een nieuw gerechterlijk bevel uitgevaardigd voor 7 augustus, maar vertegenwoordigers van de dienst lieten ook toen niks weten.

Hoe dan ook, hij is dus opgeheven vervroegd.

[Reactie gewijzigd door David Mulder op 17 december 2015 17:17]

" Beslissen om hierbij de wet te negeren "

- er is geen wet die hen dwingt om ergens iets op te slaan.
- de data is end to end encrypted, dus bij whatsapp staat niets dat leesbaar is, tenzij je 400 jaar de tijd hebt.
- de enige manier om te hacken is n screenshot van de zendende of ontvangende partij.
- ook de VS heeft encrypted whatsapp, en ook de VS kan niet opeisen wat er niet is.

en verder: hoe meer hooi je verzamelt, hoe minder kans om de naald te vinden.

e2e encrypted volgens WhatsApp of volgens een onafhankelijk onderzoek?

Sinds Wikileaks en Snowden vertrouw ik geen app of service meer en verzorg ik zelf voor de encryptie voordat ik een bericht verstuur of iets opsla in een cloud service.

[Reactie gewijzigd door Dr. Prozac op 17 december 2015 15:55]

e2e encrypted volgens WhatsApp of volgens een onafhankelijk onderzoek?

Enkel volgens onafhankelijk onderzoek en externe bronnen.
Volgens WhatsApp zelf bestaat de hele functie niet... Die weigeren om erover te spreken totdat het klaar is.

Het gaat ook niet om een wetten die hun dwingen om bepaalde zaken op te slaan.

Nu heb ik geen flauw idee waarover die rechtzaak ging (media hebben het er zowel over dat het om een strafzaak die drugsgerelateerd is, als om een strafzaak rondom seksueel misbruik als een betwisting in een zaak die is aangespannen door telecombedrijven).

Punt is hier niet dat WhatsApp om gegevens grvraagd heb die ze niet voorhanden hebben, maar dat ze niet verschijnen voor de rechtbank, terwijl ze daar al meermaals toe gesommeerd zijn.

Zo gaat het toch wel degelijk om meerdere feiten waar ze de wet/de rechtbank naast zich neerleggen. En los van alle privacy- en encryptietoestanden, het is WhatsApp vrij om het niet eens te zijn met de Braziliaanse regelgeving. De consequentie daarvan is echter niet dat je je dan maar boven de wet moet stellen, biljf er dan weg.

- er is geen wet die hen dwingt om ergens iets op te slaan.

Mogelijk is er geen wet die hun dwingt het op te slaan, maar nu het is opgeslagen kan een rechter ze wel dwingen het af te staan.

- de data is end to end encrypted, dus bij whatsapp staat niets dat leesbaar is, tenzij je 400 jaar de tijd hebt.

Maar WhatsApp kan wel gewoon bij de data die op jouw mobiel staat, dat is nou net het hele punt.

- de enige manier om te hacken is n screenshot van de zendende of ontvangende partij.

Waar heb je het over...?

- ook de VS heeft encrypted whatsapp, en ook de VS kan niet opeisen wat er niet is.

Je kunt het encrypten zoveel je wilt, maar als je bij het wachtwoord kunt (wat je kunt, omdat je die gewoon kunt intercepten lokaal en naar jezelf opsturen). Natuurlijk als alle gebruikers auto update uit zetten dan word het een heel ander verhaal, maar goed, dan loop je natuurlijk er tegen aan dat iedereen met beveiligingslekken blijft zitten.

En dat alles gaat er natuurlijk nog van uit dat er niet reeds een backdoor in zit... deze keer vroeg de rechter het publiek, dus WhatsApp kon het moeilijk stiekem geven, maar wie weet hoe dat er uit ziet bij de VS waar je het juist geheim moet houden. Let wel, ik zeg NIET dat dit het geval is, alles wat ik zeg is dat je je geen onjuist gevoel van veiligheid moet aanpraten.

Mogelijk is er geen wet die hun dwingt het op te slaan, maar nu het is opgeslagen kan een rechter ze wel dwingen het af te staan.

Maar het is niet opgeslagen, dat is het hele probleem.

Maar WhatsApp kan wel gewoon bij de data die op jouw mobiel staat, dat is nou net het hele punt.

Huh?
Hoe kom je daar nou bij?

Daar zouden ze misschien bij kunnen als ze de app compleet zouden ombouwen ja, maar het lijkt me stug dat ze zo'n backdoor zouden inbouwen. Als je daar voor vreest moet je meteen je telefoon het raam uit knikkeren, want dan moet je er vanuitgaan dat elke app maker, en de telefoon fabrikant, constant door jou data heen zit te wroeten en het ophaalt uit je telefoon.

En dat alles gaat er natuurlijk nog van uit dat er niet reeds een backdoor in zit... deze keer vroeg de rechter het publiek, dus WhatsApp kon het moeilijk stiekem geven, maar wie weet hoe dat er uit ziet bij de VS waar je het juist geheim moet houden. Let wel, ik zeg NIET dat dit het geval is, alles wat ik zeg is dat je je geen onjuist gevoel van veiligheid moet aanpraten.

Nee, dat moet je niet; maar je moet ook geen insinuaties maken over zaken die je niet kan waarmaken en die volgens alle bronnen en instanties die audits hebben gedaan niet zo blijken te zijn...

Je moet je niet over-confident veilig wanen, maar je moet natuurlijk ook geen beschuldigingen uiten die niet correct zijn; of op z'n minst waarvan alles in de richting wijst dat ze niet correct zijn.

Ten eerste is het wel degelijk opgeslagen. Ik weet niet waarom je stelt van niet, want dat het niet lokaal bij whatsapp staat betekend geenszins dat het niet opgeslagen is. En je hoeft een applicatie ook niet compleet om te bouwen om bij die data te kunnen, een extreem kleine update zou al genoeg zijn. Maar goed, het gaat gewoon om een heel praktisch is: WhatsApp kan er bij zonder iets illegaals daarvoor te moeten doen en een overheid kan eisen dat WhatsApp dat doet... Wie ben ik dan om te beweren dat ze dat niet hebben gedaan. Een audit checkt of een applicatie theoretisch solide is en of er onbedoelde security bugs in zitten, maar die zal nooit een bedoelde backdoor vinden. Kijk, als programmeur ben ik al een paar jaar aan het brainstormen over hoe dit dilemma het best kan worden opgelost en met open source zijn er... interessante oplossingen te bedenken, maar met een closed source oplossing die gemaakt is door een publiek bedrijf wat aan de wet moet voldoen... Ja, nee, dan is het altijd een spel van balansen.

Aan de ene kant zegt Whatsapp dat ze helemaal niets van je bewaren, aan de andere kant klopt dat niet. Als ik bv een plaatje van iemand ontvang, welke ik via Whatsapp forward dan wordt deze NIET vanaf mijn telefoon geforward maar vanaf de server van Whatsapp (probeer het maar eens met een groot filmpje, dan weet je wat ik bedoel). Hiermee bewijs je volgens mij dat ze wel degelijk iets bewaren, terwijl Whatsapp zelf inderdaad van de daken schreeuwt dat ze niets bewaren.

Dat klopt, die worden gecached! Filmpjes dan tenminste, afbeeldingen zijn ze bezig om ook end-to-end te encrypten. (Maar dat is nog *niet* actief.)
Hier zijn echter ook weer zeer strenge voorwaarden aan verbonden.

Dat is ook redelijk ingenieus gedaan... Alles wat de WhatsApp server cached wordt geheel ontdaan van alle mogelijke metadata, en krijgt enkel nog een hash mee.
Wat er gebeurt is dat jou WhatsApp client snippets gaat hashen, en aan de server vraagt of dat bestand al bestaat op de WhatsApp server. (Dat is enkel te doen omdat WhatsApp behoorlijk stevige limieten instelt voor wat er over hun netwerk verzonden mag worden overigens. Als je een complete DVD zou verzenden zou dit nogal een probleempje worden, en is je telefoon wellicht leeg voordat ie klaar is met hashen...) Als de hash overeenkomt, dan stuurt de server het vanuit de cache. Dat bespaart bandbreedte aan beide kanten, CPU cycles en algehele netwerk belasting.
Best slim, nee?

Omdat die filmpjes geheel van alle metadata wordt ontdaan (pas op je toestel krijgt het weer attributen, zoals wie het naar je verstuurd heeft), kan er nooit bewezen worden wie dat filmpje verstuurd/doorgestuurd heeft en al helemaal niet waar het filmpje "originate".
Immers is er totaal geen metadata beschikbaar die dat kan bewijzen, het filmpje is slechts een raw filmpje zonder dat hier enige data aan vast zit.
En die filmpjes mogen dus ook niet gekopieerd/verkocht worden door WhatsApp, mogen niet ingezien worden en worden na enkele dagen geen activiteit weer verwijderd van hun servers. Dat is allemaal juridisch helemaal dichtgetimmerd.

Op deze manier kunnen overheden dus ook niet zeggen "Geef ons de filmpjes die telefoonnumer 0612345678 heeft verstuurd!", want dat kunnen ze dus niet opvragen omdat de servers doodleuk al dit soort informatie wegstrippen.

Daar is dus heel goed over nagedacht.
Men wilde een systeem waarbij caching mogelijk was, zowel in jou voordeel als dat van hun, maar waarbij het terug traceren naar een gebruiker niet mogelijk was en het ook nog eens verboden was om deze data te delen of te dupliceren naar eigen gewin voor WhatsApp...
Dit is de redelijk simpele doch doeltreffende oplossing die daar uit volgde, ze mogen het dus cachen; maar ze mogen er zelf niet naar kijken en het mag nooit naar jou terug te lijden zijn. (Tenzij de overheid toegang heeft tot iemands telefoon natuurlijk en zien dat jij dat filmpje verstuurd hebt, daar ontkom je niet aan; maar dat is WhatsApp's schuld niet.)

Dit kan je trouwens allemaal gewoon teruglezen in hun uitleg over de infrastructuur en staat ook zeer uitvoerig beschreven in hun Privacy Policy.
Ik leg het enkel in makkelijk Nederlands uit.

WhatsApp schreeuwt dan overigens ook niet dat ze helemaal niets bewaren, WhatsApp schreeuwt sowieso nauwelijks eigenlijk; die hoor je niet zoveel. Ze hebben zelfs met geen woord gerept over de end-to-end encryptie die intussen al 90% van de markt bediend.
Either way, dat terzijde... WhatsApp stelt zelf:
- Berichten worden niet bewaard (Ja, max 30 dagen indien ie niet afgeleverd kan worden. Zodra ze afgeleverd zijn == bericht weg van hun servers. Berichten die in de aflever que staan mogen niet gelezen worden, niet gekopieerd worden, et cetera. Om dit kracht bij te zetten hebben ze tegenwoordig end-to-end encryption zodat ze helemaal niet meer kunnen meelezen zelfs als ze dat zouden willen.)
- Videos worden gecached, maar ontdaan van alle mogelijk metadata...

Dus... Ja, goed. Als je daar over heen wilt vallen;
Sure, WhatsApp bewaard wel iets van je... Ze kunnen alleen niet zien dat het van jou is, en wordt ook enkel gecached zolang andere mensen het filmpje ook door blijven sturen via hun netwerk. (Memes bijvoorbeeld zullen heeeeeeel lang gecached blijven. ) Zodra de cache periode voorbij is, wordt ook dit meteen weer weggeknikkerd.
In principe ben *ik* het dus die schreeuwde dat WhatsApp niets van je bewaard (en in context was dat ook correct ), maar WhatsApp zelf claimt dat niet, want het ligt net iets genuanceerder.

Maar waar het voornamelijk om gaat: de content van berichten, die worden dus op geen enkele wijze bewaard, gedupliceerd of gecached...

Daarom blijft mijn punt staan: ze kunnen NIET meewerken aan verzoeken vanuit de overheid om privégegevens te overhandigen. Het is door de opzet van WhatsApp gewoonweg onmogelijk.

Ik vind je posts erg interessant, maar waar haal je deze info vandaan? Heb je een bron?

Mijn post is gebaseerd op een passage uit de privacy policy van WhatsApp.

Zie "The Information WhatsApp Does Not Collect".
Het eerste gedeelte gaat over hoe ze dus nooit je berichten mogen bewaren, inzien, kopieren, verkopen, et cetera (op dat 30 dagen verhaal na, met wederom niet mogen inzien, kopie... etc.), en de laatste paar regels gaan specifiek over hoe ze zo snel mogelijk alle metadata strippen van media die je via hun servers verzend, zodat ze privacy vriendelijk grote media bestanden kunnen cachen.

Ze krijgen niks, maar wel je gehele telefoon boek met namen + nummers. Nu snap ik tot bepaalde hoogte dat ze dit "nodig" hebben om te zien wie whatsapp heeft, maar toch aangeven dat ze niks bewaren, nee, dat klopt niet.

Waar staat dat ze dit telefoonboek op hun servers opslaan? Sterker nog, er staat dus letterlijk dat ze dit niet doen. Het klopt dus wel.

WhatsApp does not collect names, emails, addresses or other contact information from its users’ mobile address book or contact lists other than mobile phone numbers—the WhatsApp mobile application will associate whatever name the WhatsApp user has assigned to the mobile telephone number in his/her mobile address book or contact list — and this occurs dynamically on the mobile device itself and not on WhatsApp’s servers and is not transmitted to WhatsApp.

Ik denk niet dat je meer kan verwachten van een dienst als deze.

Nee, er worden geen namen meegestuurd... Enkel hashes van nummers.
Hier zit totaal geen persoonlijke data bij. Dat staat ook zo in de werking beschreven:

We do not collect names, addresses or email addresses, just mobile phone numbers.

En worden, als we het CBP hier mogen geloven , dus weer gehashed verzonden en opgeslagen.

Ja joh, als het daar staat zal het ook precies zo gebeuren want bedrijven doen alles netjes volgens de regels en houden zich altijd aan de voorwaarden. ..
Heb je ook echte bronnen of baseer je al je lappen tekst op de voorwaarden?

Als je de algemene voorwaarden al niet serieus durft te nemen, is het wel heel erg lastig om nog iets van een bedrijf aan te nemen.

Ja, hier ben ik ook wel benieuwd naar. Als je cloud Back-up aanzet wordt alles van je bewaard natuurlijk. Daarnaast maakt whatsapp van iedere gebruiker een kopie van zijn/haar contactpersonen die op een of andere manier ergens opgeslagen worden. Het is dus zeer makkelijk om een "profiel" van een 06 op te bouwen. Tel daarbij op dat ook de foto's van de contacten geüpload worden (zowel de whatsapp foto van jezelf als van een vriend die bij jouw contact een fotootje van jouw heeft staan) en whatsapp heeft meteen een gezicht bij het nummer.

hier lees ik bijv. dat er helemaal geen informatie is over hoe lang whatsapp data behoudt.

[Reactie gewijzigd door SteveWoz op 17 december 2015 08:22]

Als je cloud Back-up aanzet wordt alles van je bewaard natuurlijk.

Dat wordt echter niet door WhatsApp gedaan, maar daar kies je zelf voor.
Het ligt er dan dus ook maar net aan wat je gebruikt... bij iOS gaan cloud backups naar iCloud. Op Android gaan cloud back-ups naar Google Drive.

Als je dit inschakelt, is het nog steeds niet zo dat WhatsApp alles van je bewaard; nee: je stuurt dan vrijwillig een backup van je data (die encrypt wordt, overigens.) naar een cloud storage.

Daarnaast maakt whatsapp van iedere gebruiker een kopie van zijn/haar contactpersonen die op een of andere manier ergens opgeslagen worden.

WhatsApp maakt een kopie van de telefoonnummers in one-way hashed vorm.
Deze hashes zijn niet terug om te zetten naar mobiele nummers.
(Nouja... Dat is niet helemaal waar natuurlijk, met genoeg rekenkracht en tijd is elke hash opnieuw te berekenen natuurlijk. Maar toch Met dat argument kan je alle beveiliging wel ontkrachten...)

Hier worden geen namen bij opgeslagen of wat dan ook.
Het zorgt er louter voor dat de client op je toestel weet wie er wel en geen WhatsApp gebruiken.

Het is dus zeer makkelijk om een "profiel" van een 06 op te bouwen.

Nee, want ze zien hashes... Geen 06 nummers.
Wel kunnen ze natuurlijk prima je metadata inzien...

Tel daarbij op dat ook de foto's van de contacten geüpload worden (zowel de whatsapp foto van jezelf als van een vriend die bij jouw contact een fotootje van jouw heeft staan) en whatsapp heeft meteen een gezicht bij het nummer.

Heu? Als je dat niet wilt kan je toch gewoon ervoor kiezen om een andere avatar of helemaal geen avatar te uploaden...? Ik zie het prolbeem niet.

hier lees ik bijv. dat er helemaal geen informatie is over hoe lang whatsapp data behoudt.

Dat moet je iets beter nuanceren, dunkt mij.

Er staat dat WhatsApp niet publiek bekend maakt hoe het omgaat met verzoeken tot het overhandigen van data vanuit overheden. (Als we naar dit bericht kijken, kunnen we echter wel wat conclusies trekken over hoe ze daar mee omgaan. )

Er staat niet dat er helemaal geen info bekend is over hoelang WhatsApp data behoudt... Immers staat er expliciet in de voorwaarden van WhatsApp zeer uitvoerig beschreven welke data ze wel en niet van je bewaren. lees zelf maar na.

Het enige waarvan we niet weten hoelang WhatsApp exact spul bewaard, is de metadata van communicatie; daar stellen zij:

WhatsApp may retain date and time stamp information associated with successfully delivered messages and the mobile phone numbers involved in the messages, as well as any other information which WhatsApp is legally compelled to collect.

Tegenwoordig is dat in de praktijk overigens dat WhatsApp geen metadata hoeft op te slaan volgens de Amerikaanse wetgeving, tenzij zij hiertoe gedwongen worden via een geheime gerechtelijke uitspraak...
Het is dus onbekend hoe dat precies zit. Maar daar mogen ze dan ook met geen woord over praten.

Zo lastig is het niet om hashes van alle 06 nummers in een rainbow table op te slaan, en dan kost het 0 processorkracht om ze op te zoeken.

Dat ligt aan de hashing methode... Ik raad je aan dit ook eens te lezen; daar zie je ook veel verschillende methodes om problemen op te lossen.
https://whispersystems.org/blog/contact-discovery/
(Wordt wel netjes bij opgemerkt dat het nog altijd een groot probleem is!)

Volgens het CBP heeft WhatsApp recent wijzigingen doorgevoerd waardoor de methode die jij aanhaalt blijkbaar niet meer mogelijk zou zijn.
Naar wat ik gezien/gehoord heb, blijkt dat inderdaad te kloppen.

Al blijf je een kanttekening houden, want in principe zal het altijd op een of andere wijze mogelijk zijn de boel te brute-forcen.
Vraag is echter wat ze daar mee zouden bereiken, gezien ze er vervolgens niets mee mogen doen volgens hun eigen policies.

Dat hele hashing wordt dus meer gedaan omwille van de veiligheid van de storage, dan omwille van privacy omdat ze een reeks getalletjes hebben die toevallig een nummer vormen...

Dat ligt aan de hashing methode...

Nee, dat is BS . Je hebt in NL met 06 nummers hoe dan ook maar maximaal 100.000.000 combinaties. Het uitrekenen van 100 miljoen hashes is, hoe je het ook wendt of keert, gewoonweg peanuts,

Goed dat je de Privacy Policy er bij pakt. Meteen lees ik dit:

Please note that any Status Submissions or other content posted at the direction or discretion of users of the WhatsApp Service becomes published content and is not considered personally identifiable information subject to this Privacy Policy.

Alles wat je vrijwillig met WhatsApp doet (na de installatie, zoals een berichtje plaatsen), valt dus niet onder de privacy policy en wordt niet als personally identifiable information beschouwd (whatever that may be).

Het volgende:

The contents of messages that have been delivered by the WhatsApp Service are not copied, kept or archived by WhatsApp in the normal course of business.

Wat is de normal course of business? Geeft in wezen een vrijbrief om de berichten van een gebruiker te bewaren/kopiëren.

Once a message has been delivered, it no longer resides on our servers. The contents of any delivered messages are not kept or retained by WhatsApp — the only records of the content of any delivered messages reside directly on the sender’s and recipient’s mobile devices (and which may be deleted at the user’s option). Notwithstanding the above, WhatsApp may retain date and time stamp information associated with successfully delivered messages and the mobile phone numbers involved in the messages, as well as any other information which WhatsApp is legally compelled to collect.

In feite mag WhatsApp alles verzamelen dus. Verder:

Files that are sent through the WhatsApp Service will reside on our servers after delivery for a short period of time, but are deleted and stripped of any identifiable information within a short period of time in accordance with our general retention policies.

Waarom zou je iets van identifiable information strippen als je het bestand meteen verwijderd?

Any Personally Identifiable Information or status content that you voluntarily disclose on the WhatsApp Service becomes publicly available and may be collected and used by other users of the WhatsApp Service (unless such user is blocked by you). Your name (as it is saved in other user's mobile phone address book or contact list) may be displayed to other users when you update your status messages through the WhatsApp Service and other users may contact you through the WhatsApp Service. We do not use your mobile phone number or other Personally Identifiable Information to send commercial or marketing messages without your consent or except as part of a specific program or feature for which you will have the ability to opt-in or opt-out. We may, however, use your mobile phone number (or email address, if provided) without further consent for non-marketing or administrative purposes (such as notifying you of major WhatsApp Site or WhatsApp Service changes or for customer service purposes). We may use both your Personally Identifiable Information and certain non-personally-identifiable information (such as anonymous user usage data, cookies, IP addresses, browser type, clickstream data, etc.) to improve the quality and design of the WhatsApp Site and WhatsApp Service and to create new features, promotions, functionality, and services by storing, tracking, and analyzing user preferences and trends.

Spreekt voor zich.

We do not sell or share your Personally Identifiable Information (such as mobile phone number) with other third-party companies for their commercial or marketing use without your consent or except as part of a specific program or feature for which you will have the ability to opt-in or opt-out. We may share your Personally Identifiable Information with third party service providers to the extent that it is reasonably necessary to perform, improve or maintain the WhatsApp Service. We may share non-personally-identifiable information (such as anonymous User usage data, referring / exit pages and URLs, platform types, asset views, number of clicks, etc.) with interested third-parties to assist them in understanding the usage patterns for certain content, services, advertisements, promotions, and/or functionality on the WhatsApp Site. We may collect and release Personally Identifiable Information and/or non-personally-identifiable information if required to do so by law, or in the good-faith belief that such action is necessary to comply with state and federal laws (such as U.S. Copyright Law), international law or respond to a court order, subpoena, or search warrant or equivalent, or where in our reasonable belief, an individual’s physical safety may be at risk or threatened.

Hey ze mogen dus Personally Identifiable Information delen, laat dat nou net hetgeen zijn dat zelf vrijwillig deelt met/via WhatsApp. Toch gek dat ze allerlei data kunnen delen, terwijl ze niets of alles versleuteld opslaan?

Ik lees verder zo 1,2,3 niets over versleuteling van berichtjes, mogelijk kun je me daarvoor nog een bron voorschotelen.

Alles wat je vrijwillig met WhatsApp doet (na de installatie, zoals een berichtje plaatsen), valt dus niet onder de privacy policy en wordt niet als personally identifiable information beschouwd (whatever that may be).

Als je de hele zin leest en de context, zie je dat die passage gaat over je *status*.
Dat is dat kleine stukje teskt dat je kan instellen dat onder je naam verschijnt. Bij de meeste mensen is dit nog altijd "Hi there! I'm using WhatsApp."

Dat stukje is *publiek* beschikbaar. (Al heb je daar tegenwoordig wel privacy opties voor trouwens, je kan zeggen dat alleen contacten het mogen zien.) En daar moet je dus rekening mee houden wat je er in zet. Logisch toch?

Wat is de normal course of business? Geeft in wezen een vrijbrief om de berichten van een gebruiker te bewaren/kopiëren.

Neen, dat is het niet. Dat mag namelijk niet als je even de hele policy leest.
Selectief out-of-context quoten heeft weinig zin. Er staat verderop immers beschreven dat je media uitgezonderd is omdat die gecached mag worden...
De normal course of business is ook gewoon een normale Amerikaanse "legalese" term, en beschrijft gewoon het gangbare proces, wat je dus normaliter moet verwachten. Als een bedrijf dat als vrijbrief zou gebruiken, heeft het geen poot om op te staan... Want het is geen vrijbrief.

Denk je echt dat toko's als het CBP, de EFF en de FTC zouden zeggen dat de privacy policy prima in orde is omdat "ze niets bewaren", terwijl er zo'n gapend gat in zou zitten?

Dat is een beetje het probleem als je juridisch Engels gaat lezen, en vervolgens selectief gaat quoten of de termen niet goed weet te interpreteren.
Ik zou zeggen: Google het even.

In feite mag WhatsApp alles verzamelen dus.

Lees je uberhaupt wat je quote?
Er staat expliciet dat ze geen hol van je mogen verzamelen, behalve noodzakelijke meta-data...
De content van je berichten, en dat staat letterlijk in het stukje tekst dat je citeert, mogen ze nooit bewaren.

Ik vind "meta data" en "alles" toch een mega groot verschil.

Waarom zou je iets van identifiable information strippen als je het bestand meteen verwijderd?

... Er staat toch juist dat ze het NIET meteen verwijderen. Laat ik je citaat even opbreken:
Stapje 1: "Files that are sent through the WhatsApp Service will reside on our servers after delivery for a short period of time"
Stapje 2: "but are deleted and stripped of any identifiable information within a short period of time in accordance with our general retention policies.".

Is het zo duidelijker?
Het bestand wordt gecached, maar wordt meteen ontdaan van alle meta-data.
Nadat het bestand inactief wordt, dus niet meer gedeeld wordt, knikkert de server het in z'n geheel weg.

Ik bedoel... Lees dan op z'n minst wat je zelf citeert?

Spreekt voor zich.

Inderdaad. En dat is een doodnormale zaak die geen inbreuk maakt op je privacy.
Immers kunnen geaggregeerde statistieken nooit een inbreuk maken op je privacy, omdat het niet naar jou te herleiden valt...
Wederom staat dit ook nog eens extra vermeld in wat je citeert, er staat immers *ANONYMOUS* usage data.

Hey ze mogen dus Personally Identifiable Information delen, laat dat nou net hetgeen zijn dat zelf vrijwillig deelt met/via WhatsApp. Toch gek dat ze allerlei data kunnen delen, terwijl ze niets of alles versleuteld opslaan?

Nee, ze mogen **met jou toestemming** gegevens van je delen als je opt-in meedoet aan iets van WhatsApp waarvoor dit noodzakelijk is.
Dat staat letterlijk zo in de tekst.

En natuurlijk hebben ze wel wat gegevens van je. Ze hebben immers jouw telefoon nummer... En daar houdt het ook wel op eigenlijk.


Ik vind het eerlijk gezegd best knap dat je zo verschrikkelijk veel dingen uit de privacy policy zo verkeerd kan interpreteren.
Absoluut niet lullig bedoeld, maar dat bewijst wel weer dat juridische zaken niet overgelaten moeten worden aan de gebruiker; en dat het beter is om niet met open vizier je zaakjes te doen (immers is WhatsApp zeer open op dit vlak): maar het in Jip en Janneke taal neer te pennen, zoals Facebook ook heeft gedaan.

Ik lees verder zo 1,2,3 niets over versleuteling van berichtjes, mogelijk kun je me daarvoor nog een bron voorschotelen.

Sure.
https://whispersystems.org/blog/whatsapp/
http://www.theverge.com/2...ncryption-with-textsecure
https://github.com/WHAnon...-updates#9-september-2015
http://www.wired.com/2014/11/whatsapp-encrypted-messaging/
nieuws: WhatsApp krijgt ondersteuning voor end-to-end-encryptie

En ga zo maar door en door en door.

Please note that any Status Submissions or other content posted at the direction or discretion of users of the WhatsApp Service becomes published content and is not considered personally identifiable information subject to this Privacy Policy.

Dit deel is al genoeg: alles wat je deelt met WhatsApp valt niet onder de geciteerde Privacy Policy.

Als je de hele zin leest en de context, zie je dat die passage gaat over je *status*.
Dat is dat kleine stukje teskt dat je kan instellen dat onder je naam verschijnt. Bij de meeste mensen is dit nog altijd "Hi there! I'm using WhatsApp."

Verder staat er niets naast deze passage en kan ik verder iets uit de context opmaken.

Vervolgens heb je het over

CBP, de EFF en de FTC

. Je weet dat deze eerste twee juridisch gezien niets te maken hebben met WhatsApp? Nogmaals, de EFF raad zelfs af WhatsApp te gebruiken, omdat alles zonder een warrant overlegd kan worden. Ook duidelijk in de policy staat dat WhatsApp alleen valt onder de jurisdictie van Californië (en dus geen enkele andere jurisdictie):

the WhatsApp Service shall be deemed a passive server that does not give rise to personal jurisdiction over WhatsApp, either specific or general, in jurisdictions other than California; and (iii) that you agree to subject to the jurisdiction of California in the event of any legal dispute. These Terms of Service shall be governed by the internal substantive laws of the State of California, without respect to its conflict of laws principles. Any claim or dispute between you and WhatsApp that arises in whole or in part from the WhatsApp Service shall be decided exclusively by a court of competent jurisdiction located in Santa Clara County, California.

WhatsApp may retain date and time stamp information associated with successfully delivered messages and the mobile phone numbers involved in the messages, as well as any other information which WhatsApp is legally compelled to collect.

Lees je uberhaupt wat je quote?
Er staat expliciet dat ze geen hol van je mogen verzamelen, behalve noodzakelijke meta-data...
De content van je berichten, en dat staat letterlijk in het stukje tekst dat je citeert, mogen ze nooit bewaren.

Lees zelf de quote ook nog even goed door. M.i. staat er duidelijk dat WhatsApp alle informatie mag verzamelen binnen wat juridisch mogelijk is.

Ik stop even met quoten, anders wordt het weer zo'n lang bericht. Maar kort terug komende op je opmerkingen:
- er staat dat files verwijderd worden én worden ontdaan van any identifiable information binnen een kort tiijdsbestek. Mijn punt was dat er niet duidelijk staat in welke volgorde dit gebeurt. Zoals het er nu staat is het verwijderen en strippen. Waarom zou je als je iets verwijderd (dan pas) strippen van identifiable information?
- ("anonymous") statistieken zijn niet per definitie niet terug te leiden: ik kan ook statistieken zo verzamelen dat ik ze gewoon terug kan leiden (deel alle statistieken maar in in zulke categorieën dat elke categorie uit één uniek persoon bestaat).
- daarnaast opt-in inderdaad, maar ook opt-out en ook gewoon may share of may collect dus eigenlijk mogen ze ten alle tijden alles verzamelen.
- versleuteling kom je met bronnen van derde partijen aanzetten en daarnaast welke versleuteling dan?

Daarnaast studeer in Rechten en weet wel het een en ander van privacy policies, niet om te zeggen dat ik een expert ben, maar in rechtszaken draait het altijd om interpretaties. Het wordt expres zo vaag en ambivalent geformuleerd dat er juridisch gezien altijd een uitweg is voor het bedrijf. Als leek is het lastig deze loopholes te spotten, maar ik denk toch dat ik er een paar heb blootgelegd.

Cloud backup is voor mij op Google Drive, kan me niet iets anders herinneren. En de database is versleuteld.

Wat ik dan wel grappig vind van je post is dat je meld dat er niets wordt opgeslagen??

Hoe kan het dan wel alle berichten van nu tot een jaar geleden wel kan terugvinden op de webinterface?

Probeer dat maar eens met je telefoon uit Webinterface werkt via je mobiel.

Dat zal dan toch echt ook op je telefoon moeten staan. Mijn berichten op WhatsApp Web gaan niet verder dan dat ze gaan op mijn telefoon. Weet je zeker dat je het wel goed beschrijft?

Dan is deze blokkade een logische tegenzet van een rechter die geconfronteerd wordt met een bedrijf dat bewust het onmogelijk heeft gemaakt zich aan een gerechtelijk bevel te houden.

Maar dan heb je het dus gewoon over een encryptieverbod...
Dat is wellicht logisch vanuit het oogpunt van zo'n rechter (al maakt die de wet niet, dus zolang encryptie niet verboden is kan de rechter eigenlijk moeilijk zeggen dat WhatsApp iets fouts doet ), vraag is echter: moet je dat wel willen...?

Want dat schept een behoorlijk precedent.
Dan verbied je effectief het gebruik van encryptie, en dat lijkt mij zéér onwenselijk.
Voor zo'n rechter zal het inderdaad best vervelend zijn dat een bedrijf je niet de gehele communicatie van iemand kan overhandigen; maar uit privacy en veiligheid oogpunt is het juist weer wél wenselijk dat het encrypted is op een wijze waarop zelfs WhatsApp zelf er niet meer bij kan...

Moet je dan omdat een klein percentage gebruikers het blijkbaar gebruikt voor criminele doeleinden, je gehele encryptie uitschakelen zodat de rest van de gebruikers (die niets fout doen) niet beveiligd zijn tegen spionage...?

Ik denk dat die rechter behoorlijk kortzichtig is dan om op deze manier "terug te slaan", maarja: dat ben ik.

Moet de wet dan maar simpelweg genegeerd worden omdat het technisch onmogelijk gemaakt kan worden om aan die wet te kunnen voldoen ? Mag ik dan ook een voordeur die onmogelijk te openen is zodat er nooit huiszoeking bij mij gedaan kan worden en een auto waar technisch onmogelijk een kenteken op kan zodat ik ongestraft te hard mag rijden.

Moet de wet dan maar simpelweg genegeerd worden omdat het technisch onmogelijk gemaakt kan worden om aan die wet te kunnen voldoen?

Ik ken de specifieke wet in Brazilië niet maar typisch gezien zegt wetgeving dat informatie die bestaat, overhandigd moet worden in bepaalde situaties (met gerechtelijk bevel e.d.) Informatie die er niet is, kan niet overhandigd worden.

Mag ik dan ook een voordeur die onmogelijk te openen is zodat er nooit huiszoeking bij mij gedaan kan worden

Zeker mag jij een voordeur hebben die je niet door komt. Je bent ook niet verplicht om mee te werken aan een huiszoeking, maar stel je niet voor dat zoiets een dergelijk voorval voorkomt. Ze komen wel op een andere manier binnen, met of zonder jouw hulp.

en een auto waar technisch onmogelijk een kenteken op kan zodat ik ongestraft te hard mag rijden.

Nee, want een zichtbaar kenteken hebben is een voorwaarde om met je auto op de openbare weg te rijden. Er bestaat geen regelgeving die het gebruik van onversleutelde communicatie verplicht.

Dan kun je ook de verkoop van BMW's verbieden omdat ze bewust niet met een transponder komen waarmee de politie op afstand de motor kan uitzetten?

En messenfabrikanten dat ze de keukenmessen expres scherp maken, straks gaat er nog iemand mee steken....

Daarom blijft mijn punt staan: ze kunnen NIET meewerken aan verzoeken vanuit de overheid om privégegevens te overhandigen. Het is door de opzet van WhatsApp gewoonweg onmogelijk.

Ze kunnen de werking van hun app natuurlijk wel veranderen... en dat is denk ik wat de vele regeringen willen, nl. of geen encryptie of een encryptie met een sleutel voor de regering.
Voor de duidelijkheid, ik zeg niet dat WA hun app moet veranderen, maar als ze dat willen kunnen ze het ook, bijv. als verschillende regeringen dit afdwingen.

Trouwens, sinds Wikileaks en Snowden vertrouw ik geen app of service meer, zelfs als ze, zoals WA, beweren e2e encryptie toe te passen. Ik ben nl. niet in staat dat te checken... ik ben wel in staat de berichten of bestanden zelf te encrypten voordat ik ze verstuur met een messenger app of upload naar een cloud service.

Klopt, dat zou kunnen.

Snowden adviseert Signal.
Signal is van Open Whisper Systems, tevens de makers van de E2EE encryptie in WhatsApp. Signal heeft echter de boel al wel wat beter geimplementeerd, zo kan je de keys verifieren. Dat is bij WhatsApp nog niet mogelijk. (En dat is niet per se slecht trouwens, want niemand bij WhatsApp heeft geclaimed dat de functie al af is. )

Zelf encrypten kan zeker helpen; maar als je dan toch extra veilig wilt zijn zou ik daarna alsnog een bewezen veilig systeem als Signal gebruiken.

Dit kan ik bevestigen. Dit werkt ook met het forwarden van media die van de telefoon zelf verwijderd is.

Of met web.whatsapp.com waarbij je ook gewoon de plaatjes in beeld krijgt op je laptop. Ik weet het niet zeker maar denk niet dat deze vanaf de telefoon opnieuw verstuurd wordt..

Jawel, die haalt je browser op uit je telefoon...
Probeer maar eens een plaatje te verwijderen uit je toestel, en hem dan te openen op WhatsApp Web. Dan krijg je een foutmelding als "Kan afbeelding niet openen. De afbeelding is niet beschikbaar op je toestel."

Je ziet enkel nog een heel vage thumbnail, die staat namelijk nog wél op je toestel.
(Totdat je opnieuw installeert en geen backup herstelt, dan is die ook pleite...)

Forceer je telefoon voor de lol op 2G, en probeer dan via WhatsApp Web (laden zal ff duren...) een lange video te openen die je bijvoorbeeld twee weken terug gekregen hebt... Mooi dat je minutenlang kan gaan wachten tot je video gaat afspelen, omdat je telefoon met slakkensnelheid de boel naar je PC upload.
Ik weet niet 100% zeker of dit ook geld voor gecachete videos, die dus in de afgelopen paar uur verstuurd zijn en nog gecached staan op de WhatsApp servers conform het retentie beleid. (Je PC kent die hash immers ook dankzij je toestel en kan een re-transmit aanvragen... In theorie. Ik weet niet of dat ook echt gaat werken. )

Die data komt direct vanaf de server, waar het gecached wordt. Correct me if I'm wrong

Ik weet niet hoe dat zit met *recent* verstuurde video's, die zouden inderdaad uit de cache *kunnen* komen. Of ze dat ook doen, durf ik eerlijk gezegd echt niet te zeggen. Dat zou ik es moeten analyseren, best interessant eigenlijk.

Maar als je bijvoorbeeld een video van een maand terug probeert te openen die jij hebt gemaakt en enkel met iemand anders gedeeld hebt (dus niet een algemeen meme filmpje dat waarschijnlijk nog jarenlang te pas en te onpas door miljoenen mensen gedeeld wordt ), dan gaat je telefoon het uploaden naar je PC. Die data is dan immers al lang en breed verwijderd van de server, en kan derhalve niet uit hun cache geserveerd worden; dan *moet* je telefoon het dus naar je PC gaan uploaden.

Ik lees alleen maar aannames dat het nergens word opgeslagen enz. Ik gebruik elke dag WhatsApp maar het is naïef om te denken dat er niets word opgeslagen na de overname door Facebook.

Ja en nee. Als, zoals aangegeven, in hun privacy beleid is opgenomen dat ze zelf niets opslaan dan is het in hun eigen belang dat ze dit ook echt niet doen. Moest blijken (al was het op last van een rechter) dat ze daarover gelogen hebben dan kan dit een storm van protest ontketenen die het einde van de dienst zou kunnen betekenen.

Schiet me net te binnen, mensen vergeten dat WhatsApp nu van een Amerikaans bedrijf is. Die moeten alles afstaan volgens de wet aan hun overheid. Die chats worden geheid ergens opgeslagen zo dat de overheids diensten daar het kunnen in zien. Dat is volgens mij al bewijs genoeg dat het word opgeslagen ergens.

Facebook wil alles van ons weten. Ik kan mij niet voorstellen dat het bedrijf het niet ergens opslaat voor data mining.

We moeten maar afwachten of hun privacy beleid enige waarheid bevat. Anders denk ik ook dat het einde van WhatsApp is.

Schiet me net te binnen, mensen vergeten dat WhatsApp nu van een Amerikaans bedrijf is.

WhatsApp zelf is ook een Amerikaans bedrijf... Altijd al geweest.

Die moeten alles afstaan volgens de wet aan hun overheid.

Welke wet is dat precies?
Ze moeten afstaan wat ze hebben, maar er is geen verbod op encryptie en er is geen enkele wet die WhatsApp verplicht om al die data te verzamelen.
Dat is wel gepoogd, maar die voorstellen zijn gestrand:
https://en.wikipedia.org/...tion_legislation_attempts

WhatsApp's policy is dus 100% legaal, hoeft niets te kopieren, of op te slaan, et cetera.
Als jij denkt van wel, dan zie ik graag welke wetten je het dan over hebt; en hoe je dan wil verklaren dat er sprake is van E2EE.

Die chats worden geheid ergens opgeslagen zo dat de overheids diensten daar het kunnen in zien. Dat is volgens mij al bewijs genoeg dat het word opgeslagen ergens.

Neen, dat is een ongegronde aanname die jij maakt gebaseerd op een wet die niet blijkt te bestaan.
WhatsApp is niet verplicht content van berichten te verzamelen, het is niet verboden voor WhatsApp om dit dusdanig te encrypten dat ze het zelf niet eens meer kunnen lezen (en de overheid dus ook niet), et cetera.

Dat is dus geen bewijs dat WhatsApp zich niet aan hun eigen Privacy Policy zou houden...

Facebook wil alles van ons weten. Ik kan mij niet voorstellen dat het bedrijf het niet ergens opslaat voor data mining.

Dat zou verboden zijn, en als ze dat doen en de FTC komt erachter, dan hangt Facebook een miljarden boete boven het hoofd en kunnen ze waarschijnlijk sluiten... En dat meen ik serieus.
http://www.theverge.com/2...ning-to-facebook-whatsapp
(Lees in dat artikel ook vooral de link "Facebook reached with the commission in 2011"... Daar wordt ook nog even aangekaart hoe zwaar Facebook onder toezicht staat. Je zou het misschien niet zeggen, maar het is dus wel zo.)

We moeten maar afwachten of hun privacy beleid enige waarheid bevat. Anders denk ik ook dat het einde van WhatsApp is.

Er is op dit moment absoluut geen reden om daar aan te twijfelen.
Alle bedrijven, overheden en organisaties die WhatsApp geaudit hebben, stellen stuk voor stuk dat WhatsApp zich 100% aan hun privacy policy houdt; inclusief onze eigen College Bescherming Persoonsgegevens... (Die waren nog wel pissig over een hashing methode; maar die is recent gewijzigd en nu zijn ze 100% happy.)

En gezien heel Facebook verrot zou gaan als blijkt dat WhatsApp zich er niet aan houdt, is dat wel een stok achter de deur om vooral hun best te blijven doen zich aan de policy te blijven houden.

Zolang de policy van WhatsApp niet wijzigt (wat overigens niet zonder aankondiging mag.) heb je niets te vrezen.

[Reactie gewijzigd door WhatsappHack op 17 december 2015 09:24]

Ik heb nu verschillende reacties van je gelezen, je lijkt echt heel goed te weten waar je het over hebt en hebt duidelijk je research gedaan. Daarnaast verwoord je het allemaal heel begrijpelijk en inzichtelijk, waarvoor hulde!

Ik ben ook geneigd je te geloven, het klinkt allemaal heel aannemelijk. Echter blijf ik, zeker sinds privacy zo'n hot topic is de laatste tijd, toch enigszins een gezonde argwaan houden tegenover bedrijven zoals WhatsApp. Denk dat dit ook de reden is dat veel mensen extreem achterdochtig zijn en er zoveel discussie ontstaat. Tot het tegendeel is bewezen is er echter geen reden om zo achterdochtig te zijn, maar toch vind ik enige argwaan niet verkeerd, gewoon om er eens bij stil te staan wat je allemaal over jezelf het grote web op slingert.

Bij mij blijft ook altijd de vraag, waar verdienen ze dan aan? Ik heb zelf nog nooit een cent betaald aan WhatsApp en gebruik het al sinds mijn eerste smartphone...

Heb je ook gelijk in.
Ik post zelf bijvoorbeeld ook nauwelijks ene drol op Facebook, zorg dat locatie tracking niet beschikbaar is, dat ze geen toegang hebben tot bepaalde functies van m'n telefoon, et cetera. De app alleen al er op hebben is al een klein risico, maar die vang is wel af.

Maar dat komt omdat Facebook een policy heeft die zonder er veel touwtjes om heen te winden duidelijk stellen dat ze alles van je mogen verzamelen, gebruiken en tot in de eeuwigheid mogen bewaren.
Dat is een enorm schril contrast met WhatsApp.

Het is zeker goed om stil te staan bij wat je het web opslingert, en nog belangrijker is: op welke manier je dat doet, en via welke dienst.
Het enige waar je voor moet oppassen is dat je niet doorslaat en paranoide wordt natuurlijk. Al is een lichte paranoia absoluut niet verkeerd.

Dat is dan ook een mogelijke constructie. Zelf slaan ze niets op en houden zich aan hun privacy policy.
Ze nemen een derde partij in de arm (zusteronderneming binnen Facebook) die alle Big Data afhandelt en bewaart.
Prima geregeld, en het suggereert dat niet alleen zijzelf, maar niemand de data opslaat. Maar het blijft bij suggereren, natuurlijk wordt het opgeslagen en bewaard, door de derde partij.

Probeer je dataverbinding eens te tunnelen en kijk hoeveel bruikbare non-encrypted data je kan vinden

Ze zouden liegen in hun eigen voorwaarden mochten ze toch écht data opslaan. Ik mag hopen dat we op de voorwaarden kunnen vertrouwen, het is voor een bedrijf als Whatsapp ook best een risico om dat te doen.

Naja, hier gaat het er ook niet om of gegevens worden opgeslagen of niet. Het is hier absoluut niet duidelijk over welke gegevens het in die zaak gaat, dus het is nogal lomp om dan te gaan beweren of die gegevens al dan niet bestaan of versleuteld zijn. Voor een rechtzaak is er trouwens ook wel een gigantisch verschil tussen niet meewerken (weigeren gegevens door te geven) en wel meewerken (ook al gaat het om gegevens waar je niet aan kan).

WhatsApp slaat helemaal niets op op haar servers... Alle berichten worden meteen verwijderd zodra ze afgeleverd zijn. Hier worden nooit kopietjes van gemaakt op welke wijze dan ook.

En hoe kan ik dan mijn volledige berichtengeschiedenis terughalen van de Whatsapp server als ik Whatsapp op een nieuwe telefoon installeer?

Ergens klopt je verhaal niet

Je kunt optioneel back-ups op je eigen telefoon en/of Google Drive bij laten houden door Whatsapp. Daarmee heeft Whatsapp de berichtengeschiedenis nog steeds niet zelf in handen.

Dat kan niet, alleen als je zelf een backup meeneemt wat tegenwoordig automatisch kan.

Volgens mij is de enige reden dat de braziliaanse telecomproviders zitten te lobbyen voor een blokkade voor whatsapp, is om ervoor te zorgen dat ze sms gebruiken of gaan bellen, want daar verdienen hun meer aan. En met een internetbundeltje van 50 mb kan je al meer dan 1000 whatapjes versturen, waardoor de eindgebruiker goedkoper af is vereleken met het gebruik van SMS en bellen.

en nu, whatsapp word geblokkeerd, telekombevldrijven maken voor 2 dagen meer winst, en de internetneutraliteit gaat acheruit. En aangezien whatsapp een blokkade heeft willen andere bedrijven die acheruit zijn gegaan door de komst van het internet gelijke / hogere straffen voor het aanbieden van hun dienst. Aangezien de overheden profiteren van de belasting die de telecombedrijven afstaan willen de aleen maar meewerken, aangezien al die landen daar corrupt zijn.

Hopelijk gaan deze praktijken er niet voor zorgen dat we een houdbaarheidsstikker kunnen plakken op het internet. Puur omdat veel bedrijven en overheden limitaties / blokkades maken op het internet waardoor bijna alle internetdiensten niet meer mogelijk zijn.

Hopelijk gaan deze praktijken er niet voor zorgen dat we een houdbaarheidsstikker kunnen plakken op het internet. Puur omdat veel bedrijven en overheden limitaties / blokkades maken op het internet waardoor bijna alle internetdiensten niet meer mogelijk zijn.

Daar las ik toevallig pas nog een interessant blog over van Peter Sunde.
Natuurlijk wel een beetje "wij van WC-eend" verhaal, maar de strekking van zijn punt was helemaal zo slecht niet en behoorlijk objectief. Wel vanuit een eigen overtuiging, uiteraard...

Oprichter Pirate Bay: We hebben de strijd om het internet verloren.

Ik raad je trouwens aan door te scrollen naar het interview gedeelte (begint dik gedrukt na wat advertenties), want de introductie van VICE is naar mijn mening rete saai en gaat voornamelijk over The Pirate Bay... Maar wie weet vind jij het wel interessant.

Ik denk dat je zeker voor een deel gelijk hebt. De telecom markt in Brazilië is erg ondoorzichtig en collega's va mij in Brazilië klagen dan ook steen en been over de schreeuwend hoge prijzen en slechte service en het slechte netwerk. Toen ik daar zelf vorige maand was kon ik wel sms en telefoon ontvangen, maar kon hetzelfde nummer niet direct terugbellen. Wat bleek achteraf, ze gebruiken daar nog carriers voor diverse diensten, net zoals ze dat vroeger in de USA gebruikte. Voordat je kunt bellen moet je tussen het land of area code de code van je provider zetten anders lukt het niet (ik wist niet met wie mijn provider lokaal een afspraak had dus kon ik helemaal niet bellen). Volgens mij is daarom Whatsapp bellen daar redelijk populair, dat is tenminste een zekerheid(je) en scheelt een hoop belkosten.

En met een internetbundeltje van 50 mb kan je al meer dan 1000 whatapjes versturen, waardoor de eindgebruiker goedkoper af is vereleken met het gebruik van SMS en bellen.

Sterker nog, met 50 mb kan je wel zo'n 20000 berichten sturen. Ik heb er momenteel (laatste install) zon'n 10000 verstuurd voor maar 23 mb (geen foto's etc.)

Mja, het is gewoon corruptie daar, omkopen van rechters is doodnormaal en telco providers zijn idioot duur.

WhatsApp wordt inderdaad versleuteld E2E. Ik kan mij alleen niet herinneren dat dat gebeurt met een sleutel van mij.

Ik vermoed dat WhatsApp zelf de sleutel(s) heeft, en daarmee zou het wellicht (deels) wel kunnen voldoen aan de eisen van de Braziliaanse overheid.

Deels idd, omdat zoals je terecht al stelt, WhatsApp slaat weinig op, en dat weinige is tijdelijk.

Edit:
Mogelijk gebeurt het versleutelen met random sleutels bij activeren app. Maar dat zou ik zelf niet weten.

[Reactie gewijzigd door teusink op 17 december 2015 07:55]

Heu, nu spreek je eigenlijk over iets dat niet kan.
Als het end-to-end encrptie is, dan mag WhatsApp per definitie dus niet de sleutels hebben. Hebben ze die wel, dan spreken we dus niet van end-to-end encryptie.
Wat je daar zegt kan dus niet.

Ik denk dat je mogelijk twee zaken met elkaar verward.
1.) De verbinding met de server is versleuteld. Dat is een client-server versleuteling. Een beetje vergelijkbaar met de manier waarop SSL werkt dus. Zo zorgen ze ervoor dat iemand die de verbinding afluistert, bijvoorbeeld met WireShark, de inhoud van je communicatie met de WhatsApp server niet kan inzien.
2.) De berichten (en enkel de berichten, overige content zoals media *nog* niet.) worden end-to-end versleuteld. Hiervoor vindt een key-exchange plaats met je gesprekspartner, en vervolgens worden met die sleutels de berichten encrypt. Dat is dus per gesprek anders! WhatsApp kent die sleutels niet. Dit werkt a-symmetrisch.

Je hebt dus 2 lagen encryptie. 1 zorgt ervoor dat iedereen die zit te sniffen niets kan meelezen, de tweede zorgt ervoor dat niemand (zelfs WhatsApp zelf niet) mee kan lezen op de servers van WhatsApp of als ergens anders de encrypted berichten onderschept worden.
(Stel iemand kraakt de client-server sleutels, dan krijgen ze wel wat delen van je communicatie met de server te zien: maar de berichten zijn nog steeds onleesbaar!)

Voor elk gesprek heb je dus een andere sleutel, er is dus geen sprake van vaste sleutels of random sleutels die vervolgens voor al je gesprekken worden gebruikt. Nee, end-to-end zorgt er echt voor dat jij en je gesprekspartner voor jullie specifieke gesprek sleuteltjes genereren en uitwisselen om de boel te encrypten.

In theorie zou de Braziliaanse overheid kunnen eisen dat WhatsApp een tap plaatst op een bepaald telefoonnummer. Als WhatsApp dat echter doet, kunnen ze enkel de encrypted gesprekken overhandigen. Hierdoor kan de overheid nog steeds niets zien. Tenzij ze de decryptie sleutels weten te bemachtigen; maar dat implicieert dat ze al een telefoon van 1 van de 2 gesprekspartners hebben waar de sleutels (en dus het gesprek) nog op staan...
Wat een tap alweer overbodig maakt, en WhatsApp verzoeken met terugwerkende kracht encrypted berichten aan te leveren gaat niet: want die verzamelen ze niet...

En zo is het cirkeltje weer rond, en blijft het er op neer komen dat ze gewoon niet kunnen voldoen.

Heu, nu spreek je eigenlijk over iets dat niet kan.
Als het end-to-end encrptie is, dan mag WhatsApp per definitie dus niet de sleutels hebben. Hebben ze die wel, dan spreken we dus niet van end-to-end encryptie.
Wat je daar zegt kan dus niet.

En dat is precies teusink's punt: Als ik niet kan controleren dat de privésleutel van mijn gesprekspartner inderdaad van hem is, is die sleutel waardeloos: Een MiTM-aanval is dan gewoon mogelijk. Ik kan er niet op vertrouwen dat wat ik ernaar versleutel enkel door hem gelezen kan worden noch dat wat daardoor ondertekend is, werkelijk van hem afkomt.

Kijk naar Threema om te zien hoe je dat een stuk beter kan doen.

[Reactie gewijzigd door Bacchus op 17 december 2015 08:47]

En dat is precies teusink's punt: Als ik niet kan controleren dat de privésleutel van mijn gesprekspartner inderdaad van hem is, is die sleutel waardeloos: Een MiTM-aanval is dan gewoon mogelijk. Ik kan er niet op vertrouwen dat wat ik ernaar versleutel enkel door hem gelezen kan worden noch dat wat daardoor ondertekend is, werkelijk van hem afkomt.

Bij sommige implementaties is het zo dat je de sleutel zelfs kan verifieren, maar er nog steeds een MiTM mogelijk is.
Dit probleem blijf je altijd houden, en zal ook deels een kwestie van vertrouwen zijn... Maar zo kan je alles onderuit halen natuurlijk, want in theorie is helemaal niets veilig. In de toekomst kan met met quantum computing mogelijk alle encryptie met gemak breken, maar dat zegt vrij weinig over de veiligheid *op dit moment* van die encryptiestandaarden.
Er zit een verschil tussen theorie en praktijk.

Wat Teusink stelt is dat er geen end-to-end encryptie plaatsvindt in de traditionele zin, maar:

Ik kan mij alleen niet herinneren dat dat gebeurt met een sleutel van mij.

En dát klopt dus niet, want dan heb je het niet werkelijk over end-to-end encryptie... Een voorwaarde voor E2E is immers dat de derde partij die ertussenin zit niet mee mag kunnen lezen... Dan is het immers geen werkelijke E2E meer, of op z'n minst een "backdoored" E2E...
(En volgens de EFF heeft WhatsApp geen backdoors...)

Kijk naar Threema om te zien hoe je dat een stuk beter kan doen.

WhatsApp gebruikt Axolotl, de encryptie die in TextSecure/Signal wordt gebruikt.
Ik ken Threema niet, maar in welk opzicht is dat precies beter?

Let wel dat je in WhatsApp ook de optie zal gaan krijgen om de sleutel te verifieren. Dit staat op de planning als de uitrol op alle platforms compleet is.
(Aldus Moxie Marlinspike.)

[Reactie gewijzigd door WhatsappHack op 17 december 2015 09:04]

[...]
Bij sommige implementaties is het zo dat je de sleutel zelfs kan verifieren, maar er nog steeds een MiTM mogelijk is.
Dit probleem blijf je altijd houden, en zal ook deels een kwestie van vertrouwen zijn...

Het vertrouwen dat een geheime sleutel bij een bepaalde persoon hoort, is essentieel voor het betrouwbaar toepassen van encryptie. Je kan net zo goed geen encryptie toepassen als je geen enkele aanwijzing hebt waar die sleutel bij hoort.

Maar zo kan je alles onderuit halen natuurlijk, want in theorie is helemaal niets veilig. In de toekomst kan met met quantum computing mogelijk alle encryptie met gemak breken, maar dat zegt vrij weinig over de veiligheid *op dit moment* van die encryptiestandaarden.
Er zit een verschil tussen theorie en praktijk.

Praktische QC is zover weg dat het voor Whatsapp-berichten niet relevant is, die zijn gewoon niet lang genoeg interessant. Daarbij zijn dit serieuze aanvallen die behoorlijke resources vereisen, om een niet geverifieerd sleutel te vervangen heb je enkel toegang tot het decrypted verkeer nodig, in WA's geval dus: de WA-servers.

Wat Teusink stelt is dat er geen end-to-end encryptie plaatsvindt in de traditionele zin, maar:
"Ik kan mij alleen niet herinneren dat dat gebeurt met een sleutel van mij."
En dát klopt dus niet, want dan heb je het niet werkelijk over end-to-end encryptie... Een voorwaarde voor E2E is immers dat de derde partij die ertussenin zit niet mee mag kunnen lezen... Dan is het immers geen werkelijke E2E meer, of op z'n minst een "backdoored" E2E...
(En volgens de EFF heeft WhatsApp geen backdoors...)

De is precies teusink's punt: Je kan niet controleren dat je naar de juiste sleutel encrypt en daarmee voegt de E2E-encryptie niets toe: Je moet namelijk de App, de SSL-provider en de Whatsapp-servers vertrouwen om het te kunnen gebruiken, dat is precies net zoveel als dat je met alleen SSL doet. Met andere woorden: Je derde partij (de Whatsapp-servers) kan inderdaad meelezen.

WhatsApp gebruikt Axolotl, de encryptie die in TextSecure/Signal wordt gebruikt.
Ik ken Threema niet, maar in welk opzicht is dat precies beter?

Je kan in Threema controleren dat de publieke sleutel van je gesprekspartner daadwerkelijk van hem is, mbv de key fingerprint of een QR-code die daarop gebaseerd is. Uiteraard doe je dat in persoon of, als je zijn stem goed genoeg kent, per telefoon.

Het vertrouwen dat een geheime sleutel bij een bepaalde persoon hoort, is essentieel voor het betrouwbaar toepassen van encryptie. Je kan net zo goed geen encryptie toepassen als je geen enkele aanwijzing hebt waar die sleutel bij hoort.

Ja prima, en dan nog kan het dus voorkomen dat je een methode hebt waarbij je de sleutel kan verifieren: maar er alsnog een MiTM-aanval kan plaatsvinden. Dan denk je netjes E2EE te zijn, maar is dat in de praktijk niet correct... Nogmaals: alles valt en staat bij de implementatie en de kracht van de onderliggende encryptie protocol

Maar "je kan net zo goed geen encryptie toepassen" is natuurlijk niet waar. Ik bedoel, laat ik een voorbeeld geven: stel het hele internet gebruikt TLS zonder signed certificaat, plain-text communicatie bestaat niet meer. Is dat wel of niet veiliger dan helemaal geen encryptie? Ponder that.
(Dat is iets waar ik voorstander van ben overigens... Heel het internet encrypten, plain-text afschaffen. SSL certificaten behouden hun functie voor verificatie, maar het internet an sich wordt toch echt veiliger omdat eikeltjes met WireShark al een stuk minder kunnen bereiken!)

Dan kan je wel meer encryptie methodes totaal afschrijven. Een CA kan je private keys hebben, houdt dat dan in dat al je SSL sites niet te vertrouwen zijn?

Maar goed, dan hebben we het over een andere vorm van encryptie.

om een niet geverifieerd sleutel te vervangen heb je enkel toegang tot het decrypted verkeer nodig, in WA's geval dus: de WA-servers.

Precies de reden dat ze dus willen zorgen dat je de key wél kan verifieren...
Hoe je het ook wend of keert, van axolotl is gewoon bewezen dat het 100% veilig is en dat het niet uitmaakt of er een server tussenzit... Die kan gewoon absoluut niet meelezen.

Natuurlijk is het zaak dat je dan wel eerst je sleutel moet kunnen verifieren, dat ben ik geheel met je eens... En die functie wordt ook nog in WhatsApp ingebouwd.
Wat is dus concreet het probleem als die uitrol voltooid is en die functie erin zit?

Het hele punt van goede encryptie is dat zelfs als zitten er twintig servers tussen het onmogelijk is voor alle tussenliggende hops, inclusief WhatsApp's servers dus, om mee te lezen.
En dat is precies wat er nu ingebouwd wordt...

Als je wilt ontkennen dat dat mogelijk is, en dat WhatsApp's servers dus *altijd* mee kunnen lezen of de sleuteltjes kan vervangen: dan snap je de encryptie en key-management methodes niet.
Het is **OP DIT MOMENT** mogelijk voor WhatsApp om dat te doen omdat er nog geen methode is ingebouwd waarmee je de sleutel kan verifieren.

Maar net als bij Signal, TextSecure en blijkbaar ook bij Threema komt deze functie er wel degelijk in.
Ik snap je commentaar dan ook niet helemaal. Je geeft zelf al aan dat dit een perfecte methode is om ervoor te zorgen dat je communicatie veilig is.

De is precies teusink's punt: Je kan niet controleren dat je naar de juiste sleutel encrypt en daarmee voegt de E2E-encryptie niets toe: Je moet namelijk de App, de SSL-provider en de Whatsapp-servers vertrouwen om het te kunnen gebruiken, dat is precies net zoveel als dat je met alleen SSL doet. Met andere woorden: Je derde partij (de Whatsapp-servers) kan inderdaad meelezen.

Dat is incorrect, je moet enkel WhatsApp vertrouwen op dit moment.
In de toekomst hoeft zelfs dat niet meer, omdat je dus een verificatie methode krijgt.

Daarnaast is dat alsnog niet Teusink's punt, die stelt namelijk dat de WhatsApp servers alle sleutels genereert in plaats van dat de toestellen dat doen. Dat is dus incorrect... Dat mega grote verschil moet je toch wel inzien?

Je kan in Threema controleren dat de publieke sleutel van je gesprekspartner daadwerkelijk van hem is, mbv de key fingerprint of een QR-code die daarop gebaseerd is. Uiteraard doe je dat in persoon of, als je zijn stem goed genoeg kent, per telefoon.

Dat heb je ook met TextSecure/Signal, en dit zal je ook krijgen bij WhatsApp zodra de uitrol van E2EE op alle platforms is voltooid.

Je hebt nu dus gelijk dat er op dit moment nog geen 100% zekerheid is dat je gesprek E2EE is, maar dat werkt dus precies zoals het geadverteerd is...

Ja prima, en dan nog kan het dus voorkomen dat je een methode hebt waarbij je de sleutel kan verifieren: maar er alsnog een MiTM-aanval kan plaatsvinden. Dan denk je netjes E2EE te zijn, maar is dat in de praktijk niet correct... Nogmaals: alles valt en staat bij de implementatie en de kracht van de onderliggende encryptie protocol

Je hebt èn-èn-èn nodig: Een degelijk protocol, correcte implementatie, betrouwbare RNG, sterke sleutels en slimme gebruikers met een snufje gezonde achterdocht.

Maar "je kan net zo goed geen encryptie toepassen" is natuurlijk niet waar. Ik bedoel, laat ik een voorbeeld geven: stel het hele internet gebruikt TLS zonder signed certificaat, plain-text communicatie bestaat niet meer. Is dat wel of niet veiliger dan helemaal geen encryptie? Ponder that.

Dat is minder veilig dan de huidige situatie aangezien het een vals gevoel van veiligheid geeft. Ik kan met bv Fiddler al dat verkeer gewoon afluisteren en vervangen, zonder dat de gebruiker dat doorheeft, wat ik overigens regelmatig doe.

Dan kan je wel meer encryptie methodes totaal afschrijven. Een CA kan je private keys hebben, houdt dat dan in dat al je SSL sites niet te vertrouwen zijn?

Als een CA je private keys heeft, is die key en daarmee de site die hij zegt te beveiligen inderdaad niet te vertrouwen.

Natuurlijk is het zaak dat je dan wel eerst je sleutel moet kunnen verifieren, dat ben ik geheel met je eens... En die functie wordt ook nog in WhatsApp ingebouwd.
Wat is dus concreet het probleem als die uitrol voltooid is en die functie erin zit?

Dan mogelijk niets meer maar dat is niet de situatie die we nu hebben en ik ga niet vooruitlopen op iets dat iemand belooft ooit te gaan doen.

"Je derde partij (de Whatsapp-servers) kan inderdaad meelezen."
Dat is incorrect, je moet enkel WhatsApp vertrouwen op dit moment.

Dat is toch precies wat ik zeg: Je moet Whatsapp, zowel servers als applicatie, vertrouwen.

Daarnaast is dat alsnog niet Teusink's punt, die stelt namelijk dat de WhatsApp servers alle sleutels genereert in plaats van dat de toestellen dat doen. Dat is dus incorrect... Dat mega grote verschil moet je toch wel inzien?

Teusink schrijft:
"Ik kan mij alleen niet herinneren dat dat gebeurt met een sleutel van mij. Ik vermoed dat WhatsApp zelf de sleutel(s) heeft,"
Daar lees jij heel veel tussen de regels door. Ik zie alleen een gebruiker die niet kan controleren of hij de juiste sleutels gebruikt.

Je zou je eens wat moeten verdiepen in public key encryption voordat je zulke onzin post.
In het kort werkt het zo: Een publieke en geheime sleutel vormen samen een paar. De publieke heeft in theorie iedereen, de geheime heb je alleen zelf. Wat je met de een encrypt kun je alleen lezen als je de ander hebt. Oftewel berichten die je naar iemand stuurt encrypt je met zijn publieke sleutel zodat alleen hij het kan lezen. De geheime sleutel hoeft de client van de gebruiker niet te verlaten en wordt daar ook gegenereerd, waarschijnlijk tijdens installatie.
Het enige dat whatsapp dan nodig heeft is de publieke sleutel van alle gebruikers. En het enige dat je daar mee kunt is berichten versleutelen zodat alleen degene met de geheime sleutel deze kan lezen. Iemand anders die de sleutel niet heeft kan het bericht niet ontcijferen.

Met hetzelfde systeem kun je ook berichten ondertekenen. Als je iets met jouw geheime sleutel encrypt kan iedereen het decrypten, maar weet je als ontvanger wel dat het bericht van die gebruiker komt. Alleen hij had immers de geheime sleutel.

Je mist het punt:
De autoriteit die jou vertelt dat een bepaalde publieke sleutel bij een bepaalde geheime sleutel van een bepaald persoon hoort, is de Whatsapp-server. Dat is precies het onderdeel dat je in het geval van E2E-encryptie niet vertrouwt. Anders kun je net zo goed twee SSL-lijntjes naar de server opzetten.
Je moet kunnen controleren, via een tweede, authentiek veilig maar niet noodzakelijk geheim, kanaal, bij voorkeur in persoon, dat iemand over de privésleutel beschikt die bij de publieke sleutel hoort die je wil gebruiken, anders voegt E2E-encryptie niets toe.

Heu, nu spreek je eigenlijk over iets dat niet kan.
Als het end-to-end encrptie is, dan mag WhatsApp per definitie dus niet de sleutels hebben. Hebben ze die wel, dan spreken we dus niet van end-to-end encryptie.
Wat je daar zegt kan dus niet.

Je kan gewoon iets op jouw toestel encrypten en op een ander toestel decrypten terwijl WhatsApp in het bezit is van het sleutelmateriaal (dat ze op dat moment niet gebruiken). Er wordt dan nog steeds end-to-end encryptie toegepast, ook al is er een grote fout in de implementatie.

Ja, dat kan... Maar dat is niet de bedoeling, en eigenlijk kan je dan ook nog steeds niet van end-to-end encryptie spreken... Ik bedoel, zoals Wikipedia het ook al omschrijft:

End-to-end encryption (E2EE) is a digital communications system that facilitates two or more parties, known as communication endpoints, to communicate securely through an untrusted third-party, such as telecommunications service providers, Internet providers, or application service providers

Je moet er dus vanuitgaan dat als er gesproken wordt van een E2E implementatie, dat men dan ook echt E2E bedoeld en niet "E2E met een expres ingebouwde backdoor waardoor we alsnog mee kunnen lezen".
Dan heeft de encryptie weinig nut.

WhatsApp heeft ook te kennen gegeven niet van plan te zijn backdoors in te bouwen, en dat wordt bevestigd door het EFF. Dus dat zou in principe ook al een hint moeten geven dat WhatsApp dus niet kiest voor een beuwst gebroken implementatie waar de server min of meer een MITM aanval kan uitvoeren.

Dat het in theorie mogelijk is: uiteraard.
Maar praktisch spreek je dan al, imho, niet meer van end-to-end encryptie omdat die "untrusted third-party" dus wel degelijk mee kan lezen... (Incidenteel is dat overigens waarom MProto in Telegram kritiek krijgt.)


In theorie is alles kapot natuurlijk.

Uiteraard slaan ze wel degelijk iets op, misschien niet de content van een bericht, maar dit zal per land verschillen:

Notwithstanding the above, WhatsApp may retain date and time stamp information associated with successfully delivered messages and the mobile phone numbers involved in the messages, as well as any other information which WhatsApp is legally compelled to collect.

Overigens, eerder dit jaar werd ook met een blokkade gedreigd, die op het laatste moment is afgeblazen.

Maar goed, de overheid in Brazilië word nu pas wakker en beseft dat internet bestaat en dat dat mogelijk schadelijk kan zijn voor hun imago, dus ze zijn met een wet bezig die mogelijk zelfs selfies als wapen kan gebruiken om mensen op te sluiten (als er iemand in beeld staat waarvan je niet weet of die dat wil).

Diezelfde wet bakt het "recht om vergeten te worden" in, maar alleen voor politici.
Interessant stukje.

Uiteraard slaan ze wel degelijk iets op, misschien niet de content van een bericht, maar dit zal per land verschillen:

De content van je berichten slaan ze hoe dan ook niet op.
Dat staat namelijk expliciet apart vermeld, en daarom kunnen ze ook end-to-end encryptie toepassen zonder voorwaarden te ontkrachten. Snapje?

Maar metadata... Ja, dat wel. Dat gaf ik in mijn post ook al aan dat ze dat *mogelijk* wel kunnen overhandigen.
Het punt is echter wel, dat WhatsApp zelf altijd beweerd dat het de autoriteit van andere landen niet erkent, en enkel aan de Amerikaanse wetgeving voldoet. (Al hebben ze wel netjes samengewerkt met onze College Bescherming Persoonsgegevens, waardoor ze ook 100% aan de NL wetgeving voldoen.)

Getuige dat ze hier kennelijk hun poot stijf houden, voegen ze daad bij woord.

Diezelfde wet bakt het "recht om vergeten te worden" in, maar alleen voor politici.
Interessant stukje.

Tja... Tja... Mja.
Dit soort passages zijn toch om te janken?

If Brazil’s conservative Congress gets its way, they’re going to take down the entire social web as we know it, with bills circulating through the legislature to criminalize posting social media content and to allow the government to spy on its citizens.

Getverdemme, je moet er toch niet aan denken dat je overheid dat wil.

Getverdemme, je moet er toch niet aan denken dat je overheid dat wil.

Lees je wel eens het nieuws?
http://tweakers.net/nieuw...rnetverkeer-aftappen.html
http://tweakers.net/nieuw...gdheden-aivd-en-mivd.html

Encryptieverbod komt ook nog wel, bij de overheid / overheden malen de molens heel langzaam...
(Waarom ik dat denk: Omdat de overheid zich nu sterk maakt voor privacy regels e.d., dus zal je volgens diezelfde overheid straks geen encryptie meer nodig hebben.)

On-topic:
Onder voorbehoud, ik weet natuurlijk niet waar de Braziliaanse rechter om gevraagd heeft.

Als Whatsapp een dienst aanbied in Brazilië, valt die dienst daarmee onder het Braziliaanse recht. Niet meer en niet minder. (En die discussie is al langer bezig, maar helaas de realiteit, zolang er geen globale wet- en regelgeving is.)
Als de rechter volgens de Braziliaanse wet iets van een communicatiebedrijf mag opvragen, moet dat communicatiebedrijf daaraan voldoen.
Punt.

Dat e.e.a. gebaseerd is op corruptie e.d., kan ik me ook goed voorstellen in het geval van Brazilië.

Neemt niet weg dat het nogal kortzichtig is de dienst te blokkeren, want er zijn voldoende alternatieven.

[Reactie gewijzigd door wjn op 17 december 2015 10:30]

Het vage is dus inderdaad dat details onbreken. Dus heeft wa gewoon helemaal niet gereageerd, beetje zoals wanneer jij de helpdesk belt, of heeft een onderzoeks rechter iets gevraagd wat technisch bijna niet kan.

Dat weten we dus niet, omdat de rechter heeft besloten de hele zaak als "geheim" te classificeren.
En WhatsApp zelf heeft nog niet in detail gereageerd op die rechtszaak.

Dan wordt het lastig. Maar als de rechters gevraagd hebben om content van in het verleden verstuurde berichten te overhandigen; dan heeft de rechter inderdaad iets gevraagd wat voor WhatsApp technisch onmogelijk is.

WhatsApp slaat helemaal niets op op haar servers... Alle berichten worden meteen verwijderd zodra ze afgeleverd zijn. Hier worden nooit kopietjes van gemaakt op welke wijze dan ook.

Cool cool maare... Als Whats App niks opslaat zou ik graag wel is willen weten hoe ik al mijn berichten kan terug krijgen op een nieuw apparaat.

Dit komt door de backup die je zelf maakt in de cloud of op je (default) telefoon. Dit kan ingesteld worden

IPhone was al lange tijd in de Icloud.
Android was lange tijd lokaal op je device en nu ook google drive.

Je kan kiezen elke dag of elke week etc.

Bij een nieuwe installatie of telefoon wordt zo'n backup gevonden er wordt er gevraagd of je deze wilt terugzetten

Waarom verdiepen menzen zich toch slecht in de materie. Sorry als ik wat uitval.

[Reactie gewijzigd door 634684 op 17 december 2015 10:34]

Ik zie dat dit inderdaad anders is tegenwoordig, excuus. Zit inmiddels al zo lang op Telegram

[Reactie gewijzigd door Larcorba op 17 december 2015 10:32]

Cave_Boy in 'nieuws: WhatsApp is twee dagen onbruikbaar in Brazilië wegens rechterlijke uitspraak'

Lees de discussie aldaar zou ik zeggen.

uitgebreid betoog, maar nergens op gebaseerd. Je weet niet welke data de overheid vroeg. Je kent de geldende Braziliaanse wetgeving niet. Je weet niet waarom Whatapp de dataoverdracht weigerde.
Het komt me voor dat een bedrijf waaraan gegevens worden gevraagd die het bedrijf niet bezit daarvoor niet gestraft kan worden.

De encryptie van Whatsapp is niet bijzonder sterk hoor. Achterhaald zelfs, aangezien de encryptie uit 2001 stamt.

Ik weet niet over welke encryptie jij het hebt, maar volgens mij loop je een beetje achter met je informatie. WhatsApp gebruikt de encryptie van TextSecure: axolotl.

Die is:
1.) Absoluut niet achterhaald, maar bewezen extreem sterk
2.) Absoluut niet afkomstig uit het jaar 2001.

Ik denk dat jij doelt op de toepassing van RC4?
Ja... Dat was achterhaald ja, vandaar dat ze Axolotl aan het inbouwen zijn; hetgeen actief is op Android en iOS en inter-communicatie tussen die devices; vandaar dat ik ook zei "90% van de markt wordt daar van bediend".

Naam waardig

Sorry? Whatsapp slaat wel degelijk wat op en je wilt niet weten wat. Ik had jaren terug WA al verwijderd maar omdat ik naar Thailand ging heb ik met een Thais nummer WA er weer opgezet om een groepsapp te maken. Altijd handig voor thuis, toch?

Maar mijn iphone bleef maar rinkelen. Mijn firewall ging de hele tijd af omdat WA te pas en te onpas verbinding wilde maken met het thuisfront (en dat was niet mijn thuisfront) en dat gebeurde voornamelijk na het maken van een foto. En mijn vermoeden is dus de Exif informatie van een foto waarin een hoop dingen zijn vastgelegd zoals GPS data die de meeste mensen gewoon aan laten staan.

Dus vertel mij eens, waarom wilt WA bellen met het thuisfront als ik allerlei dingen aan het doen ben wat niet met WA te maken heeft, maar wat wel gevoelige informatie bevat? Zoals mail, kalender en dus fotos.

En laten we het maar niet hebben over de "enorm sterke" encryptie die ze hebben ingebouwd, want die was allang door het EFF afgekraakt.

Maar mijn iphone bleef maar rinkelen. Mijn firewall ging de hele tijd af omdat WA te pas en te onpas verbinding wilde maken met het thuisfront (en dat was niet mijn thuisfront) en dat gebeurde voornamelijk na het maken van een foto. En mijn vermoeden is dus de Exif informatie van een foto waarin een hoop dingen zijn vastgelegd zoals GPS data die de meeste mensen gewoon aan laten staan.

Natuurlijk wil WhatsApp constant verbinding maken met het thuisfront.
Dat is nogal logisch. Het moet verbinding houden met de servers om te kunnen functioneren, hoe moet de client op je toestel anders weten dat er nieuwe berichten binnenkomen?

Dat noemen ze pollen.
WhatsApp moet constant verbinding hebben om te functioneren en om real-time berichten te kunnen ontvangen van je contacten. Daarnaast controleert de server ook periodiek of de boel nog online is. Kan je notificaties krijgen vanuit de server. Et cetera. Et cetera. Et cetera.

En laten we het maar niet hebben over de "enorm sterke" encryptie die ze hebben ingebouwd, want die was allang door het EFF afgekraakt.

Nee.
Axolotl wordt juist de hemel in geprezen door het EFF.
WhatsApp draait op Axolotl, de encryptie van TextSecure.

Nou de enqryptie van Telegram is ook niet echt top. Dat het juist onveilig was.

Goede End to end encryptie is alleen voor android naar android overigens en niet voor groepsgesprekken: http://www.pcmweb.nl/nieu...ing-niet-betrouwbaar.html
(Is 7 mnd oud artikel, zou kunnen dat het nu anders is.)

Dat was gebaseerd op een artikel van Heise, die sensatiezoekers bleken te zijn.
Moxie zelf heeft daar nog op gereageerd:
https://www.reddit.com/r/...alysed_its_pretty/cqtxbh7

Intussen is ook iOS geheel encrypt overigens.
Groepsgesprekken komen er aan, en zijn met enkel gebruikers van iOS en Android ook al encrypt, inclusief re-key als iemand het gesprek verlaat.

Je baseren op aannames en marketing die via geruchten kanalen tot je zijn gekomen is zeer slecht voor je veiligheid en privacy.

Welke audit van een derde onafhankelijke gerenommeerde partij heb jij gelezen?

Want dergelijke audit heb ik nooit gelezen.

Bovendien is een telefoonnummer genoeg om meer van je te weten dan dat jezelf over jezelf weet.

Er is een reden dat Facebook zoveel geld neertelde voor whatsapp. En dat was geen ideologische reden.

Gratis bestaat niet en zolang jij niet iets speciaal voor jezelf hebt laten maken dan weet je niet wat je gebruikt en wat er met je data gebeurd.

Rechters zullen niet zomaar iets opleggen en er valt wat voor te zeggen indien een overheid bepaalde voip gesprekken niet kan tappen. Wat dat aangaat zal elke voip oplossing die in de USA toegestaan is gewoon aftapbaar zijn.

Welke audit van een derde onafhankelijke gerenommeerde partij heb jij gelezen?

Die van de EFF en die van onze CBP bijvoorbeeld...

Bovendien is een telefoonnummer genoeg om meer van je te weten dan dat jezelf over jezelf weet.

Oh? Ik ben benieuwd wat jij allemaal kan dan als je m'n telefoonnummer hebt.
Vertel?

Er is een reden dat Facebook zoveel geld neertelde voor whatsapp. En dat was geen ideologische reden.

Klopt, dat was om geld te verdienen.
En dat gaan ze flink doen ook. Maar niet met gebruikersdata. Facebook mag niet eens bij de data van WhatsApp, ze hebben al niet veel: maar wat ze hebben daar mogen ze niet bij.
Afgedwongen door de Amerikaanse overheid... Bij monde van de FTC. (Link al eerder geplaatst hier.)

Gratis bestaat niet en zolang jij niet iets speciaal voor jezelf hebt laten maken dan weet je niet wat je gebruikt en wat er met je data gebeurd.

WhatsApp is dan ook niet gratis.
En nee, dat klopt. Je moet altijd een slag om de arm houden. Maar je moet niet doorslaan tot paranoia, natuurlijk.

Rechters zullen niet zomaar iets opleggen en er valt wat voor te zeggen indien een overheid bepaalde voip gesprekken niet kan tappen. Wat dat aangaat zal elke voip oplossing die in de USA toegestaan is gewoon aftapbaar zijn.

Nee, kijk maar naar RedPhone.

Ja want de amerikaanse overheid is de grootste voorstander van privacy xD

Hun eigen rechtssysteem houd zich niet eens aan hun regels. De CIA delete niet eens gegevens waar ze specifiek de opdracht voor hebben gekregen na rechtzaken over dat ze die gegevens in de eerste plaats niet eens mochten hebben.

Maar heeft WhatsApp uberhaupt gereageerd op het bericht van de rechtbank? Mijn inziens kan men ook reageren met "wegens onze technische situatie hebben wij geen info over onze gebruikers" en dit dan nog ondersteunen met hun technische situatie.
Rechtbank blij (?) want ze hebben een antwoord. WhatsApp blij want ze kunnen nog steeds zeggen dat ze geen gebruikergegevens doorspelen aan het gerecht.
Als men natuurlijk droogweg reageert met "wij kunnen deze gegevens niet geven", leest de rechtbank "aangezien wij de privacy van onze gebruikers willen beschermen, geven wij u deze info niet". Rechtbank pissed of natuurlijk

Als er iets compleet ongeloofwaardig is, is het wel een service van feestboek met goede privacy.

Het maakt me niet uit wat ze gebruiken, we hebben het al zo vaak gezien tot nu toe dat het me verbaasd dat iemand nog dom genoeg kan zijn om erin te trappen. Iedereen slaat gegevens op.

Je herhaalt de hele tijd dat WhatsApp geen telco is, maar als het geen TELecommunication COmpany is, wat is het dan wel?
Een chat-app is evengoed telecommunicatie, dus het bedrijf achter een chat-app is een telecommunicatiebedrijf.
Het ontkennen daarvan komt meer over als proberen de verplichtingen die erbij horen te ontwijken dan iets anders.

Het is een internet dienstverlener. Het heeft geen eigen netwerk (buiten dat wat de servers aan elkaar koppelt dan) bijvoorbeeld. Dat is het grote verschil. Een telco is wat je ISP is, maar een chat service die over het internet heengaat maakt het nog geen telco...
Er zit een verschil tussen dienstverleners en een volwaardige telco.

Het is wel een relatief dun lijntje, ja.

En overheidsbemoeienis is nou precies waarom WhatsApp zo'n enorm sterkte encryptie heeft geactiveerd: daar wilden ze geen risico lopen, gewoon E2E inschakelen en zelfs als de overheid dan een tap wil hebben heeft het totaal geen zin dankzij de sterke encryptie van de berichten zelf.

Leuk bedacht, maar zolang het niet 100% doorgevoerd is en ook niet 100% duidelijk gemaakt wordt wanneer het wel en niet van toepassing is kan je beter zeggen dat er geen encryptie is, want in basis heb je geen idee wanneer een bericht nou wel of niet ge-encrypt wordt.

WhatsApp slaat helemaal niets op op haar servers... Alle berichten worden meteen verwijderd zodra ze afgeleverd zijn. Hier worden nooit kopietjes van gemaakt op welke wijze dan ook.

Dat zou tegenstrijdig zijn met allerlei wetgeving, oftewel dat is meer een commercieel verhaal dan dat het echt technische werkelijkheid is.

En bijkomend groot probleem met dit soort zaken: het merendeel van de communicatie op WhatsApp is dus end-to-end encrypt tegenwoordig, waardoor WhatsApp niet kan meelezen zelfs als ze dit zouden willen.

Het merendeel, daar zit het probleem in. Het is niet 100% encrypted, dus WA kan echt wel iets overhandigen. Alleen WA wenst dit niet te doen.

Maar goed. Ik ben benieuwd wat de werkelijk reden is voor de blokkade, en hoop voor de Brazilianen dat ze snel weer gebruik kunnen maken van WhatsApp. Iedereen moet veilig kunnen communiceren met een applicatie die je privacy respecteert, berichten zeer sterk encrypt en niet al je berichten opslaat.... Ook Brazilianen. Of de telco's dat nou leuk vinden omdat ze centen mislopen of niet.

Dan zou je voorlopig WA aan de kant moeten zetten totdat ze het hele e2e gebeuren 100% afhebben, zolang het niet af is voldoet WA niet aan jouw wensen.

Leuk bedacht, maar zolang het niet 100% doorgevoerd is en ook niet 100% duidelijk gemaakt wordt wanneer het wel en niet van toepassing is kan je beter zeggen dat er geen encryptie is, want in basis heb je geen idee wanneer een bericht nou wel of niet ge-encrypt wordt.

Constant.
Maar in deze zaak vooralsnog irrelevant, omdat de berichten toch van de server afgeknikkerd worden. E2EE geeft je daar enkel extra veiligheid bij, maar die kan je inderdaad *nog* niet verifieren.

Dat zou tegenstrijdig zijn met allerlei wetgeving, oftewel dat is meer een commercieel verhaal dan dat het echt technische werkelijkheid is.

Welke wetten dan?
Er is geen enkele wet die WhatsApp verplicht om berichten te bewaren.
Echt *geen enkele*. Citeer mij de wet die het ze verplicht?

Het merendeel, daar zit het probleem in. Het is niet 100% encrypted, dus WA kan echt wel iets overhandigen. Alleen WA wenst dit niet te doen.

Het merendeel van de markt. De chats an-sich in Android en iOS zijn 100% encrypt, inclusief groepsgesprekken. (Noot: media nog niet.) Die hebben samen 90% van de markt in handen; dus vandaar "het merendeel".

Daarnaast stel je dat WhatsApp dan echt wel iets kan overhandigen.
Maar hoe dan? De berichten worden immers verwijderd. Met of zonder encryptie: die berichten worden niet bewaard. Er valt dus, zelfs in het scenario dat het niet encrypt zou zijn, niets meer te overhandigen: die data is pleite...

Dan zou je voorlopig WA aan de kant moeten zetten totdat ze het hele e2e gebeuren 100% afhebben, zolang het niet af is voldoet WA niet aan jouw wensen.

Zeker wel, immers weet ik dat 99% van de gesprekken E2EE zijn.
Maar ook zonder encryptie is het nog altijd de betere keuze over concurrenten... Behalve Signal. Maarja... Signal heeft nauwelijks gebruikers, dus daar heb je als communicatiemiddel dan helaas weer niets aan.


Ik snap je skepticism trouwens hoor!
Ik heb er nu zoveel onderzoek naar gedaan, zoveel met verschillende instanties gebabbeld, ook met WhatsApp zelf gebabbeld (uiteraard; daar hou ik een slag om de arm of wat ze zeggen correct is Immers: wij van WC-Eend, etc.), code snippets geanalyseerd, et cetera: dat is wat meer dan je normaal ziet. Misschien dat ik daarom een wat vastere overtuiging heb dan de gemiddelde gebruiker die je tegenkomt.

[Reactie gewijzigd door WhatsappHack op 18 december 2015 06:36]

Lijkt me bijzonder extreem sterk dat whatsapp (Lees: F A C E B O O K) geen berichten opslaat. Dat is wat ze jou graag willen laten geloven. Ja, facebook slaat de door whatsapp gestuurde berichten heus wel op hoor, maak je geen zorgen.

Als je daar zo zeker van bent, dan zie ik graag het bewijs en zou ik eventueel m'n post aanpassen.
Tot die tijd ga ik ervanuit dat, zoals meerdere bronnen bevestigen, WhatsApp zich keurig aan hun privacy beloften houdt.

Aan de ene kant zegt Whatsapp dat ze helemaal niet van je bewaren, aan de nadere kant klopt dat niet. Als je bv inlogt in de Whatsapp web-omgeving, zie je al je chats gewoon staan. Deze worden dermate snel geladen dat deze niet vanaf je mobiel kunnen komen.

Die worden toch echt van je mobiel gehaald.
En waar hebben we het dan ook over...?

Stel je hebt 100 chats waarvan de intiele data ingeladen wordt.
Die intiele data is als volgt:
100 gesprekken, met een naam en het begin van het laatste bericht dat aan jou verstuurd is.

Lay out:
"Contactnaam"
"Laatste bericht begin (header)"

Stel dat is:
"Markee Smith
Hey man, alles goed?"

Dan hebben we het over 33 bytes, en dat is dan een gemiddelde...
Dat keer 100 gesprekken... Dat zijn 3300 bytes. Dat is 3.3KB.

... Zelfs op 2G wordt die 3.3KB binnen één seconde van je mobiel naar je computer gestuurd. Hoezo kan dat niet van je mobiel komen??

Okee, en dan open je een chat... In een chat worden enkel de laatste paar berichten geladen. Ik geloof een stuk of 10 a 15 ofzo. Okee, ik ga nu een heel ruim voorbeeld nemen, stel elk bericht is 500 karakters lang... Dat is 500 bytes. Dat keer 15 berichten. Dat is 7500 bytes == 7.5KB.

... Wil je nou werkelijk beweren dat om minder dan 10KB te versturen, je een 100Mbit verbinding oid op je toestel zou moeten hebben om dat naar je PC te sturen?
Nee natuurlijk niet, en natuurlijk verschijnt dat razendsnel! We hebben het puur over wat tekst.
En dan heb ik het er dus nog niet eens over dat echt niet elk bericht dat je in een chat krijgt 500 karakters lang is... Meestal krijg je juist heel korte berichtjes op WhatsApp.
In werkelijkheid zullen we het misschien over 1 tot 3KB hebben om een chat te laden.

Die data komt wel degelijk van je mobiel af.

[Reactie gewijzigd door WhatsappHack op 17 december 2015 10:23]

Deze worden dermate snel geladen dat deze niet vanaf je mobiel kunnen komen.

Heel erg aparte denkwijze, ze worden snel geladen dus dan kan het niet van je telefoon komen, dan moet het wel van servers vandaan komen die 10.000x zo ver liggen als je telefoon.

Dan moet WA wel iets heel heel sensationeels hebben bereikt als ze zo'n simpele wet als lichtsnelheid kunnen overbruggen die gewoon zegt dat data die dichterbij staat veel sneller te benaderen is dan data die veraf staat (zolang de verhoudingen maar groot genoeg zijn)

En zo stappen al die mensen over op andere chat apps ala Telegram. Probleem niet verholpen, alhoewel juist Telegram nog net die functie van bellen mist. Gelukkig snappen de providers in NL wel hoe het moet, door Whatsapp gebruik niet te ontmoedigen. Hou je toch niet tegen namelijk.

Als je Telegram mag geloven, zouden die echter ook verzoeken vanuit de overheid weigeren.
Verschil tussen Telegram en WhatsApp is echter wel dat Telegram wél alle berichten opslaat en voor hen toegankelijk is, terwijl dat bij WhatsApp niet zo is.

Wat dat betreft zou je dus twee dingen kunnen concluderen:
1.) Of Telegram zal in de nabije toekomst ook geblokkeerd worden...
2.) Of Telegram wordt niet geblokkeerd, wat kan duiden op:
-- 1.) Telegram heeft geen belfunctie, dus niet slachtoffer van telco lobby's; en wordt derhalve niet door de rechtbank gepest
-- 2.) Telegram gaat wél in op verzoeken van de overheid, ondanks dat ze zeggen dat niet te doen... Wat mogelijk nog veel schokkender is.

Erg lastige situatie.
En ook meteen eentje waarvan je nooit zal weten welk van de opties het is.

[Reactie gewijzigd door WhatsappHack op 17 december 2015 06:53]

Elke direct messaging app doet zeer bij providers omdat ze sms inkomsten kwijt zijn geraakt. In nederland is met neutraliteit geregeld dat providers voip en berichten niet mogen blokkeren.

Dan komen alle mensen die bij de overname door Facebook een tijd geleden halsoverkop zijn overgestapt van de regen in de drup. Jaja, mooie tijd, mooie tijd. Moord en brand.

volgens mij was het de Europese wet die stelt dat data data is en dat providers niet de ene app voortrekt ten opzichte van de ander. Dus niks van de providers hier weten hoe het moet, als het aan de providers hier lag moest je al lang geleden apart betalen voor gebruik van populaire apps.

Nou ja dat ging hier ook niet zonder slag of stoten, het begrip chatheffing werd hier door KPN in het leven geroepen. Misschien maar goed ook want dat leidde later tot een flinke discussie over netneutraliteit en dat heeft ons nu duidelijkheid (nou ja, in ieder geval meer openheid) verschaft over deep-packet-inspection en zekerheid van onbelaste doorgave van andere diensten zoals Netflix, Facebook, etc

[Reactie gewijzigd door pimsaint op 17 december 2015 07:02]

Dat zijn twee verschillende dingen. WhatsApp is twee dagen uit de lucht omdat ze niet meewerken in een strafzaak en een bevel van de rechtbank naast zich neerleggen. Dat staat helemaal los van hun statuut als aanbieder van telecomdiensten, dat zijn gewoon heel andere conflicten.

Ik zou ook niet weten hoe of waarom je die situatie nu met Nederland wil vergelijken. In Nederland bestaat er weinig twijfel over licenties voor WhatsApp als telecomprovider, omdat WhatsApp dat wettelijk gezien niet is.

Goed dat Whatsapp niet zo maar informatie weggeeft. het afsluiten is gewoon chantage.

En providers moeten niet zeuren Whatsapp is gewoon een moderne manier van communiceren, net als Skype. Providers die leven van belminuten zullen dan ook andere verdienmodellen moeten bedenken.

een rechter geeft niet zomaar toestemming om gegevens op te vragen, wat als hiermee nou een moord of iets vergelijkbaars wordt opgelost. Nee bedrijven moeten zich niet boven de wet gaan plaatsen.

Het is meer een probleem dat WhatsApp geen gegevens heeft.
Ze slaan geen berichten op. Ze kunnen enkel zien wie er met wie heeft gecommuniceerd qua telefoonnummer; maar als de overheid aldaar gegevens opvraagt bij WhatsApp moet dus al bekend zijn dat die communicatie heeft plaatsgevonden... Dan heeft WhatsApp eigenlijk niets meer toe te voegen... En weigert derhalve terecht om mee te werken, immersk kan het niet.

En waar staan de berichten dan als je bijvoorbeeld nar een andere telefoon gaat? Je krijgt zonder back-up terug te zetten de melding van wilt u uw geschiedenis terugzetten?

En waar staan de berichten dan als je bijvoorbeeld nar een andere telefoon gaat? Je krijgt zonder back-up terug te zetten de melding van wilt u uw geschiedenis terugzetten?

Afhankelijk van het toestel.
SD Kaart, iCloud Backup (< wordt vaak over 't hoofd gezien.), Google Drive Backup, Samsung Backup (Samsung heeft er trouwens een handje van om dit ongezien en zonder expliciet toestemming te vragen te doen... Dat is niet erg prettig), en ga zo maar door.

In principe verlaat dit nooit je toestel tenzij je daar zelf voor kiest.
(Of als je je SD kaartje in een ander toestel stopt in het geval van Android WhatsApp slaat automatisch backups op op de SD Kaart van je toestel.)

Het staat in ieder geval niet op WhatsApp's servers.
Koop maar eens een nieuw Android toestel, stop daar geen SD kaartje in, meld je niet aan bij enige accounts en installeer vervolgens WhatsApp... WhatsApp zal je echt niet vragen of je je geschiedenis wilt terugzetten, want die ontbreekt.

Vandaar!

Hmm, ik flash wel eens een nieuwe rom en herstel dan ook de berichten in Whatsapp, als het van Google Drive komt dan waar staan ze dan in mijn drive?
In de webomgeving zie ik geen bestand als whatsapp-datum.zip?
Edit: SD kaart zou kunnen, is dat encrypted eigenlijk?

[Reactie gewijzigd door Soldaatje op 17 december 2015 07:18]

Edit: SD kaart zou kunnen, is dat encrypted eigenlijk?

Ja, alleen durf ik zo even de encryptie methode niet te benoemen.
Een paar jaar geleden stelde die niets voor, maar vorig jaar ergens hebben ze enorme wijzigingen doorgevoerd; en die encryptie is voor zover ik weet nog niet gekraakt... Ik weet alleen niet wat ze daar precies voor gebruiken, maar dat zal vast wel ergens te vinden zijn.

Ik geloof dat er een soort hybride ontstaan was waardoor de backup niet ontsleuteld kon worden zonder dat de WhatsApp-client dit initieerde en een stukje sleutel meekreeg vanuit de WhatsApp server op het moment dat je verificatie aanvraagt (aanmelden dus.); zo werd het onmogelijk de boel zonder flink te gaan brute-forcen te decrypten... Al moet je je afvragen: als iemand je backup bestand weet te jatten van je SD kaart of je niet grotere problemen hebt

Maar dat durf ik dus niet met zekerheid te zeggen.

.crypt5 en .crypt6 bestanden had je een key file uit de data folder van Whatsapp voor nodig, en dan kan je ze ontsleutelen.

Onlangs heb ik een Moto G 2015 gekocht (kwam van een Xperia P. In de P kan geen SD kaart en ik heb me Google backup uitstaan. Het enige wat gesynct wordt zijn de contacten. Ik kreeg toch echt een melding of ik een geschiedenis wilde terugzetten. Dit downloade hij toch echt van de Whats App server je zag ook echt een download balk (was iets van 300MB).

Nee. We kunnen er lang en breed off-topic over gaan discussiëren, maar het kan niet van de WhatsApp servers afkomen.
WhatsApp slaat het niet op, period.

De enige reden waarom je een *download* balk zou krijgen, is een backup downloaden vanuit Google Drive. Dat je je toestel backup uit hebt geschakeld, wil niet zeggen dat WhatsApp dan ook geen gebruik kan maken van Google Drive... Daar zit een verschil in, applicaties kunnen Google Drive gewoon voor Storage gebruiken; daar hoeft de backup functie van het toestel niet voor ingeschakeld te zijn... Het is net zo iets als Dropbox, zegmaar.

Je hebt je aangemeld met je Google account zie ik, dan heeft WhatsApp daar je backup vandaan getoverd... Dat verklaart ook je download balk.

Je kan het natuurlijk testen als je me niet gelooft... Gooi heel je telefoon leeg (écht helemaal leg, dus formatteer telefoongeheugen *EN* de SD Kaart), reset en log dan NIET in met je Google Account, zodat Google Drive niet te benaderen valt... WhatsApp zal niet kunnen herstellen, en zal je verzoeken om in te loggen naar Google Drive. (En je waarschuwen dat als je dat *niet* doet, dat herstellen in de toekomst dan onmogelijk zal zijn omdat je niet op een later moment alsnog je backup kan gaan herstellen.)

Maar neem nou maar van mij (en mede-Tweakers die ook reageren) aan dat het écht niet van WhatsApp's servers afkomt.

je kan niet voorbij de 1st boot van Android...je moet een google account instellen!

Dan maak je toch een nieu Google account.

Je kan dat gewoon overslaan, krijg je een waarschuwing over updates, en gaat vervolgens gewoon verder met de installatie

Op mijn Google drive heb ik niks van Whats app staan en die backup functie heb ik uitstaan.

Op je SD kaart en tegenwoordig ook op, bijvoorbeeld, google drive. Als je naar een andere telefoon gaat, zet whatsapp de backup terug uit google drive. Ze hebben het niet zelf.

Op je sd kaart (elke nacht gebackupped) en sinds kort heb je de keuze naar je Google account te syncen. Zonder die twee zover ik weet geen berichten terug bij een herinstallatie of een nieuwe telefoon.

[Reactie gewijzigd door Rataplan_ op 17 december 2015 07:06]

infrastructuur van Watsapp doorgenomen? Ik gok nl dat ze heus je berichten daar wel opslaan en helemaal door de overname van Fb. Plus als je offline bent en iemand stuurt je een bericht, wat gebeurt er met dat bericht?

infrastructuur van Watsapp doorgenomen?

Ja.

Ik gok nl dat ze heus je berichten daar wel opslaan en helemaal door de overname van Fb.

Nee.

Plus als je offline bent en iemand stuurt je een bericht, wat gebeurt er met dat bericht?

Dat staat netjes beschreven: berichten die niet meteen afgeleverd (pass-through) kunnen worden, worden tot maximaal 30 dagen bewaard. Daarna worden ze weggeknikkerd als ze nog steeds niet afgeleverd kunnen worden.

Overigens zijn die berichten tegenwoordig in zo'n 90% van de gevallen end-to-end encrypt, en dus kan WhatsApp niet eens meelezen al zouden ze willen; en al zouden ze wel kopietjes maken.

Hoe heb jij dan de daadwerkelijke infrastructuur van WA doorgenomen als ik vragen mag?

Of bedoel je dat je de commerciele verhaaltjes hebt doorgenomen die de commerciele afdelingen op internet zetten?

Wat een kortzichtige reactie, zonder enige onderbouwing waarom je gokt en het heus wel vind. Je hebt je duidelijk totaal niet verdiept in de materie en roept maar wat.
Je kan zo de (lokale) politiek in.

Hoezo kortzichtige reactie. Ik reageer exact hetzelfde als degene boven mij, echter is er 1 verschil. Ik geef eerlijk toe dat ik het niet weet en ga uit van de praktijk en de praktijk wijst mij erop dat Facebook er tussen zit.
Het is kortzichtig om te zeggen de Whatsapp aangeeft dat ze berichten niet opslaan...een 'wij van WC eend' verhaal.
Zolang jij niet weet wat er tussen verzender en ontvanger met het verzonden bericht gebeurt kan je nooit roepen dat ze het niet opslaan.

Dan heeft WhatsApp eigenlijk niets meer toe te voegen... En weigert derhalve terecht om mee te werken, immersk kan het niet.

Als ze de berichten niet hebben is er dus geen enkel probleem om mee te werken en alle informatie die ze wel hebben over te dragen...

Ah,
Dit was dus de reden van de sterke groei van Telegram in Brazilië vannacht. 3uur geleden al 1,5 miljoen gebruikers erbij vannacht... En ze hadden gelijk last met hun SMS gateway voor de activatie smsjes.

Bron:
https://twitter.com/telegram

Als Telegram dat zegt, moet het wel met een korreltje zout genomen worden...
Die beweerden ook miljoenen gebruikers te hebben in NL. Nou waar zijn ze dan? Anyway...

Maar dat terzijde... Als WhatsApp werkelijk geblokkeerd is omdat ze niet mee willen werken aan verzoeken van de overheid, dan moet Telegram als ze woord houden ook binnen nu en een half jaar geblokkeerd zijn in Brazilië.
Dat wordt dus een erg interessante casus... Als Telegram *niet* geblokkeerd wordt kan dat maar twee dingen betekenen:
1.) Ze hebben geen belfunctie, dus er wordt niet tegen ze gelobbyd
2.) Ze werken, ondanks wat ze zelf beweren, wel mee met overheidsverzoeken om privédata te overhandigen...

Ik gok overigens dat het 1e eerder het geval zou zijn dan het 2e... Ik denk oprecht dat deze blokkade van WhatsApp meer te maken heeft met lobby vanuit de Telecom Providers in Brazilie dan dat het werkelijk iets te maken heeft met het wel/niet meewerken aan overheidsverzoeken... En dan heeft Telegram dus helemaal niets te vrezen.

We zullen zien!

[Reactie gewijzigd door WhatsappHack op 17 december 2015 07:06]

Telegram gebruiker hier.

Hehe, die reactie had ik kunnen verwachten natuurlijk.
Even voor de duidelijkheid dan maar: ik weet wel dat er een aantal Telegram gebruikers zijn. Zeker onder Tweakers is het erg populair. Ik betwijfel enkel dat er *miljoenen* gebruikers in Nederland zouden zijn.

Sorry ik kon het niet laten.
Maar je hebt een punt dat zie ik in mijn omgeving ook wel, ik ken maar een paar mensen die telegram gebruiken. Maar ik zie wel dat het er meer worden en mensen zien de voordelen heel snel. Het feit dat ze telegram op al mijn hun apparaten kunnen installeren en gebruiken zonder dat hun mobiel met internet is verbonden is dat is toch wel een heel sterk punt.

Het feit dat ze telegram op al mijn hun apparaten kunnen installeren en gebruiken zonder dat hun mobiel met internet is verbonden is dat is toch wel een heel sterk punt.

Dat ligt aan je beleving.
Ik vind dat dus namelijk juist een heel erg zwak punt, omdat ik daarvoor al mijn berichten, contacten en media moet opslaan op een cloud waar ik zelf geen controle over heb; en waar de voorwaarden vaag van zijn.

Dan vind ik het toch wat prettiger dat ik mijn telefoon nodig heb en vanuit daar een link leg met mijn browser, en dat enkel en alleen op m'n telefoon al mijn data op staat en alle communicatie regelt. Die link hoef je maar één keer te leggen en daarna werkt het totdat je je afmeld of de sessie terminate en de encryptie sleutels dus ongeldig maakt.

Ik snap dat voor veel mensen die Telegram gebruiken in hun beleving die methode makkelijker is. En dat is ook zo. Echter kies ik liever voor encryptie en dat m'n data uitsluitend op m'n toestel staat, dan in de cloud. Dat ik daar een stukje gebruiksgemak voor moet inleveren zij dan maar zo.

Het is dus maar hoe je het bekijkt of dat een heel sterk punt is, en waar je prioriteiten liggen.
Zo zie je maar weer: alles is relatief, en of een functie goud of vergif is ligt helemaal aan de perceptie van de gebruiker.

Er is dan ook geen "beste messenger", maar enkel "de beste messenger voor mij".

[Reactie gewijzigd door WhatsappHack op 17 december 2015 07:58]

Juist 100 punten. (Wou net zelf jouw verhaal intikken)

Daarom werkt web whatsapp zoals het werkt. Afgeleverde berichten staan niet meer op de server vandaar de koppeling met je Phone.

Voor mij zelfs een reden om Whatapp boven Telegram te kiezen.

We hebben de discussie al vaker gevoerd maar ik prefereer het hebben van een keuze tussen gemak (gewoon op alle apparaten kunnen communiceren ipv alleen op telefoon) en veiligheid (secret chat).

De beste messenger zou overigens degene zijn die alles combineert, dus én volledige client side (end to end) encryptie, én op ieder apparaat erbij kunnen omdat het (encrypted) in de cloud staat.

Haha! Klopt als een bus.
We blijven elkaar zo tegenkomen, en ik denk niet dat we het ooit eens worden op dat punt.

Maar!
Laten we het in iedergeval eens zijn op dit punt:

De beste messenger zou overigens degene zijn die alles combineert, dus én volledige client side (end to end) encryptie, én op ieder apparaat erbij kunnen omdat het (encrypted) in de cloud staat.

Daar ben ik het mee eens!
Zoals eerder wel genuanceerd: mits goed uitgevoerd.
(En ik geloof dat we het daar weer oneens waren over de methode. )

Daar ben ik het mee eens!
Zoals eerder wel genuanceerd: mits goed uitgevoerd.
(En ik geloof dat we het daar weer oneens waren over de methode. )

Haha, nou laten we het in ieder geval eens zijn over: als het 100% open source is en verifieerbaar door derden, en gecompileerd kan worden tot exact dezelfde binary als in de play store staat.

Daar jij het daarnaast ook al voldoende vindt wanneer een paar organisaties zoals de EFF er hun licht over hebben laten schijnen, vooruit

Overigens vind ik al dat encryptie en privacy gebeuren vooral een principekwestie. Voor 99% van mijn communicatie boeit het me eigenlijk niet zo of facebook of de AIVD het kan lezen, zo ultra geheim en gevoelig is het allemaal heus niet. Maar het principe staat me niet aan, behalve mijn gesprekspartner zou gewoon fundamenteel niemand de mogelijkheid moeten hebben om erbij te kunnen (en ik wil daarvoor ook niet van de zogenaamde goede wil of betrouwbaarheid van een of ander bedrijf afhankelijk zijn wiens beloftes ik maar moet geloven), daarom ben ik voor de meest compromisloze oplossing op dit gebied.

[...]
Overigens vind ik al dat encryptie en privacy gebeuren vooral een principekwestie. Voor 99% van mijn communicatie boeit het me eigenlijk niet zo of facebook of de AIVD het kan lezen, zo ultra geheim en gevoelig is het allemaal heus niet.

Het gaat wel iets verder dan principe, het is gewoon in het verleden nodig gebleken omdat niemand de toekomst kan voorspellen.

Het boeide vroeger (en nu in wezen nog steeds) ook niet dat je geloof ergens geregistreerd stond, het was nooit iets geheims of wat dan ook, totdat WOII kwam en de duitsers hele adressenlijsten hadden van joden.

Je weet niet wat de toekomst gaat brengen en of er dus bijv niet nu standaard woorden straks verboden gaan worden oid. En als het eenmaal op het internet staat gaat het er nooit meer vanaf, dus je praat niet zozeer over dat het dit jaar verboden wordt, maar meer over als het over 25 jaar verboden wordt dan kunnen ze als het ongeencrypt is jouw huidige data bij de analyse betrekken en zeggen : 25 jaar geleden had hij er interesse in, er is geen reden om aan te nemen dat hij er nu geen interesse meer in heeft dus oppakken maar die gozer.

Optie drie het is geen Amerikaans entiteit die een protocol gebruikt die kan worden geblokkeerd.

SKYPE is zeer lastig te blokkeren omdat het dynamische poorten gebruikt.

Ik zie op diverse flora al veel brazilianen die vragen hoe je VPN moet instellen op de telefoon. Kijken hoe lang het duurt voordat de telcos dat gaan verbieden.

Wat bezielt zo'n bedrijf dan ook om geen gehoor te geven aan een verzoek van de rechter? Als dat technisch onmogelijk is dan geeft je dat als bedrijf toch aan? Dringt de rechter toch aan dan kan dat zijn omdat de rechter een dwaling heeft (onwaarschijnlijk omdat de rechter natuurlijk ook niet alleen is) of dat het bedrijf in kwestie een dienst aanbied die niet de eisen die de wet stelt aan het opslaan van data vervult. Is dat laatste het geval dan kan dit nog heel naar aflopen voor Whatsapp. Als we de arrogantie van Amerikaanse internetbedrijven als Google, Facebook en Uber zien in de wijze van omgang met wetgevingen in andere landen dan lijkt me dat niet eens onwaarschlijnlijk.

Als dat technisch onmogelijk is dan geeft je dat als bedrijf toch aan?

Dat hebben ze ook gedaan... In Februari al, notebene!
Toen heeft een rechter besloten dat, uit het oogpunt van kinderporno bestrijding, WhatsApp geblokkeerd moest worden omdat WhatsApp niet kon meewerken aan het verzoek om data te overhandigen die ze graag wilde hebben.

Een hoger gerechtshof heeft dit meteen weer teruggedraaid, maar nu is er dus opnieuw een rechter die WhatsApp blokkeert. Alleen dit keer met meer succes: dit keer wordt het echt geblokkeerd.

Braziliaanse privacy voorvechters spreken er schande van, want "terrorisme en kinderporno mogen niet gebruikt worden als argument om de privacy van iedereen te ondermijnen".
En daar hebben ze wat mij betreft groot gelijk in.

Er is (nog...) geen verbod op encryptie in Brazilië, dus kunnen ze ook niet zeggen dat WhatsApp iets doet wat illegaal zou zijn. En daar hamert die privacy voorvechter dus ook al op... En is blijkbaar een van de redenen dat in Februari een hoger gerechtshof de ban onmiddelijk weer ongedaan heeft gemaakt.
Ik ben benieuwd of dat nu weer gaat gebeuren...

Bronnen:
http://www.dailystar.co.u...90/WhatsApp-banned-Brazil
http://motherboard.vice.com/read/whatsapp-brazil

Volgens de artikelen die je linkt is het een nogal schimmige zaak. Het vonnis van de rechter is (nog) niet openbaar. Daarmee is onduidelijk of Whatsapp een Braziliaanse wet overtreed waarin staat dat ze die data moeten vastleggen of dat de rechter een hoger belang aangeeft. In het laatste geval kan Whatsapp schade gaan claimen.

WhatsApp gebruikt end-to-end encryptie, dus men kan, vanuit een technisch oogpunt gezien, niet eens de data leveren waarom gevraagd wordt. En terecht.

Ik denk meer dat het een zaak is van bescherming van de Braziliaanse Telecomproviders, aangezien je kunt bellen met WhatsApp. Dat kost ze geld en dan heb je een grote lobby-partij boos!

dus men kan, vanuit een technisch oogpunt gezien, niet eens de data leveren waarom gevraagd wordt

Technisch oogpunt is onbelangrijk. Als de wet zegt dat je data moet opslaan dan mag je geen systeem aanbieden dat zoiets niet kan. Dan heeft Whatsapp de keuze tussen techniek aanpassen of dienst niet aanbieden.
Daarom is het zo ontzettend jammer dat de beweegredenen van de rechter niet inzichtelijk zijn.

Ik vind de belfunctie zo vreselijk dat ik hem niet gebruik, want die heeft bij mij een gigantische lag.

Werkt hier perfect. Je kunt ook gesprekken raten soms, geef dit dan aan.

Hoe bel je dan? Met een EDGE naar EDGE verbinding?

Ik heb het zelf ook wel eens gebruikt, daarna nooit meer door de lag en slechte kwaliteit inderdaad, gewoon van wifi naar wifi over internet breedband.
Kan best zijn dat het verbeterd is inmiddels.

Nee, via WiFi, gewoon met goed signaal, en ja het netwerk werkt prima.

[Reactie gewijzigd door MrOizo op 18 december 2015 12:01]

Nou in nederland is het de laatste week ook aardig onbruikbaar.

Berichten lijken weer eens niet door te komen naar verschillende personen waar het voorheen allemaal perfect ging.

Het lijkt erop dat de dienst inmiddels gewoon weer werkt. Ik kan hier gewoon WhatsApp gebruiken zonder probleem

Het is zojuist gedeblokkeerd, althans daar lijkt het op..!

Whatsapp op PC in samenwerking met VPN? Zou dat niet werken?