Ja en dit is dus precies waar je zo vastgeroest zit in het "Whatsapp doet alles het op de beste manier" stramien.
Pure onzin dit namelijk. Diezelfde client kan namelijk prima op een ander systeem draaien, met dezelfde encryptiesleutel.
Nee, want dan is het geen werkelijke end-to-end encryptie meer, maar gewoon regulier encryptie met een gedeelde sleutel.
Het kunnen delen van die sleutel is uberhaupt niet zo'n snugger plan. Dan ga je die decryptie sleutels dus doodleuk uitwisselen via de servers van WhatsApp?

Het hele punt is dat WhatsApp, of anderen, die sleutel nooit en te nimmer te zien krijgt omdat hij je toestel niet verlaat. Zodra de sleutel je toestel verlaat klopt er al iets niet en ondermijn je de kracht van de crypto. Natuurlijk kan je die sleutel ook weer uitwisselen via de end-to-end encryptie tussen je Web apparaat en je telefoon toestel, maar dan nog moet je gehele geschiedenis overgepompt worden wat honderden MB's kost als je WhatsApp veel gebruikt.
Ik gebruik WhatsApp nog niet eens zo heel belachelijk veel en na compressie is m'n backup van berichten en foto's zo'n 600MB. Bij actievere mensen heb ik al databases gezien van een paar gig... Lekker als je dat moet oversturen, terwijl de huidige datavriendelijke oplossing ook prima werkt.
Dat het kan, wil niet zeggen dat het een goede/veilige oplossing is.
Dat heeft niets te maken met vastgeroest zitten in een opvatting of niet.
Als die methode jou niet aanstaat, dan is dat jammer; maar dat wil niet zeggen dat men daarom de veiligheid maar moet ondermijnen en verzwakken omdat jij de verbinding met je toestel wilt verbreken.
De opgegeven reden waarom meerdere apparaten momenteel niet mogelijk is vanwege het niet beschikbaar hebben van de berichten op de server. Okee kan ik me in vinden, maar waarom doe je het dan niet op een andere manier?
Omdat ze dat niet willen? Ze willen geen cloud opzet, zo simpel is het. Daar zijn tig andere spelers op de markt voor die het aanbieden als je dat perse wilt.
Dat probeer ik al een tijdje aan je uit te leggen, maar evident zonder al te veel succes.

Er zijn legio mogelijkheden waarmee gebruikersgemak én beveiliging niet in het geding komen. De app heeft namelijk unrestricted toegang tot de berichten. Laat de app dan de synchronisatie doen tussen beide clients en je bent klaar.
Dat gebeurt al on-demand. Vereiste is dus wel een verbinding met je toestel, anders kan de data niet opgevraagd worden wanneer mogelijk.
Een nog groter probleem is dat het *verzenden* van berichten niet gaat zonder actieve verbinding met je toestel.
Het enige dat ze zouden kunnen doen is berichten die jij wil verzenden in een que te zetten, die dan allemaal tegelijk worden verstuurd als je toestel weer verbinding heeft.
... En laat dat nou net al ingebouwd zitten.

Hoef je maar eens in de zoveel tijd te doen, en als het kan dan realtime zoals het nu gebeurt, maar zodra ik nu mijn verbinding eventjes kwijt ben is het gedaan
Nee hoor, je kan nog gewoon berichten blijven versturen als je je verbinding met je smartphone kwijt bent.

Ze worden echter pas verstuurd als de verbinding hersteld wordt, en dat heeft dus te maken met wat encryptie barrieres.
Berichten ontvangen is echter onmogelijk.
Ja en nee. zonder tussenkomst van mijn toestel is het niet mogelijk om via de servers van whatsapp de berichten op mijn andere toestel te krijgen. Om vervolgens vanaf het andere apparaat te kunnen chatten is mijn toestel feitelijk niet meer nodig, omdat deze nu als de cliënt fungeert (dat is niet zo, maar stel dat). Dan kan je dus het andere apparaat gebruiken en om weer het geheel op het ene apparaat te krijgen moeten ze beiden even online zijn (gezien de snelheid van web.whatsapp is dat minder dan 1 seconde nodig). Overdragen van de sleutel kan via een QR-code ook prima.
Dit kan je doen door een back-up te maken, over te zetten op een ander toestel; en als je weer terug wil naar je oude toestel weer een back-up maken en deze herstellen op je oude toestel.
Er kan bij end-to-end encryptie slechts één device tegelijk actief zijn per gebruiker in de chat.
Wat jij DENK IK wil, maar je beschrijving is extreem vaag en raar uitgelegd, is een two-way synchronisatie tussen meerdere toestellen met hetzelfde account.
Jij wilt, zo te zien, dat:
- Je kan inloggen op een andere device, met behulp van je toestel
- Dit toestel neemt vervolgens je gehele WhatsApp account over en moet dus synchroniseren
Maar nu komt er een probleem: de re-key. Wat hierboven wordt omschreven is wel mogelijk, maar dan kan je "oude" toestel, waar je origineel dus mee was ingelogd, geen berichten meer verzenden/ontvangen omdat het nieuwe apparaat sleutels moet gaan uitwisselen voor end-to-end encryptie. Je oude toestel kent die sleutels uiteraard niet, dus zou enkel een reeks totaal oncijferbare leipe data binnenkrijgen die je zelf niet kan lezen.
Goed, stel jij, dan moet het hele zooitje maar weer terug synchroniseren zodra ik weer wil appen via die originele device.
Dit is, imho, omslachtig. Dit vreet ook dataverkeer als je lange tijd op die andere device zit en het weer terug moet synchroniseren (WhatsApp wil geen data hog zijn.), zelfs als je eenmalig alle data overpompt en daarna louter incremental vreet het nog altijd veel meer data dan WhatsApp nu doet. En het probleem blijft dat je maar op 1 device tegelijk ingelogd kan zijn bij WhatsApp. Dan kunnen ze net zo goed een cloud inzetten.
WhatsApp's oplossing met Web is dus dat door een on-demand partial sync met je toestel er geen noodzaak is om opnieuw sleutels uit te wisselen en er geen noodzaak is om alles constant maar heen en weer te synchroniseren; enkel on-demand. Je hebt nooit een volledige synchronisatie met je toestel, om dataverkeer te besparen gebeurt het enkel on-demand dat berichten en foto's worden binnengehaald; maar zal dit nooit vooraf geheel preloaded worden. Naast deze partial + on-demand sync krijg je wel real-time nieuwe berichten binnen. (Foto's en video's niet, daar moet je eerst voor kiezen dat je ze via Web bekijkt; en dat vreet weer data als je ervoor kiest dat te doen.)
Op deze manier blijft je toestel de communicatie met je chatpartners onderhouden waardoor de end-to-end encryptie altijd in stand blijft zonder een enorme netwerk overhead van re-keys, en wordt er flink op dataverkeer bespaard door ervoor te zorgen dat je 2e device (Web) niet je gehele chatgeschiedenis en al je foto's heeft.
Dat zou ook wat zijn, dan moet ik voor elke device honderden MB's aan data overpompen. Daar zit ik zelf ook niet op te wachten eigenlijk... Zou wat zijn, als ik dan ff ergens wil inloggen op Web moet ik eerst m'n hele database overpompen naar de PC waar ik inlog? Nee bedankt.
De sleutel doorgeven via een QR code is in principe mogelijk ja, maar ontstaat er een verplichting om alle berichten die gemist zijn constant **in zijn geheel** heen en weer te synchroniseren tussen beide devices. Dat levert extra dataverkeer op, en daar hebben ze geen zin in. Daarnaast, voor elke extra device die de sleutel heeft wordt de encryptie kwetsbaarder, ook daar hebben ze geen zin in.
Hoewel in theorie wat jij zegt wel mogelijk is, is het:
1.) Minder veilig, E2E wordt ondermijnd
2.) Vreet het dataverkeer ten opzichte van de huidige opstelling
Er is een reden dat zelfs cloud-based diensten als Telegram, waarbij het in de normale modus operandi mogelijk is om al je berichten op meerdere devices tegelijk te bekijken, het niet voor elkaar krijgen om al je apparaten te synchroniseren zodra je gebruik gaat maken van secret-chats.
Denk je heel even in wat daar nou de reden voor zou zijn, en bedenk dan even dat je bij WhatsApp *altijd* gebruik maakt van "secret-chats" met end-to-end encryptie.
Ik denk dat je hier een fundamenteel probleem over het hoofd ziet, een probleem dat ervoor zorgt dat geen enkele dienst die gebruik maakt van E2E het mogelijk maakt om met meerdere devices tegelijk te synchroniseren om veiligheidsredenen. Dat is niet voor niets, maar juist gedaan omdat dit de enige werkelijke manier is om je chats te beveiligen.
Die beveiliging wil WhatsApp niet ondermijnen, die beveiliging wil Telegram niet ondermijnen; en derhalve is wat jij hier suggereert niet betrouwbaar mogelijk. Naast de andere problemen die ik heb genoemd.
Goed ik heb geen zin om het hele idee hier voor je op te schrijven, want dat wordt em toch niet allemaal, maar dat het niet kan is gewoon niet waar. Het kan prima alleen moet daarvoor één en ander veranderen. Niet alles hoeft namelijk via een server te verlopen!
Ik heb niet gezegd dat het niet kan. Ik heb enkel gezegd dat het, met alle respect, een heel slecht idee is.
Er is een reden dat al die messengers die E2E aanbieden, of we het nou over WhatsApp, Telegram, Signal of een andere toko hebben, het niet mogelijk maken om op meerdere devices tegelijk ingelogd te zijn voor dezelfde encrypted chats; en deze tegelijk kunnen synchroniseren zonder actieve koppeling met de andere device. WhatsApp en Signal bieden dan nog een optie om toch via een omweg te kunnen communiceren via een ander apparaat, maar daar zitten een hoop randvoorwaarden aan die dit mogelijk maken, om zo toch de veiligheid te blijven garanderen. (Jaja, behalve als je een virus hebt; maar dat staat hier los van.)
[Reactie gewijzigd door WhatsappHack op 23 juli 2024 22:05]