Apple bewaart metadata over met wie iMessage-gebruiker contact heeft gezocht

Apple houdt op eigen servers bij met wie een gebruiker van zijn chatdienst iMessage contact heeft gezocht. Dat blijkt uit een document van een Amerikaanse politiedienst. Apple kan door end-to-end encryptie niet zien wat er in berichten staat.

Het gaat niet alleen om personen met wie een iMessage-gebruiker berichten heeft uitgewisseld, maar ook om accounts van mensen van wie een gebruiker in iMessage alleen al de naam of het nummer heeft ingetikt, meldt The Intercept. Op dat moment stuurt iMessage een verzoek naar een server om te kijken of de andere partij ook iMessage heeft. Als dat niet zo is, verstuurt de app het bericht via sms.

Apple kan aan politie- en inlichtingendiensten het ip-adres van de iMessage-gebruiker, het nummer of account van degene die hij of zij heeft opgezocht en het tijdstip verschaffen. Apple benadrukt dat het opzoeken van iemands nummer of account niet betekent dat er ook contact tussen beide is geweest.

In een verklaring tegenover The Intercept zegt Apple dat het alle gegevens die het heeft overdraagt als diensten daarvoor een verzoek indienen. Daarbij benadrukt het bedrijf dat het niet de inhoud van gesprekken kan geven en evenmin bewijs kan overleggen met wie iemand contact heeft gehad.

Apple laat zich de afgelopen tijd voorstaan op de bescherming van privacy van gebruikers. Het belandde daardoor in het middelpunt van een discussie, toen het weigerde software te maken om de iPhone 5c van een schutter bij een aanslag in de Amerikaanse stad San Bernardino te kraken.

Reacties (122)

"Apple kan aan politie- en inlichtingendiensten het ip-adres van de iMessage-gebruiker, het nummer of account van degene die hij of zij heeft opgezocht en het tijdstip verschaffen. "

Daar ben ik niet zo blij mee!
Want eerst zeiden ze nog dat privacy heel erg hoog ligt.

Dus BlackBerry stopt, Android is onveilig, op Windows Phone heb je geen Apps en Apple geeft nu je MetaData door aan de politie?

"The Intercept zegt Apple dat het alle gegevens die het heeft overdraagt als diensten daarvoor een verzoek indienen."

Daar ben ik nog minder blij om!

Is er nog een merk dat 100% veilig is?

[Reactie gewijzigd door doenietzodom op 28 september 2016 17:56]

Want eerst zeiden ze nog dat privacy heel erg hoog ligt.

Op welke wijze schendt het jouw privacy dat Apple na een gerechterlijk bevel aan de politie kan overhandigen dat telefoon X contact heeft gezocht met jouw telefoon? Privacy dient niet om ongestraft strafbare feiten te plegen, het dient niet om anoniem te zijn. Het dient om prive jezelf te kunnen zijn, daar verandert dit niets aan.

Daarbij kunnen ze er niets mee, want de inhoud is niet bekend en het is niet eens zeker of er wel een conversatie plaats heeft gevonden. Zoals Apple zegt, wanneer iemand een 06 nummer intikt of een contact aantikt, kijkt de server of de betreffende telefoon wel imessage heeft, thats it.

Beide is het geen bewijs voor een eventueel strafrechtelijk onderzoek. Wie weet vroeg hij wel of hij zijn Hema onderbroek mocht lenen.

Ik vind dit een issue die weer hoog van de toren geblazen wordt.

Probleem is dat je als onschuldige betrokken raakt bij personen die wel een scheve schaats hebben gereden. Zelfs als je een verkeerd nummer hebt getoetst en per ongeluk verbonden met geraak met een misdadiger, crimineel of terrorist. Men moet speuren vanuit een misdrijf, niet vanuit massasurveillance. Dat gaat op dit moment al veel te vaak fout.

Fout! Het dient ook om niet onterecht verwikkeld te raken in dwalingen, tunnelvisie of onwettig gebruik van opgeslagen data. Daarom hebben we ook geen camera's in iedere kamer van ons huis hangen die met de overheid verbonden zijn voor het geval je daar ooit een strafbaar feit zou plegen.
De overheid dient NIETS op te slaan over de handel en wandel van niet-verdachte personen. Pas als er reden is tot verdenking zouden dat soort maatregelen genomen moeten worden.
We hebben onlangs ook weer gezien dat politiefunctionarissen gewoon snuffelen in opgeslagen data waar ze helemaal niet aan mogen komen. Zo zijn dossiers gelicht van bekende personen, gecheckt of mensen vreemdgingen en of ze Güllenaanhanger waren (in Nederland!).

Allereerst maak ik bezwaar tegen het afschilderen van de overheid als een boosaardige entitiet. We leven in een democratie. De overheid zijn we dus zelf! De overheid zo negatief afschilderen vind ik democratie ondermijnend.

Daarom hebben we ook geen camera's in iedere kamer van ons huis hangen

Thuis heb je privacy. Op het treinstation niet, daarom hebben we daar wel camera's hangen.

We hebben onlangs ook weer gezien dat politiefunctionarissen gewoon snuffelen in opgeslagen

Dat zijn mensen, die maken helaas fouten. Het opslaan van data is daar geen schuld aan het onjuist kunnen gebruiken is daar schuld aan.

Het dient ook om niet onterecht verwikkeld te raken in dwalingen, tunnelvisie of onwettig gebruik van opgeslagen data.

En daar moeten we dus de juiste procedures en bewakingen voor instellen. En dat doen we allemaal samen, want wij zijn immers samen de overheid.

Ooit hadden we overal privacy. Ook op de treinstations, aan de telefoon, op de autobaan etc. Dat dient een doel.
Fouten maken is menselijk, maar het faciliteren van foutgevoelige context is niet correct. het gebeurt namelijk steeds vaker dat totaal onschuldigen door massasurveillance in de problemen komen.
De procedures zijn er gewoon, maar toch houdt men zich er niet aan. Dat is juist één van de redenen waarvoor privacy bedoeld is: het niet hoeven weten als daar geen reden toe is.

Ik begrijp zeker je bezwaar, al leven we niet in een directe democratie waarbij wij zelf de wetten bepalen en dus zelf de (wetgevende) overheid zijn.

We leven in een representatieve democratie waarbij we stemmen op partijen en deze partijen stemmen onderling afstemmen welke vertegenwoordigers welke beleidstaken op zich nemen. Deze volksvertegenwoordigers delen logischerwijs niet persé de 'wil van het vok'.

Overigens wil ik hier zeker niet mee zeggen dat een directe democratie in mijn optiek beter is hoor, puur dat we zelf niet de overheid zijn en dus niet zelf de 'juiste procedures en bewakingen' kunnen instellen.

Het doel van privacy wat je hier formuleert is slechts 1 definitie. Waar heb je deze opvatting vandaan?
Privacy dient juist om anoniem te zijn. Enkele definities:

privacy : mensenrechten - Engels: Het recht op ~ is een grondrecht. Personen hebben het recht door de staat en door andere personen (bijv. door persfotografen) met rust gelaten te worden.-Art. 17 BUPO en 8 EVRM

Privacy is niet alleen de afwezigheid van informatie over ons zelf bij anderen, het is vooral de zeggenschap die wij over onze persoonsgegevens hebben. - Oppweb informatiebeheer

Het recht om bepaalde zaken, zoals ideeën, gegevens of huiselijke aangelegenheden voor zichzelf oftewel privé te houden. Dit recht wordt bij wet beschermd, wat bijvoorbeeld opsporingsmogelijkheden van politieagenten of rechten van journalisten beperkt. - cultureel woordenboek

Geen enkele van die definities die jij opgeduikelt hebt heeft het over anonimiteit. Anonimiteit is een manier om privacy te waarborgen. Wel een extreme en in de de huidige maatschappij onrealistische manier, dat werkte vroeger in de grot maar nu in het tijdperk van de databank niet meer. Ik hanteer (zoals gebruikelijk in Nederland) de defintiie van Van Dale.

Ok, stel nu dat over 20-30 jaar blijkt dat ( hoedjes gevouwen ? ja.. start ) bijv. de NSA een voice filtering systeem actief heeft, die langs alle metadata zoals emails, whatsapjes etc. ook via het microfoontje in je telefoon, tv, laptop, auto, etc.etc. alles wat je zegt ontleed, vertaald en profiled.. De simpsons hadden daar jaaaaaaren geleden al een leuke parodie op..

[img]http://www.discusseconomi...impsons-nsa1-1024x576.jpg[/img]

Is je stelling dan nog hetzelfde als hetgeen je hierboven aangeeft ?

Het is ondertussen al wel duidelijk dat je met slechte intenties gewoon niet digitaal, of in de buurt van electronica zoals een laptop / gsm dient te communiceren.
Me dunkt dat de echte boeven wel zo verstandig zijn tegenwoordig.

[Reactie gewijzigd door Patientzero op 29 september 2016 15:50]

Natuurlijk geldt mijn stelling dan nog steeds zo. De meta data die 30 dagen bewaart wordt en die alleen na gerechterlijk bevel wordt vrijeggeven schendt geen privacy.
In jouw voorbeeld dat de NSA alles en iedereen overal zou afluisteren gaat het om inhoud, dat is een volle stap verder dan metadata. Maar zelfs dat hoeft je privacy niet te schenden.
Het is een slecht bewaard geheim dat de NSA een systeem heeft dat alle
internationale telefoongesprekken afluistert en filtert (dat systeem heet Echelon). Maar als jij gewoon met je oma in Australie over je schoolcijfers kletst zal dat de NSA worst zijn en gaat je data als oninteressant het putje in. Hier wordt dan ook je privacy niet geschonden. Zeker als het een automatisch filter is dat irrelevante data weggooit (en dat is men doet met die sleepnet data) dan is er geen sprake van een privacy schending. Moet ook wel anders zouden spamfilters ook je privacy schenden, die verwerken jouw mail.

Android is onveilig? In wat voor een opzicht? Je kunt bij je Google account allemaal privacysettings aanpassen hoor.

Omdat Google helemaal niet veilig met je persoonlijke gegevens omgaat en dat is geen mening dat weet iedereen.

Niet? Volgens mij zijn er nog nooit persoonlijke gegevens gestolen vanaf een Google server
Althans: niet in de vorm van een hack. Mensen met "qwerty" als wachtwoord vast wel, maar dat is geen lek bij Google.

Google beschermt je gegevens volgens mij heel erg goed.
Dat ze al die data hebben en verwerken: dat is een ander verhaal dan "niet veilig omgaan met die data".

Precies. Er wordt altijd zo overdreven gedaan over Google. Ja oke, ze houden je in de gaten, maar dat doet elk groot bedrijf. En met een paar tooltjes verminder je dat al aanzienlijk.

Dit is dus een enorme dooddoener. Nee, dat doet niet elk groot bedrijf. Niet in de mate waarop Google dat doet. Google is overal, vooral als je een Android telefoon gebruikt weten ze gigantisch veel over jou en vertrouw je Google op hun blauwe ogen dat ze dat niet misbruiken.

Weet je wel precies wat Google over je opslaat? Je kunt namelijk zelf best veel uitzetten in de privacy settings van je Google account.

Ooit wel eens de privacy policy van Google gelezen?

Mijn punt is dat je niet kunt weten wat ze wel en niet opslaan. Alle info gaat naar de server en je vertrouwt Google dat ze zich aan hun deel van de afspraak houden. Ik ben het er mee eens dat het er op lijkt dat ze dat redelijk goed doen, maar in principe is dat gebaseerd op vertrouwen.

Je kunt wel weten wat zij opslaan. Want dat staat in de privacy policy. Doen ze dit niet, dan kunnen er consequenties komen voor Google. Ze snijden zich dan alleen maar in de vingers.

De privacy policy die bij elke dreiging van consequentie weer wordt aangepast.

Dit is toch met de meeste services toch ?
Apple zal dit waarschijnlijk ook doen. Tesla doet het met zijn auto's
Facebook, windows. Al die services zullen wel ooit iets opslaan.
Dus ik snap niet wat google verkeerd doet ? Ik gebruik android, gmail, google+ en tot nu toe nog geen enkel probleem ondervonden.
veel minder spam dan op mijn hotmail account waar ik al 5 keer mijn wachtwoord heb moeten veranderen in de laatste 2 jaar...

En kun je ons meteen uitleggen waarom dit niet zo zal kunnen zijn bij Apple?

"Mijn punt is dat je niet kunt weten wat ze wel en niet opslaan. Alle info gaat naar de server en je vertrouwt Apple dat ze zich aan hun deel van de afspraak houden. Ik ben het er mee eens dat het er op lijkt dat ze dat redelijk goed doen, maar in principe is dat gebaseerd op vertrouwen."

Kan de zelfde vraag aan jou stellen, hoef maar 1 woord te veranderen.

[Reactie gewijzigd door bozk op 29 september 2016 11:01]

Het ging niet over Apple, maar je hebt gelijk dat het bij Apple ook een kwestie van vertrouwen is. De keuze of je bedrijf X of Y vertrouwt is dan ook een persoonlijke keuze.

Het verschil tussen Google en Apple is dat Google veel meer services op Android of het Web heeft die leesbare data via hun servers stuurt, oa search, gmail, Google Now, Google Maps, etc. Ook staat op veel wegpagina's iets van Google, een tag o.a. van adsense, analytics of zelfs alleen maar de javascript library-repository van Google. Allemaal mogelijkheden om je te tracken.

Klopt helemaal, ze moeten wel. Levert hun nog steeds het leeuwen deel van de omzet op.

Maar het blijft "aannemen" en "gokken" of andere bedrijven dat niet doen.

Ik heb zelf Android (Nexus) en gebruik wel meeste services Apps van Google. Ze zullen veel over me weten. Maar dat zal net zo goed kunnen gelden voor een iOS gebruiker. Mail, contact, telefoon, browser, noem het maar op. Het zijn nog de native apps die meest gebruikt worden.

Google is vrij duidelijk in wat ze met al je data doen.
Of je dat fijn vind is een ander verhaal maar het is dus niet zo dat Google niet te vertrouwen is.

De whatsapp/facebook actie van laatst is iets dat minder vertrouwen wekt.

Je bent het samenvoegen van Youtube, Gmail en andere diensten vergeten? En het debacle van de googleMaps auto's? Bij die laatste viel het uiteindelijk mee wat ze verzamelden, maar bleek vooral dat ze geen scrupules hadden om te liegen dat ze meer gebruiken dan gezegd...

En vooral de sterke encrypte na android 6 en nu al helemaal 7 wordt het pas een top OS.

ow?

https://www.washingtonpos...9-3be8095fe767_story.html

Google gaat in principe vrij goed met je persoonsgegevens om. Maar net als Apple dienen zij mee te werken wanneer opsporingsdiensten hen om unformatie verzoeken. Google zal evenwel nooit je persoonlijke informatie verkopen aan derden.

De hoeveelheid informatie die Google verzameld en de profielen die zij kunnen bouwen (en potentieel reeds hebben) is dan wel schrikwekkend hoog, tot er misbruik wordt aangetoond kan je niet stellen dat deze informatie niet veilig is bij Google.

Die riedel dat ze de info niet verkopen aan derden vind ik ten dele waar. Ze verkopen niet de data zelf, maar ze verkopen zeker de bevindingen van die data. Als bedrijf X graag een specifieke doelgroep wil, krijgen ze die, wat ik in de geest toch best dicht bij verkopen van die data vind komen.

Als bedrijf X graag een specifieke doelgroep wil, krijgen ze die, wat ik in de geest toch best dicht bij verkopen van die data vind komen.

Nee, bedrijfen kunnen alleen advertenties gericht op bepaalde doelgroepen "kopen", ze krijgen geen toegang tot wie in die doelgroep zit.

Klopt, dat is nog zorgvuldiger gesteld. Dan nog sta ik achter de strekking van m'n post.

Nee, je strekking wordt compleet onderuit gehaald. Er is een fundamenteel verschil tussen iemands gegevens verkopen of die gegevens intern aanwenden om een product te verkopen.

Niet als dat product bestaat uit de essentie van die gegevens.

Als kan Google kan herleiden of je ziek bent en misschien wel welke ziekten, kunnen ze een doelgroep aanbieden van bepaalde ziekten. Ze zeggen niet dat jij het bent, maar de advertentie komt toch zeker bij jou. Je kunt van mening verschillen maar ik vind dat ook een vorm van data delen. Dan ga ik nog voorbij aan de statistieken die ze vast leveren, hoe groot de doelgroep is, evt andere kenmerken, clickrates etc.

Google laat de advertentie zien aan de zieken en de adverteerder betaald Google. Je lijkt te denken dat Google een lijst met welke gegevens dan ook aan een adverteerder aanbiedt, maar zo werkt het niet. Het is juist andersom, de adveertder levert een doelgroep aan en een hoeveelheid gewenste vertoningen en wat geld.

Dus ze hebben doelgroepen gemaakt van de data die ze hebben verzameld.
Onder het mom ik anonimiseer data ben je ipv van r. Rutte, nr1NL.

[Reactie gewijzigd door NLKornolio op 29 september 2016 11:46]

Als ik als 30 jairge in een lijst terecht van andere 25-30 jarigen die ooit tweakers hebben bezocht en Google verkoopt die info aan [elke tech verkoop site] dan vind ik dat best hoor!

Vertelt niks persoonlijks over mij. Terwijl dit bovenstaande van apple toch wel erg persoonlijk is.. ze geven immers je 06 weg en met wei je contact hebt gehad.

Dat is niet waar. Er is geen bewijs dat je contact hebt gehad. Alleen het intikken van een 06 (waardoor Apple server checked of de 06 wel imessage heeft) is geen bewijs dat er contact is geweest. Misschien tik ik wel per ongeluk een verkeerd nummer in?

En je hebt toch wel door dat Google jouw 06 nummer ook heeft, ook al gebruik je geen Google producten? Een vriend die jou in zijn contactenlijst heeft staan en Google producten gebruikt pompt heel subtiel ook jouw nummer over naar Google. Lijkt mij net zo persoonlijk en even vervelend.

"geen bewijs dat er contact is geweest"

geloof mij maar, zodra jij het nummer van een vermeende terrorist invoert dan ben jij de pineut of je nou wel of niet contact hebt gehad, je gaat eraan!

je gaat toch niet de hele dag door verkeerde nummers zitten invoeren? Ik heb een telefoonboek en daar bewaar ik AL mijn nummers in.

dus apple en hun beweringen... I say bullsh*t!

Mensen hebben blijkbaar echt een kort geheugen

Chinese hackers who breached Google gained access to sensitive data, U.S. officials say

@Monojack, dat is wel heel erg "kort door de bocht". Laten we de iCloud hack niet vergeten. Het gaat hier niet om, wat wordt er gehacked of wat is eruit gelekt. Het gaat hier wat ze direct vanuit het HQ weggeven.
Ik weet vrijwel zeker dat Google (software fabrikant) z'n server beter kan beveiligen dan Apple (hardware fabrikant).

Ik weet vrijwel zeker dat Google (software fabrikant) z'n server beter kan beveiligen dan Apple (hardware fabrikant).

En dat is een aanname die je doet waar je geen bewijs van hebt. En zoals het artikel van Monojack aantoont, kan Google schijnbaar ook gewoon gehackt worden. Het staat er gewoon en nog beweer je zonder basis dat Google beter zijn servers kan beveiligen dan Apple.

Alles wat aangesloten is op het internet kan gehacked worden. Daar gaat het niet om.

Als je bericht van Blokker_1999 leest waar Monojack op gereageerd heeft kom je achter dat Monojack wil zeggen dat Google slecht met privacy omgaat. "Mensen hebben blijkbaar echt een kort geheugen ".
Maar slecht omgaan met privacy is iets anders dan dat je gehacked wordt (als je alles ervoor doet om dat tegen te gaan).

Als het echt zover komt en ik heb een keuzen tussen: "information about U.S. surveillance targets" of mijn iCloud openbaar op het internet. Is de keuzen toch snel gemaakt

Laten we de iCloud hack niet vergeten.

Hardnekkig misverstand blijft dit: er was geen iCloud hack, alle toegang was verkregen door social engineering en slecht wachtwoordbeleid van de personen die gehackt waren.

Hardnekkig? Brute Force bedoel je. Zie ik wel tegenwoordig als een heel slechte beveiliging waar makkelijk doorheen geboord kan worden als je met miljoenen accounts werkt

Er is nooit een "iCloud hack" geweest. Die zogezegde hack was gewoon iemand die met het paswoord van de gebruikers kon inloggen.

Jaa, dat is wel behoorlijk bijdehand. Dat kun je ook zeggen over het misbruiken van een lek.
"Een developer had verkeerd geprogrammeerd, waardoor er ongewenst toegang werd verleend tot een server". Dus is er is geen hack. Toch werkt het niet zo.

Ik begrijp wel dat je een Apple fanboy bent, maar sommige dingen zijn gewoon termen buiten merken om.
nieuws: 'Wachtwoorden iCloud-accounts waren via brute-force-aanval te achterh...
"Bij brute-force-aanvallen probeert een aanvaller een groot aantal wachtwoorden geautomatiseerd uit. Hoewel de kwetsbaarheid zich bevond in de Find My iPhone-dienst van Apple, zou een aanvaller met het achterhaalde wachtwoord vervolgens kunnen inloggen op andere diensten van Apple, zoals iCloud. "
Kwetsbaarheid gebruik je om een server/dienst te hacken..

Zoals wat? Wat is "niet veilig met je persoonlijke gegevens omgaat"? Ja, ze finetunen de advertenties op basis van jouw surfgedrag. Maar bijna iedereen gebruikt een adblocker met ingebouwde anti-tracking (zoals het blokkeren van bepaalde cookies). Ooit eens de privacy policy van Google gelezen? Die valt reuze mee hoor.

https://www.google.com/policies/privacy/

Verklaar je nader. Als je bewijs hebt dat jouw persoonlijke gegevens zijn overhandigd aan een derde partij door Google, dan moet dat snel te achterhalen zijn lijkt me.

Dat is dus wel een mening... Het is niet alsof buiten iMessage apple ook zo zorgvuldig met je accountgegevens om gaat.. is niet minder dan Google..

Op welke manier? Heb een jaar voor ze gewerkt. Kon op geen ene manier persoonlijke informatie in zien van gebruikers. Denk als een van de weinige waar je data echt veilig is

Omdat Google helemaal niet veilig met je persoonlijke gegevens omgaat en dat is geen mening dat weet iedereen.

"dat weet iedereen" is totaal geen argument.

Om een voorbeeld te geven zelfs als je Google Maps verwijdert dan nog trackt Google je locatie

Daarvoor hoe je Google Maps niet voor geïnstalleerd te hebben. Maar goed. Er zijn wel meer grote bedrijven die je locatie bijhouden, maar die gegevens zijn safe bij Google.

Je gegevens zijn totaal niet safe bij Google. Google is al gehackt geweest en toen is er hel gevoelige data gestolen

Heb je een bron? En dat zal wel een lange tijd geleden zijn.

WhatsappHack in 'nieuws: Apple bewaart metadata over met wie iMessage-gebruik...

Wat doet het er toe of het lang geleden is. Het is al gelukt dus zal het zeker nog een tweede keer lukken

Chinese hackers who breached Google gained access to sensitive data, U.S. officials say

kunnen we ook van apple zeggen.. en elke andere fabrikant

Bij Apple is het tot nu toe nog niet gelukt en sterker nog bij Apple valt er gewoon niet zo veel gevoelige informatie te halen als bij Google zoals het artikel hier ook aangeeft.

Haha, en de iCloud hack?

waarbij ALLEEN MAAR gevoelige info werd gejat...

Dat was in 2013. Overigens doe je nu alsof Google het enige bedrijf is. Google doet het nog goed naar mijn mening.

Google zal er wel van geleerd hebben.

Het eerste is een technische noodzakelijkheid, hoewel bewaartermijn misschien onwenselijk is van dat soort gegevens.

Het tweede is de wet. Daar zal iedereen zich aan moeten houden. Opsporingsdoeleinden zijn voor een samenleving een legitieme reden om dit soort data te vragen. Wel belangrijk dat er controle plaatsvind op de uitvoerende macht. Dan gaat het om omvang, context en impact van de opvragingen. (Niet te veel data, alleen voor zaken met serieuze reden (dus niet om een wildplasser op te sporen) en het moet de provider ook niet op kosten jagen.

Vooral ff de indruk voorkomen dat er een soort datapijp van Apple ligt, die *elke* opvraging doorspeelt aan de overheid.

[Reactie gewijzigd door Keypunchie op 28 september 2016 18:02]

Vooral ff de indruk voorkomen dat er een soort datapijp van Apple ligt, die *elke* opvraging doorspeelt aan de overheid.

Precies.

Om even de naiviteit wat verder te verwijderen: elke messaging dienst bewaard meta data. Elke!

De enige vraag is hoelang ze het bewaren. Dat zal afhangen van de eigen wens om statistieken en andere telemetry te bewaren voor productverbetering en foutopsporing. Anderzijds de wettelijke eisen van de landen waarin ze een juridische entiteit zijn. En ook allemaal zullen ze bij een juridisch bevel netjes alles afdragen.

Dus Telegram, Skype, Viber, Facebook, WhatsApp, WeChat, Google, etc bewaren ook meta data. Je weet enkel niet hoe lang en precies hoeveel.

Hoe lang ze het bewaren werd weer meesterlijk uit dit artikel gelaten: 30 dagen, in die tijd moet er gevraagd zijn naar de data, anders is het weg. Ze kunnen het eventueel langer laten bewaren:

Apple confirmed to The Intercept that it only retains these logs for a period of 30 days, though court orders of this kind can typically be extended in additional 30-day periods

En precies de app Signal noem je niet. Signal is heel erg duidelijk over welke data bewaard wordt, namelijk helemaal niets. De app zelf wordt zelfs helemaal buiten het automatische backup proces van zowel iOS als Android gehouden.

Het enige wat kan 'lekken' via een derde partij is het feit of je wel of niet gebruik maakt van Signal en op welk tijdstip je een bericht of telefoongesprek ontvangt. Dit laatste gebeurt bijvoorbeeld via de push service van iOS of Android, dus een provider kan in theorie alleen zien of je gebruik maakt van de dienst, niet met wie je contact hebt.

En ik was er zelf ook van overtuigd dat Apple niet zoveel informatie zou opslaan. Ik maak verdorie al gebruik van een eigen Caldav/Carddav server, staat alsnog mijn hele adresboek in de logs van Apple.

En precies de app Signal noem je niet. Signal is heel erg duidelijk over welke data bewaard wordt, namelijk helemaal niets

De app boeit niet, wel de servers. En het zou me hoogst verbazen als Signal niet ook data bewaart daar. Immers alleen al qua foutopsporing en statistieken betreft server-load en server-responstijden zul je toch echt 'iets' moeten bewaren.

Zodra je wereldwijd te maken krijgt met significante aantallen gebruikers, zul je écht flink aandacht en tijd in je server-park en netwerk moeten steken. En dat lukt niet zonder enige vorm van statistiek. Alleen al omdat als er iets fout gaat je moet weten waar het fout gaat.

Tenzij je enkel een klein bedrijfje in de hobby-sfeer wilt blijven ...

Dus reken er maar op dat er ook bij de servers van Signal metadata te halen is.

reviews: Personal privacy deel II: tools om veilig te chatten
Ricochet gaat over het tor-netwerk en daardoor is de metadata onbruikbaar, maar er is weer geen mobiele versie van beschikbaar.

Ricochet gaat over het tor-netwerk en daardoor is de metadata onbruikbaar

Lijkt alleen dat Tor niet veilig is?
https://www.theguardian.c...sa-users-online-anonymity
https://nakedsecurity.sop...ou-trust-tors-exit-nodes/
http://securityaffairs.co...-traffic-tor-traffic.html
https://pando.com/2014/07/16/tor-spooks/

Dit is een interessante: Linkje
Aan het einde van het artikel staat de bewering dat exit nodes gedraaid worden door de drie letterige geheime diensten. Probleem is namelijk: Wie financiert de goede hardware en dikke netwerkverbinding?

Klopt, mij bekend en is ook op tweakers voorbij gekomen, al dan niet in reacties. Bijvoorbeeld:
nieuws: Beveiligingsonderzoeker vindt Tor exit node die malware in binaries s...
nieuws: Onderzoekers: groot deel van Tor-gebruikers is te identificeren
nieuws: 'Aanvallers gebruiken zeventig exit-nodes voor afluisteren Tor-maildi...
Of dat tor dankzij de nsa is ontstaan is ook bekend, daarom ook:
nieuws: Tor Project wil met donaties minder afhankelijk worden van overheidss...

Maar zoals we wel weten bestaat 100% veiligheid (nog?) niet.

Oude sybian telefoon wellicht?
Oude dumb phones gaan dankzij het gebrek van features waarschijnlijk toch erg dicht in de buurt komen van wat jij zoekt maar helaas kunnen zelfs die worden getapt door de telefoon provider.

In princiepe is er ongeacht welk merk niets veilig voor het aftappen van de zendmasten zolang je dit bij je draagt. Sterker nog het is mogelijk software op simkaarten te installeren die op simkaart niveau zonder dat de gebruiker het merkt zaken uitvoeren. Deze kunnen namelijk op afstand worden bijgewerkt via de provider.

De telefoon met de krachtigste trilmotor. Oh wacht, je bedoelt Symbian.

Lol, ouwe snoeperd!

Dan moet je Ricochet gebruiken. Maar Ricochet is (nog) niet voor mobieltjes beschikbaar.

Dit is niets nieuws. Alle Amerikaanse partijen die data handelen moeten deze data kunnen overdragen aan de betreffende diensten indien hierom gevraagd wordt.

Apple en Facebook hielpen de FBI ook om de KickAssTorrents-eigenaar op te pakken door zijn IP te delen die vervolgens gematched kon worden (hij kocht iets op itunes en logde in op het facebook-account met hetzelfde IP).

Android is overigens niet onveilig. Geen idee waar je dit vandaan haalt. Als je de exploits bij houdt, ontloopt het allemaal elkaar niet echt. Wil je echt veilig zijn, ga je aan geen van deze twee. Maar deze veiligheid is voor de meesten niet belangrijk, ondanks dat dit gesteld wordt. Anders was had Blackberry niet hoeven stoppen met hun BB10.

100% is het nooit. Ja, via Post-it papiertjes gegevensoverdracht doen. Maar zelfs dat kan bespied worden.

Dus BlackBerry stopt,

Is er nog een merk dat 100% veilig is?

Blackberry is absoluut niet veilig.

De in New Delhi zetelende overheid heeft van RIM de mogelijkheid gekregen om communicatie van BlackBerry-gebruikers af te luisteren. De BlackBerry-fabrikant besloot hiertoe nadat India dreigde de smartphones te verbieden. Volgens de overheid zou het versleutelde berichtenverkeer van BlackBerry-gebruikers een gevaar voor de staatsveiligheid vormen.

Bron

of deze:

BlackBerry krijgt van de Duitse toezichthouders groen licht om beveiligingsfirma Secusmart over te nemen. Daarvoor moest het Canadese bedrijf wel een overeenkomst sluiten waarin BlackBerry de Duitse autoriteiten belooft toegang te geven tot de broncode van zijn software.

Bron

Apple geeft natuurlijk niet zomaar je metadata door. Apple wil wel een gerechtelijk bevel zien. En dat komt er alleen als jij of iemand die met jou communiceerde verdacht word van iets onwettelijks doet. En niet een klein dingetje, maar iets serieus. Want het kost veel geld al die administratie.

Er is geen merk die 100% veilig is. Deze bedrijven zijn verplicht om deze gegevens te bewaren, voor een vooraf bepaalde periode. Het is metadata. Geen inhoudelijke data.

Je moest eens weten hoeveel er op de servers van Tweakers wordt gelogd over hoe je je op Tweakers gedraagt. Als jij hier ineens over terrorisme spreekt in een DM (oké, dat is überhaupt niet encrypted, maar toch ..) en de FBI wil weten met wie jij contact hebt gehad in het afgelopen half jaar, moeten ze dat - deels - kunnen aanleveren. Geen inhoudelijke berichten (zoals met het vorige FBI gebeuren) maar met een lijst telefoonnummers kunnen ze al een hoop matchen.

Staan de tweakers.net servers in de usa? Dan gaat t toch echt via interpol als ze in nl staan

Puur om even te benadrukken dat loggen van metadata een normaal iets is in dit tijdperk.

Apple zou dat kunnen doen inderdaad, maar wie zich nog kan herinneren hoe Apples houding was vorig jaar met die iphone 5c die ze weigerden te unlocken dan weet je in ieder geval dat Apple wel woord probeert te houden (ze hebben het uiteindelijk ook niet hoeven doen). Google daarintegen heeft al vaak meegewerkt met inlichtingendiensten en doen daar ook niet geheimzinnig over.

Tja dat soort uitspraken zijn leuk en mogelijk waar maar kom dan met bewijs/bro. Waar heeft Google meegewerkt een telefoon te hacken?

Helaas kan ik zo niet snel bewijs vinden, dus het kan zijn dat mijn uitspraak ongegrond is, maar het feit dat Google niet in het nieuws is geweest de afgelopen tijd zegt me meer dan voldoende, het bedrijf zou namelijk al lang in het nieuws geweest zijn als ze geweigerd zouden hebben om mee te werken met inlichtingendiensten. Of misschien heeft google niet mee hoeven werken vanwege het open karakter van android (daarmee doel ik op hoe opener het systeem hoe kwetsbaarder het is voor verschillende kwetsbaarheden) ik zeg daar niet mee dat android onveilig is, maar dat er meer mogelijkheden zijn om toegang te krijgen tot die toestellen. Ik kan me namelijk niet voorstellen dat die schutter uit san berdino het enige geval is geweest. En er zijn meer gevallen van meewerken met inlichtingendiensten dan alleen een telefoon hacken.

Maar ik kan het anders stellen, we weten wat de houding van Apple is en dat ze er veel moeite in steken om niet mee te hoeven werken, maar het is en blijven allebei amerikaanse bedrijven en die zijn onderhevig aan de amerikaanse wet (zelfs al staan hun servers in Europa). Feitelijk betekent het simpelweg gewoon dat als de wet hun verplicht data te delen dat ze weinig keus hebben. Uiteindelijk zal het weinig uitmaken welke dienst je gebruikt als die amerikaans is, het enige wat we weten is dat apple terughoudend is daarin (wat ook te zien is in hun versie van gezichtsherkenning wat alleen lokaal gebeurt)

Google heeft nooit moeten meewerken aan het hacken van een telefoon omdat het zonder Google ook wel lukt.

Is er nog een merk dat 100% veilig is?

Is er nooit geweest, veiligheid is een illusie.

Nee

Redelijk logisch. Volgens mij zijn ze trouwens zelfs verplicht metadata te bewaren?
En uiteraard te overhandigen op verzoek. Maar op de content van de berichten mag encryptie zitten.
Als het op gerechtelijk bevel wordt overhandigd en er verder niets mee gedaan wordt: prima, zolang de encryptie maar standhoudt en niet ongedaan wordt gemaakt... Apple kan in principe een extra device toevoegen natuurlijk. Metadata op gerechtelijk bevel overhandigen heb ik weinig moeite mee.

Ik vind alleen dit een beetje kwalijk:

maar ook om accounts van mensen van wie een gebruiker in iMessage alleen al de naam of het nummer heeft ingetikt

Dus zelfs als je geen contact hebt gehad maar wel het nummer (aldanniet per ongeluk) hebt ingetikt kan je al bij data zitten die overhandigd wordt... Dat is iets minder prettig.

[Reactie gewijzigd door WhatsappHack op 28 september 2016 17:59]

Je kunt het ook zo zien: doordat je ook de mensen waar je de naam van intypt in de lijst ziet, kun je dus altijd ontkennen contact te hebben gehad. Plausible deniability dus

Maar ook net zo goed omgekeerd, onder het motto: waar rook is, is vuur. Met die gegevens leggen de instanties je het vuur aan de schenen. Je hebt dan de schijn tegen. En een vrij grote kans op een veroordeling...

Als de politie deze informatie opgevraagd heeft bij Apple, hebben ze je adressenboek uit de iCloud ook. Dus als je de telefoonnummer van een bekende crimineel in je telefoon hebt, ga je niet via iMessage metadata tegen de lamp lopen.

Je hebt dan de schijn tegen. En een vrij grote kans op een veroordeling...

Die volg ik niet helemaal

[Reactie gewijzigd door JackBol op 28 september 2016 19:34]

Wie zegt dat ze bij je adresboek kunnen? Dit lijkt mij iets wat versleuteld is i.v.m. persoonsgegevens. Net als dat je via iCloud.com je documenten kunt bewerken in de cloud, lijkt me eveneens versleuteld.

Dit gaat alleen om de poging tot het resolven van een telefoonnummer naar een iMessage profiel. Dus hele normale logs.

Wat ariekanari bedoelt is denk ik; als jij iemand z'n nummer invoert, en iMessage probeert dit te resolven nar een iMessage gebruiker, dan heb je alleen een lookup gedaan. En is dat geen hard bewijs, want je kan ook zo random een nummer hebt ingevoerd. Is dit echter ook andersom gedaan; dan is het aannemelijk dat je contact heb gehad, het nummer van de tegenpartij gaar jouw ook bij Apple resolven of je iMessage hebt. (Daardoor wordt bij allebei de gesprekken de bubbels blauw i.p.v. groen)

Wie zegt dat ze bij je adresboek kunnen? Dit lijkt mij iets wat versleuteld is i.v.m. persoonsgegevens. Net als dat je via iCloud.com je documenten kunt bewerken in de cloud, lijkt me eveneens versleuteld.

Hier loopt een hele discussie over op het forum. Wanneer Apple een verzoek van de politie krijgt, zal het alle gegevens in de iCloud onversleuteld overhandigen. Ze zijn hier bij wet toe verplicht.

EDIT: de wet bescherming persoonsgegevens geldt niet voor opsporingsinstanties.

[Reactie gewijzigd door JackBol op 28 september 2016 20:49]

Dat klopt volledig, vermits je de data op servers van Apple zet is Apple verantwoordelijk voor die data en zal ze die dus overhandigen anders kunnen ze beschouwd worden als medeplichtig.

Als je de schijn tegen hebt, is dat niet genoeg om veroordeeld te worden. Er moet meer hard bewijs zijn. Dit zal dan alleen als ondersteunend bewijs kunnen dienen. Of je kunt hiermee toestemming krijgen voor een afluister tap op dat andere nummer.

Er staat niet "op gerechtelijk bevel", er staat "als diensten daarvoor een verzoek indienen". Een wereld van verschil.

True, maar ik denk niet dat ze dit zomaar zullen doen. Daar zal een gemotiveerd verzoek voor ingediend moeten worden... Hoop ik. Als het niet goed genoeg onderbouwd is dan zal er, neem ik aan, toch een rechter aan te pas moeten komen.
Het spreekt dan in Apple's voordeel dat ze wel vaker dingen geweigerd hebben door te geven.

van "redelijk logisch" naar een hoop aannames...

In context lezen.
Het is redelijk logisch dat metadata wordt bewaard. Daarnaast ligt het voor de hand, en dat is een aanname ja, dat Apple de data niet zomaar opgeeft.

De berichten hebben end-to-end encrypty. Daar kan Apple niets van de-crypten

Ze kunnen wel een nieuwe publieke sleutel aan een account toevoegen en er dan voor zorgen dat nieuwe berichten ook met deze publieke sleutel worden gecodeerd. Het is evenwel mogelijk dat Apple wordt bevolen om dat te doen.

Klopt, doch het betreft dan enkel nieuwe berichten én het aantal keys is zichtbaar met een paket sniffer. Niet voor de leek, maar ook niet geheel onzichtbaar.

tja, dan kun je net zo goed niet meer encrypten.

Natuurlijk wel, want het werkt eavesdropping en MitM van derde partijen alsnog tegen. Dat is hetzelfde als "SSL zonder certificaat is zinloos"; natuurlijk niet: versleuteld is nog altijd beter dan plain-text... Je kan alleen bij beiden variaties niet met 100% zekerheid zeggen dat je wel praat met wie je denkt te praten; maar dat maakt de encryptie zeker niet zinloos!

Ik bedoel dat zo'n extra sleutel niet veilig is. Die is dan zo gewild dat wanneer iemand macht of geld genoeg heeft, er ook misbruik van kan maken.

Sterker nog:

Als je een nummer opslaat in je telefoon (zonder het te bellen) controleert iOS zelf of de houder van dit nummer een iOS apparaat heeft.

Je krijgt namelijk ook al gelijk (zonder het nummer gebeld te hebben) te zien of je met deze persoon kunt FaceTime. Dus de houder van dat nummer wordt al opgezocht.

Of dit kwalijk is? Zou niet weten waarom....maar misschien maak ik me minder zorgen om dit soort 'problemen'. Ik vind het alleen maar makkelijk om een persoon te kunnen bereiken via FaceTime.

Overigens doet WhatsApp precies hetzelfde, want ook daar verschijnt de contactpersoon in het lijstje bij whatsapp, zonder dat je ooit met deze persoon geappt hebt.

In dit geval van WhatsApp maak ik me meer zorgen over mijn privacy dan bij FaceTime.

Sterker nog:

Als je een nummer opslaat in je telefoon (zonder het te bellen) controleert iOS zelf of de houder van dit nummer een iOS apparaat heeft.

Je krijgt namelijk ook al gelijk (zonder het nummer gebeld te hebben) te zien of je met deze persoon kunt FaceTime. Dus de houder van dat nummer wordt al opgezocht.

Of dit kwalijk is? Zou niet weten waarom....maar misschien maak ik me minder zorgen om dit soort 'problemen'. Ik vind het alleen maar makkelijk om een persoon te kunnen bereiken via FaceTime.

Overigens doet WhatsApp precies hetzelfde, want ook daar verschijnt de contactpersoon in het lijstje bij whatsapp, zonder dat je ooit met deze persoon geappt hebt.

In dit geval van WhatsApp maak ik me meer zorgen over mijn privacy dan bij FaceTime.

Klopt, ik heb het bijvoorbeeld ook wel op Marktplaats. Dan tik je een adverteerder aan, kies je voor 'SMS', wordt de SMS/iMessage applicatie geopend, en die zie ik dan zonder enige interactie nog; vaak blauw worden. == iMessage == iOS apparaat.

Wat je nu beschrijft is contact discovery, dat is wat anders dan waar het hier over gaat.
Of althans, dat had ik uit het artikel begrepen; maar het kan zijn dat ik dat verkeerd begrepen heb. Maar ik denk het niet, omdat het hier ook gaat om data die gelogd wordt terwijl het niet in je contacten staat; en meteen in de log wordt gedumpt. (En overhandigd wordt)

[Reactie gewijzigd door WhatsappHack op 28 september 2016 22:46]

Volgens mij staat er exact hetzelfde als wat ik zeg in de afbeelding onder de tabel, maar misschien begrijp ik je verkeerd....

Onder de tabel in het bijschrift staat dus:
Als je een nummer invoert in iMSG wordt de server gelijk ondervraagd op wel/geen Apple device.

Dat klinkt erger dan het is. Wat Apple bewaard is elke transactie met hun adresboek servers. Elke lookup geeft een log-entry. Dat is daadwerkelijk versturen, maar ook andere access. Apple zelf ziet het verschil zoals blijkt ook niet.

Het positieve is dat men dus geen user-activiteit logt, maar addressboek transacties op de server. Waarschijnlijk is dit dan ook statistiek ivm foutopsporing en productverbetering (denk aan load op server, tijdstippen, latency per request, etc). Iets waarvan het logisch is dat men het logt. Elk bedrijf van enige omvang heeft immers dit soort statistieken bij dit soort server producten.

Het opslaan van per ongeluk ingetypte nummers lijkt me juist een goede zaak. Het creeert - als je het vaak genoeg doet - een ruis die de waarde van de data vermindert.

Ik vind dit ook niet zo'n probleem, zolang niemand maar kan zien wat ik zeg, behalve de persoon (of personen) waarmee ik communiceer.

Als het goed is, zijn de berichten allemaal end-to-end encrypted .

Dat weet ik. Daarom vind ik het ook geen groot probleem.

Daarom geven ze ook een voorbeeld van een rapport die wordt gegenereerd uit de logs. Die screenshot is wat een instantie te zien krijgt. Door die aantallen in de laatste kolom kunnen ze peilen of je vaker iemand opzoekt, of dat er met regelmaat gecontroleerd wordt of het nummer een iOS/macOS gebruiker is. Als daar een hoger getal uit komt, is het aannemelijk dat je echt contact hebt met die gene. Of als ze de verzoeken kunnen kruizen (door te communiceren resolve je elkaar; en zijn de nummers te kruizen) dan heb je gewoon contact gehad. De kans is minimaal dat jij met 0600000001 het nummer 0600000002 opzoekt en diegene jouw in 't zelfde tijdsbestek.

Daar gaan we weer .......

Het feit dat iedere berichtendienst dit doet wordt niet genoemd. Wat denk je dat ziggo bijhoud

Wederom storm in glas water en wederom " kijk eens wat apple doet " bericht

[Reactie gewijzigd door dgh op 29 september 2016 00:45]

Volgens René Ritchie op iMore word de data maar voor 30 dagen bewaard. Goed artikel overigens.

Zie hier: http://www.imore.com/imes...cement-what-you-need-know

Al over nagedacht dat je het titel gewoon niet juist interpreteert? Wat er staat klopt gewoon!

Of het clickbait is? Misschien, maar clickbait links/titels kloppen meestal gewoon, alleen zonder context en dus nuance, die staat netjes in de tekst.

De lijst is niet enkel met wie je wel contact hebt gehad maar ook met wie je geen contact hebt gehad Je kan namelijk niks versturen zonder die lookup...

[Reactie gewijzigd door watercoolertje op 28 september 2016 18:36]

Als het ging om puur 'contact zoeken' dan klopt de titel. Echter, is dat ook zo. Dat er óók gelogd wordt als je enkel een random nummer invult; is extra. Dus de titel klopt, echter klinkt het zo negatief. Ik denk dat het daar bij jouw wat dwars zit.

Jij geeft er misschien een iets andere interpretatie aan dan anderen, maar kom op zeg. Ik persoonlijk vind dat je zwaar overdreven reageert.

Ten eerste: Alle titels zijn per definitie click baites.
Ten tweede: De titel is mijns inziens wel juist. Metadata word bewaard van diegene met wie je contact hebt gezocht. (Niet met wie je daadwerkelijk contact hebt gehad).
En dan nog. Meestal heb je ook daadwerkelijk contact.

En dan zeg je zelf ook nog dat de titel wel klopt door het woord "gezocht". Dan is het toch goed zoals het er staat?

Oh, en Apple controleert elke keer weer opnieuw, want het komt wel eens voor dat iemand even geen mobiel internet of WiFi heeft. Dan word er een sms gestuurd, ondanks dat de gebruiker iMessage heeft

[Reactie gewijzigd door gjmi op 28 september 2016 20:13]