Oh dit vind ik een erg interessante post en een leuk discussievoer.
Ik hoop dat je het niet erg vindt als ik er uitgebreid op reageer, misschien zat je daar juist niet op te wachten - maar dat risico loop ik dan maar even.
Een milde vorm van paranoia is zeker goed om in acht te houden, niet alleen bij gratis producten; maar altijd. Dat een product betaald is, open, dicht, gratis: je moet altijd opletten. Al kost het een miljoen. Dat iets gratis is maakt het niet onveilig, dat iets betaald is maakt het niet veilig. Dat iets open is maakt het niet veilig, dat iets gesloten is maakt het niet onveilig. Altijd common sense in acht houden en goed kijken wat iets doet.
Aannames kunnen zeker goed zijn, mee eens... Mits je je baseert op het volledige verhaal en alle informatie die beschikbaar is voordat je die aannames gaat maken. Als je maar de helft weet, er totaal geen onderzoek naar doet en vervolgens een aanname maakt en op basis daarvan je conclusie trekt - dan moet je imho goed oppassen en er bij vermelden dat je het niet zeker weet maar dat je DENKT dat het de situatie is.
Je ziet ook de hele dag op internet aannames voorbij komen waarbij je een enorme facepalm maakt en denkt "hoe komen ze er in godsnaam bij, en waarom geven ze dit advies?". Het is vaak goed bedoeld, maar dat maakt het er niet beter op. (Soms is het ook gewoon grappig. User1: "Hoe kan ik Snapchat krijgen?" Beppie42: "Ja dat is op je ifoon die knop naast Safari"
)
Terugkomend op de post waar ik op reageerde vind ik dus dat het aannames en claims zijn die voor een groot deel bestaan uit misinformatie en gebaseerd lijken te zijn op slechts zeer summier onderzoek, en dat moet je dan juist weer niet doen naar mijn mening. "Je hebt de sourcecode niet" is hier dus ook geen argument, omdat er zoveel informatie beschikbaar is over deze onderwerpen dat voor het grootste deel die hele source niet boeit. (O.a. de opmerkingen over The Guardian - daar heb je de bron niet voor nodig om een oordeel te vellen.
)
Mijn voorgaande post was redelijk beknopt en zonder al te uitgebreide argumentatie, laat ik het wat uitgebreider toelichten; dan snap je misschien beter waarom ik het poste - en dat was dus absoluut niet om "aannames" in het algemeen af te zeiken.
Na veel kritiek en drogredenen is het artikel met veel druk ingetrokken.
Na veel kritiek, zeker - en volkomen terecht ook, het was een extreem ongenuanceerd en overdreven artikel; daarom hebben ze ook hun excuses aangeboden en schoorvoetend een rectificatie geplaatst met wat stiekem natrappen om toch te proberen gezichtsverlies te voorkomen. Maar waar zijn precies drogredenen gebruikt, welke zouden dit dan zijn - en wie heeft dat gedaan? Er is namelijk een zeer gegronde reden dat vooraanstaande onderzoekers en professoren als dhr. Green een brandbrief hebben geschreven aan The Guardian. (Hier op Tweakers in het nieuws geweest:
nieuws: Beveiligingsexperts kritiseren The Guardian-artikel over WhatsApp-'ba...) Die hebben het dus allemaal mis en gebruiken drogredenaties?
Die brief is hier dus zelfs nog voorbij gekomen, dus daar niet van op de hoogte zijn getuigt van nul tot zeer weinig onderzoek. Waarom dan toch een aanname maken en de suggestie wekken dat het artikel onder druk van drogredenaties teruggetrokken zou zijn - terwijl het overduidelijk is dat het (deels) is teruggetrokken omdat het gewoon bullshit was? Dat snap ik dan dus niet.
Zeker niet omdat er is vermeld wat er dan precies een drogredenatie was, het is een aanname zonder enige onderbouwing - dat maakt het lastig te begrijpen waar de poster het eigenlijk over heeft.
En als dan trouwens naast dit alles ook nog eens blijkt uit het follow-up artikel van "the man himself" waar zoveel fouten inzitten dat het heel pijnlijk duidelijk wordt dat de beste jongen geen flauw idee heeft hoe het protocol functioneert (o.a. vergeten dat er een MAX_SKIP variable is waardoor je niet oneindig de self-healing van Signal kan gebruiken, en o.a. over het hoofd zien wat een probleem het is als een client selectieve blocking toepast en dan een methode voorstellen hoe het "wel zou moeten" die echt volslagen gestoord is) en wat de veiligheid-implicaties zijn: waarom zou je dan blijven suggereren dat het een goed en gegrond artikel was en er nog bij opmerken dat het enkel onder druk/drogredenaties is aangepast?
Sorry hoor, maar daar kan ik met m'n gedachten dus niet bij.
En dit is uitgebreid op meerdere plekken op the internets besproken.
Voorts:
Wat schets je verbazing, een maand later komen ze met nog steeds geen oplossing voor dat probleem maar met een stukje scheinveiligheid.
Nee, daar kwamen ze 3 maanden geleden al mee. Het zit sinds 10 November 2016 in de beta voor iOS en Android. Hier is uitgebreid over geschreven, en er is ook hier op Tweakers aandacht aan besteed:
nieuws: WhatsApp schakelt tweetrapsauthenticatie in bij bèta's
De aanname "die functie hebben ze in reactie op dat artikel gemaakt" is dus incorrect, en dat had de poster met een kleine controle heel makkelijk kunnen weten.
Schijnveiligheid? Het maakt retransmit een blocker, houdt group rejoin tegen, et cetera. Het voegt wel degelijk een extra laag beveiliging toe, die in mijn ogen ook belangrijk is om te activeren. Wat is er precies nep aan dat het geen extra veiligheid zou bieden?
Als je dit activeert kan retransmission niet plaatsvinden zonder eerst de code in te voeren, dat blocked dus wel degelijk de trade-off met automagische retransmission.
Het ligt er ook maar net aan wie je als adversary beschouwt in deze opzet, encryptie zoals dit en dit soort functies vereisen net als bijv. het CA model een vertrouwen. Daar kom je onmogelijk omheen.
En ga zo maar door en door.
Ik vind het niet erg als mensen aannames maken, maar is het nou echt teveel moeite om echt alleen maar even in Google en de Tweakers nieuwsberichten te kijken voordat er aannames worden gemaakt?
De enige aanname die MOGELIJK klopt (en dat is ook het enige waar, naar mijn mening, jou verhaal over "privacy schendingen in het verleden van grote bedrijven" van toepassing kan zijn is) is:
WhatsApp creeerd een prachtige propositie door nu email adressen te lopen harken
Ware het niet dat je e-mail ingeven volledig optioneel is en er op dit moment geen sharing van die data plaatsvindt. Dat wil natuurlijk, zoals ik hier elders in een andere reactie ook al vermelde, niet zeggen dat het nooit zal of kan gebeuren. Maar het ZOU kunnen, dus ale: ze zitten als ze dat willen in een goede positie ALS iedereen z'n mailadres invult.
TL;DR
Ik ben het dus volkomen met je eens: een lichte vorm van paranoia is helemaal goed. Aannames maken is belangrijk, en soms kan je zeker niet anders. Maar in dit geval is er zoveel informatie over beschikbaar, dat ik het gewoon luiheid vindt om niet eens even de artikelen hier te lezen en op Google te kijken; en het derhalve absoluut niet als terecht gemaakte aannames beschouw. En daarom reageer ik er op met een correctie.
Trek gewoon geen conclusies als je niet eens hebt gekeken of maar een heel klein beetje weet, dat is het enige dat ik zeg. En dat lijkt me geen onredelijk standpunt, toch?
Ik hoop dat ik zo wat duidelijker heb gemaakt hoe ik er in sta.
Ben het niet oneens met wat je zegt en wilde zeker absoluut niet zeggen dat je nooit aannames moet maken, maar vind alleen dat in dit geval de aannames die gedaan zijn absoluut niet "heel goed" zijn en louter getuigen van een gebrek aan onderzoek. (Ik zeg niet dat alles in die post perse fout is trouwens, ik reageerde op de punten die gegarandeerd niet kloppen.)
[Reactie gewijzigd door WhatsappHack op 22 juli 2024 22:06]
/i/2001299423.png?f=imagegallery)
/i/2001299421.png?f=imagegallery)
/i/2001299419.png?f=imagegallery)
/i/1386053492.png?f=fpa)
:strip_exif()/i/1392884304.jpeg?f=fpa)
/i/2001261633.png?f=fpa)
/u/407403/WAhack.png?f=community){kind=small}
:strip_icc():strip_exif()/u/348363/crop5673ea2423487_cropped.jpeg?f=community){kind=small}
.
.
:strip_icc():strip_exif()/u/116600/crop5be04a1ae3ded_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/50688/saab.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/8379/crop568422c027ddc_cropped.jpeg?f=community){kind=small}
/u/590416/crop5d8a8f12228ba_cropped.png?f=community){kind=small}
/u/113601/crop5e3f183d640f8_cropped.png?f=community){kind=small}
/u/24411/img.png?f=community){kind=small}
/u/416523/fotos_in_de_cloud_android.png?f=community){kind=small}
:strip_icc():strip_exif()/u/172393/crop575c1e0ea6322.jpeg?f=community){kind=small}
/u/76039/crop57da9da8c9647_cropped.png?f=community){kind=small}
/u/411828/crop576907a75c281.png?f=community){kind=small}
:strip_icc():strip_exif()/u/408989/crop5613f0d80e7bb_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/54320/crop66d223ef9f585_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/89443/crop6751a570b24c9_cropped.jpg?f=community){kind=small}
/u/112495/crop59797ea149f47_cropped.png?f=community){kind=small}