Telegram verliest van Russische geheime dienst in zaak over decoderen berichten

Ruslands hoogste rechtsinstantie heeft Telegram in het ongelijk gesteld in een zaak tegen de Russische inlichtingendienst FSB. De chatdienst moet daarom voldoen aan het bevel toegang tot berichten mogelijk te maken.

Nu de Hoge Raad het beroep van Telegram tegen het bevel van de FSB heeft afgewezen, moet de dienst voor instant messaging voldoen aan de eis om 'informatie te verschaffen die nodig is om ontvangen, verzonden, afgeleverde en/of verwerkte elektronische berichten te decoderen'. In de praktijk betekent dit dat de dienst decryptiesleutels moet overhandigen waarmee de spionagedienst inzage krijgt in de communicatie van gebruikers.

De Russische telecomautoriteit Roskomnadzor heeft Telegram ingelicht over de noodzaak binnen vijftien dagen te voldoen aan de wens van de FSB, anders riskeert de dienst een blokkade in Rusland. Telegram weigert zich echter neer te leggen bij de uitkomst van de zaak. Volgens ceo Pavel Durov zal het dreigen met blokkades niets uithalen. "Telegram blijft staan voor vrijheid en privacy."

Toen Telegram vorig jaar weigerde te voldoen aan de eis van de FSB, kreeg de dienst een boete van omgerekend meer dan elfduizend euro. Daarop vocht Telegram het verzoek aan. Volgens Bloomberg gaat Telegram beroep aantekenen tegen het besluit van de Hoge Raad. Het Russische rechtsstelsel biedt in enkele gevallen de mogelijkheid in beroep te gaan tegen beslissingen van de Hoge Raad, als de zaak niet bij lagere rechters is behandeld.

Reacties (165)

[WhatsappHack]

Slechte zaak, vooral door blijven knokken.
Telegram kan het overgrote merendeel van de berichten en bijlagen zo overhandigen daar er standaard geen encryptie is en ze alles van je bewaren en plain-text in kunnen zien, maar voor die momenten dát het nodig is en je kiest zo’n secret chat die ondanks de grove gebreken wel een stuk meer veiligheid biedt: dan moet dat secret blijven ook, zonder backdoors.

Dit zet ook een gevaarlijk precedent voor messengers in Rusland, ben benieuwd hoe ze Signal, Facebook Messenger (in secret modus) en WhatsApp gaan aanpakken. Die gaan dit sowieso nooit inbouwen, dus wat dan? Alle messengers verbieden? Succes! Signal’s domain fronting wordt dan ook een leuke uitdaging.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[Plompie]

Hoe zit dat nu met de plain text voor normal Chats? Volgens de FAQ is dat al niet meer zo hoewel server-side-encryption natuurlijk niet heel veel toevoegt als je de sleutels moet afgeven. Daarbij geven ze aan door de distributie van gegevens onder verschillende jurisdicties één enkele overheid dus ook maar één paar sleutels krijgt niet niet voldoende zijn om de hele data set te ontsleutelen?

Q: So how do you encrypt data?
We support two layers of secure encryption. Server-client encryption is used in Cloud Chats (private and group chats), Secret Chats use an additional layer of client-client encryption. All data, regardless of type, is encrypted in the same way — be it text, media or files.

Our encryption is based on 256-bit symmetric AES encryption, 2048-bit RSA encryption, and Diffie–Hellman secure key exchange. You can find more info in the Advanced FAQ.

See also: Do you process data requests?

https://telegram.org/faq#q-so-how-do-you-encrypt-data

Q: Do you process data requests?
Secret chats use end-to-end encryption, thanks to which we don't have any data to disclose.

To protect the data that is not covered by end-to-end encryption, Telegram uses a distributed infrastructure. Cloud chat data is stored in multiple data centers around the globe that are controlled by different legal entities spread across different jurisdictions. The relevant decryption keys are split into parts and are never kept in the same place as the data they protect. As a result, several court orders from different jurisdictions are required to force us to give up any data.

Thanks to this structure, we can ensure that no single government or block of like-minded countries can intrude on people's privacy and freedom of expression. Telegram can be forced to give up data only if an issue is grave and universal enough to pass the scrutiny of several different legal systems around the world.

To this day, we have disclosed 0 bytes of user data to third parties, including governments.

https://telegram.org/faq#q-do-you-process-data-requests

[WhatsappHack]

Server-client encryption gaat over de verbinding, zoals TLS/SSL. De server heeft gewoon volledig toegang tot de plain-text en versleutelt dat weer op hun. cloudstorage. Telegram heeft die sleutels te allen tijde liggen, dus hebben ze de plain-text van alle communicatie tussen alle gebruikers; en bijlagen, contactenlijsten, et cetera.

Die “verschillende landen” theorie is een rare. Of dat gaat werken is al een dingetje, maar ten tweede betekent het (als je je huiswerk even doet) ook dat Telegram in vage jurisdicties zit waardoor ze ongezien alles kunnen flikken met je data zonder sancties. Op dit moment gebruiken ze de witwas methode Belize - Britse Maagdeneilanden - Panama om het te bewerkstelligen.

Ik zou daar geen veilgheidswaarde aan hechten. Die beveiliging werkt dus enkel als één overheid de servers in dát land in beslag nemen. Telegram heeft echter alle sleutels, dus als de Russen zeggen “joe, alles inleveren” dan kunnen ze niet zeggen dat ze dat, voor de normale chats dan, niet kunnen. Dat kunnen ze namelijk zonder probleem.

Trouwens, Telegram is ook onderhevig aan de patriot act met die plain-text data. Of het equivalent daarvan dat tegenwoordig van kracht is. Immers staan de bedrijven Telegram LLC en Telegraph Inc respectievelijk in de VS en VK geregistreerd.
Niet dat dat direct een ramp is, maar ik was zelf stomverbaasd dat ze er een hoofdvestiging hebben en daaronder hun apps verspreiden in de app store.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[rkeet]

Sorry hoor, maar dit zijn beste beweringen. Je krijgt een +3, maar je hebt niet 1 bron om je beweringen kracht bij te zetten.

Kun je betrouwbare bronnen geven voor:

• De server heeft gewoon volledig toegang tot de plain-text en versleutelt dat weer op hun. cloudstorage. Telegram heeft die sleutels te allen tijde liggen, dus hebben ze de plain-text van alle communicatie tussen alle gebruikers; en bijlagen, contactenlijsten, et cetera.

• Op dit moment gebruiken ze de witwas methode Belize - Britse Maagdeneilanden - Panama om het te bewerkstelligen.

• Telegram heeft echter alle sleutels, dus als de Russen zeggen “joe, alles inleveren” dan kunnen ze niet zeggen dat ze dat, voor de normale chats dan, niet kunnen. Dat kunnen ze namelijk zonder probleem.

  -> Voor zover ik weet is dit sowieso niet mogelijk. Je kunt niet dwingen dat iets uit een ander land komt, gewoon nee.

• Telegram is ook onderhevig aan de patriot act met die plain-text data. Of het equivalent daarvan dat tegenwoordig van kracht is. Immers staan de bedrijven Telegram LLC en Telegraph Inc respectievelijk in de VS en VK geregistreerd.

  -> Dit geldt ook voor WhatsApp en anderen

• [...]met die plain-text data.

  Weer met de plain-text, dit moet je nu wel echt aantonen

edit: structuur quotes + list

[Reactie gewijzigd door rkeet op 25 juli 2024 04:26]

[Lord Driminicus]

Het staat in de FAQ en privacy policy van Telegram:
https://telegram.org/faq
https://telegram.org/privacy

[rkeet]

Okido thanks. Ik verwachtte met zulke beweringen dat deze info niet zo gemakkelijk te vinden zou zijn dus heb er niet specifiek naar gekeken op die plekken. Zal ze 1 dezer dagen eens goed doorlezen.

[WhatsappHack]

Sorry hoor, maar dit zijn beste beweringen. Je krijgt een +3, maar je hebt niet 1 bron om je beweringen kracht bij te zetten.

Je kan ook natuurlijk gewoon zelf even kijken en even Google gebruiken... Vooral even de handleiding en FAQ lezen op hun website waar het pontificaal, en zoals Lord Driminicus reeds aangaf, wordt vermeld. Dat had je zo kunnen lezen. Niet zo lui doen he.

Daarnaast heb ik gezegd dat als de Russen dat zeggen (ja, dat doen ze) dat Telegram dan niet kan zeggen dat het niet mogelijk is. Of Telegram het daadwerkelijk gaat doen en hoe dat juridisch zit is natuurlijk een andere vraag, dat moeten we nog gaan zien na het juridisch getouwtrek.

Dit geldt ook voor WhatsApp en anderen

Ik heb dan ook niet gezegd dat dat niet zo zou zijn.
Er zit echter wel een verschil in waardoor het een stuk minder relevant is en ik het nodig vond om op te merken. Telegram heeft namelijk toegang tot de plain-text en slaat dit op in hun cloud - ze kunnen daar dus bij en ze kunnen dit op verzoek overhandigen. Dat krijg je als er enkel client-server encryptie is.

WhatsApp doet dat niet, een bericht wordt client-side end-to-end encrypt en dan naar de ontvanger gestuurd. Het encrypted pakketje wordt van de server verwijdert zodra deze is afgeleverd; WhatsApp is dus de facto een doorgeefluik van encrypted data (relay). Mere conduit. Dus hoewel ze bij Telegram de non-secret chats gewoon zouden kunnen opeisen in plain-text, is dat bij WhatsApp niet mogelijk. Ze kunnen WhatsApp wel dwingen om een tap te zetten, maar niet om te decrypten; er is namelijk geen encryptieverbod. WhatsApp zou dan dus encrypted pakketjes overhandigen. Hoe de overheid dat gaat decrypten is verder hun probleem, niet de verantwoordelijkheid van WhatsApp. Bij Telegram is het omgekeerd en is decrypten het probleem van Telegram omdat zij de sleutels hebben, en zullen ze derhalve gewoon de plain-text beschikbaar moeten stellen omdat ze daar zonder ook maar enig probleem toegang toe hebben.

Daarom is het bij Telegram's cloudchats wel relevant, maar bij WhatsApp en Signal en dergelijken niet.

[Skit3000]

Laatst was er de directeur van de FBI die riep dat bedrijven op een of andere manier een achterdeurtje in moeten bouwen, omdat anders op een gegeven moment de overheid er een zou verplichten. Heb toen een manier uitgeschreven dat de middenweg zoekt tussen "ik wil veilig kunnen communiceren zonder dat iemand mee kan lezen" en "de overheid moet in extreme gevallen communicatie kunnen decoderen" op een manier die denk ik zowel voor privacyvoorvechters en overheden acceptabel is.

https://medium.com/@sjoer...y-decryption-4f86645c8d1f

Burgers hoeven niet bang te zijn dat overheden zomaar hun data gaan lezen (behalve als ándere burgers zeggen dat dit noodzakelijk is) en overheden hoeven encryptiemethoden niet af te gaan zwakken omdat ze de keren dat het nodig is, het publiek om hulp kunnen vragen om bijvoorbeeld de telefoon van een praktiserende terrorist te kunnen kraken.

[bkor]

Heb toen een manier uitgeschreven

Uit jouw artikel:

It was not until FBI Director Christopher Wray’s speech last week that I started to realize tech companies do have a responsibility to think about ways to help a government. If they fail, the alternative is a state takes matters into their own hands and bans encryption.

Encryptie is onderdeel van TLS/SSL/https. Dit is de eerste paragraaf en gelijk al zit je er behoorlijk naast. Verder was vroeger encryptie alleen toegestaan tot een bepaalde sterkte. Dit werd bij b.v. PGP omzeild door de broncode uit de printen en vervolgens via OCR weer in te lezen. Het maakte dingen vooral omslachtig maar hield het niet tegen.

Verder ga je nogal makkelijk over het feit dat er enorm veel overheden zijn. Iedereen wilt meelezen, denk aan het sleepnet hier in Nederland. Waarom hieraan meegewerkt zou moeten worden zie ik niet in. Vaak genoeg dat onschuldige mensen achter tralies hebben gezeten vanwege oogkleppen van politie en justitie. Mensen hebben wel wat te verbergen!

[Skit3000]

Prima dat jij vindt dat overheden 0% mogen weten van individuen, maar dat is wel het standpunt dat er nu in Rusland voor zorgt dat dit aan het escaleren is.

Ik begrijp jouw eerste zin trouwens niet. Encryptie wordt niet alleen toegepast bij TLS/SSL/https? Al die vormen helpen trouwens niks als een overheid de server waar jij mij communiceert over neemt.

Ja er zijn veel overheden en ja ze willen allemaal meelezen. Nu stevent het af op alles of niets, en uiteindelijk heeft een overheid de fysieke verbindingen onder controle en kan er simpel een filter op zetten waardoor alleen klare tekst over de lijn mag. Op dat moment lukt het je nooit meer dat terug te draaien. Volgens mij kom ik met een alternatief dat in ieder geval een derde optie geeft.

[WhatsappHack]

Nu stevent het af op alles of niets, en uiteindelijk heeft een overheid de fysieke verbindingen onder controle en kan er simpel een filter op zetten waardoor alleen klare tekst over de lijn mag.

Daar wens ik ze echt verrekte veel succes mee, dat is ondoenlijk.
Je wilt ook SSL afschaffen, of hoe zie je dat voor je? Dat de overheid alle private sleutels krijgt? En hoe moet dat gegarandeerd worden dan? En hoe wil je dat allemaal realtime bewerkstelligen over honderden terabits per seconde aan data?

Kom op. Het is gewoon volstrekt onhaalbaar, gewoon niet tornen aan encryptie.
De overheden krijgen een "dan maar geen encryptie" niet voor elkaar en "backdoored encryptie" is in alle gevallen gewoon brak en een slecht plan - dus ze zullen gewoon moeten blijven investeren in kraakmethodes.

[Skit3000]

Het filter is simpel, ze dragen het alle ISP's op en hoeven hen alleen maar te controleren. Wie niet mee werkt, mag geen internetdiensten meer aanbieden. Kijk maar naar wat er nu in China aan de gang is.

Ik ben het met je eens dat backdoors met een enkele masterkey een enorm slecht plan zijn omdat je nooit weet in wie z'n handen het kan vallen. Wat ik beschrijf zorgt juist dat die key nóóit in iemands handen kan vallen zonder dat dit door een grote groep mensen wordt toegestaan. Niemand krijgt jouw private keys, alleen een versleutelde versie waar minimaal x-mensen uit een vooraf door 'jou zelf' bepaalde willekeurige groep aan mee moet werken. Wat mij betreft moet letterlijk 99% van de totale wereldbevolking het eens zijn voordat jouw data gelezen kan worden. Als zoveel mensen overtuigd kunnen worden dat jij iets op je kerfstok hebt kan het voor jezelf hooguit alleen maar meevallen als uit je communicatie blijkt dat je tóch onschuldig bent.

[WhatsappHack]

In China is het alleen iets simpeler, daar die geen normale verbinding met de buitenwereld heeft.
Dan moeten ze dus eerst een soortgelijke firewall opzetten, maar ik denk niet dat je dat hier zo 1,2,3 van de grond krijgt. Zeg nooit nooit natuurlijk, zeker niet kijkend naar zieke wetgeving zoals de nieuwe WiV, maar toch. Plus zijn er technieken voor om het te omzeilen.

Ja maar helaas blijft het een backdoor en kan je authenticiteit ook nooit gegarandeerd worden. En dat is nog een bijkomend probleem naast de zwakke encryptie. Je kan er nooit meer zeker van zijn dat er niemand tussenin zit, je kan er nooit meer zeker van zijn dat er niet meegekeken wordt - kortom: het hele punt van encryptie en authenticiteit is helemaal naar de knoppen met zo'n backdoored systeem.

Het werkt gewoon niet, en het is geen goede encryptie meer.
Al moeten 1000 mensen akkoord gaan of gedwongen worden in verschillende landen (wat waarschijnlijk nooit gaat werken, so why bother ): het blijft gebroken encryptie. En dat is een heel slechte zaak.

En ja het kan meevallen. Of het is iets dat de lezers niet bevalt, ondanks dat het legaal is. Of er wordt een database van gemaakt. En je privégegevens liggen op straat.
Nee, gewoon nee. Zeker niet met het oog op gevaarlijke regimes waar encryptie van levensbelang kan zijn, dan wil je niet dat je corrupte overheid mee kan lezen. Encryptie is zo uitzonderlijk belangrijk, daar kunnen we niet aan gaan tornen.

[Verwijderd]

in dat geval zullen de revoluties weer de kop op steken.
Als de overheid de boel a la 1984 gaat blokkeren, dan komen diverse volkjes in opstand.
Zowel hier in het westen als in Rusland.

En anders is er maar geen encrypte verbindingen. Het volk zoekt wel een weg. Het gaat alleen wat langzamer.

[DataGhost]

En wat precies gaat mij tegenhouden om heel je systeem te omzeilen en lekker op de huidige manier verder te gaan met crypto? Het is inherent niet te onderscheiden van random data en behoorlijk makkelijk in bestaande protocollen te verbergen. Nu heb je alleen voor zo ongeveer iedereen crypto onveiliger gemaakt en geef je een vals gevoel van veiligheid, terwijl de mensen die iets serieus te verbergen hebben dit nog steeds ontzettend makkelijk kunnen doen. Het "verbieden van encryptie" wat je hier doet is toch wel zo net dom en naief als een wet maken die het strafbaar stelt de wet te overtreden, en daarmee te hopen dat mensen stoppen met moorden.

[Reactie gewijzigd door DataGhost op 25 juli 2024 04:26]

[Skit3000]

Ja, je kunt nog steeds je eigen encryptiemethode blijven gebruiken en ja, dat zal inderdaad niet opvallen. Je kan er echter van uit gaan dat overheden uiteindelijk gaan dreigen om applicaties die niet mee willen werken offline te halen (hé, daar gaat dit bericht nu net over... Rusland vs Telegram ).

Als er dan een alternatief is waar de overheid wél gecodeerde communicatie mee kan ontsleutelen (met hulp van het publiek) in plaats van dat je alleen nog substitutieversleuteling mag gebruiken omdat ze de computerkracht hebben om dat simpel te kraken, denk ik dat je liever "mijn" methode gebruikt dan plain tekst.

[DataGhost]

Maar wat is dan het eindresultaat? De gewone burger kan afgeluisterd worden (in de rest van je plan zitten nog heel veel gaten, en als de overheid dit af weet te dwingen zijn het nog maar kleine stapjes om alles standaard afluisterbaar te maken, anders gaat je app offline) en degene die kwaad in de zin heeft niet. Je resultaat is dus 0, want aan het doel wat je claimt te bereiken wordt keihard voorbij gegaan. Dat zou betekenen dat er dus geen enkel draagvlak is om dit te implementeren, dus waarom zou het dan moeten gebeuren? Je pleit hier eigenlijk gewoon voor het volledig verbieden van encryptie, wat, nogmaals, de mensen die toch al wetten gaan overtreden niet gaat tegenhouden.

[Skit3000]

Dus jij claimt dat elke terrorist bewust encryptie toepast. Ik denk dat een groot deel van de data die bij terroristen gevonden wordt, per ongeluk gecodeerd is omdat ze een iPhone hebben of een Android die draait op Lollipop of hoger.

Ik wil niet dat inlichtingendiensten alle iPhones en Androids kunnen decrypten, maar als ze de mogelijkheid hebben dit soms wél te doen zonder dat het ten koste gaat van de veiligheid van alle andere bestaande devices, data en communicatie denk ik dat het waard is om over zo'n oplossing na te denken.

[WhatsappHack]

Dat is geen nieuw idee en introduceert een fundamentale zwakte die zowel encryptie als authenticatie naar het rijk der complete onbetrouwbaarheid verwijst. Je kan er gewoonweg niet meer geheel op vertrouwen.

Slecht idee, sorry.
De overheid hoeft encryptie niet af te zwakken omdat je zelf de encryptie al hebt verzwakt.

Goede encryptie zonder zwaktes is gewoon enorm belangrijk, en de techbedrijven zijn niet “wrong” zoals jij stelt: ze hebben volkomen gelijk.

[Skit3000]

Als jij een deur met tien verschillende sloten hebt en deze sleutels dan aan willekeurige voorbijgangers geeft, kunnen zij toch alleen jouw huis binnen komen als ze alle tien samenwerken?

Als je de sleutel die zij krijgen dan ook nog eens kunt verstrengelen met hun eigen huissleutel, denken ze wel twee keer na voordat ze ingaan op een verzoek van de overheid om te helpen jouw voordeur te openen.

Mocht jij écht iets op je geweten hebben, wordt de drempel voor iemand om te helpen al een stuk lager. Uiteindelijk zorg je op die manier dat de gemiddelde mening van een willekeurig gekozen groep mensen hetgeen is dat bepaald of er toegang wordt gegeven of niet.

[Reactie gewijzigd door Skit3000 op 25 juli 2024 04:26]

[WhatsappHack]

Mja maar in dit geval is het meer dat je 10 mensen nodig hebt die samen één sleutel maken, zoals een bankkluis waarbij 5 medewerkers een sleutel in elkaar moeten schuiven voordat ie in het slot kan.
Dat is toch even een iets andere situatie, zeker omdat als je dan 3 a 4 van de sleutels hebt de laatste bruteforcen een stuk minder kosten, tijd en moeite met zich meebrengt.
En trouwens, aan willekeurige mensen geven maakt geen verschil als anderen precies weten wie dat zijn geweest.

En dan nog... De overheid kan die mensen DWINGEN om mee te werken. Of gewoon zeggen dat je schuldig ergens aan bent, en flop: ze moeten meewerken. Of ze worden er toe overtuigd. OF ze worden gedwongen door criminelen. Dat wordt allemaal zonder probleem mogelijk, en zijn gewoon inherente zwaktes die absoluut niet mogelijk zouden moeten zijn bij goede en degelijke encryptie.
Je gaat er vanuit dat de overheid (noot: de wereld is groter dan het Westen, en ook daar is het al kantje boord) te vertrouwen is en dat criminelen er niet mee aan de haal gaan... Flinke gok.

Hoe je het ook bekijkt, het is en blijft gewoon een gevaarlijke backdoor in encryptie - en dat moeten we gewoon niet doen. Dat is echt een heel erg slecht plan. Daarnaast moet het dan nog verplicht een en t zelfde backdoored protocol zijn ook, dat is al helemaal leip.

Uiteindelijk zorg je op die manier dat de gemiddelde mening van een willekeurig gekozen groep mensen hetgeen is dat bepaald of er toegang wordt gegeven of niet.

Ja, nee... Dat geeft me echt een super comfortabel gevoel enzo.
Zeker nadat ik de afgelopen dagen de politiek heb gevolgd en de verkiezingsbijeenkomsten/demonstraties enzo. Godskolere, je moet er niet aan denken dat sommige van die lui mogen meebeslissen. Zowel van rechts als links, dan moet je maar de mazzel hebben dat de mensen die jou sleutels hebben hetzelfde gedachtengoed als jij hebben - anders komt het niet goed met die encryptie denk ik.

En niet alleen tegenstanders, maar ook voorstanders van wat je fout doet.
Ik vind het zelf altijd een stom argument maar hij is in dit geval zo ironisch dat ik het niet kan laten: wat nou als een pedofiel wordt gesnapt en een mede-pedo heeft de sleutel? Die is ie dan "even kwijt", hm?

Of krijgen ze niet te horen waar de verdachte van verdacht wordt? Maar wie houdt er dan toezicht op? Zo'n court order is makkelijk te regelen, kijk naar hoe dat ging met de NSA; allemaal gesloten zittingen.
Dan kan je dus net zo goed alsnog gewoon een goed uitgedachte backdoor inbouwen en is het waarschijnlijk nog veiliger ook...

... Maar we kunnen er beter gewoon niet mee kloten, en lekker sterke beveiliging behouden zonder backdoors.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[Skit3000]

Ik denk dat je niet mijn hele publicatie tot op de letter hebt gelezen en ik kan het je ook niet kwalijk nemen want het is best veel De mensen die samen de sleutel kunnen 'herstellen' moeten inderdaad anoniem blijven zodat ze niet onder druk gezet kunnen worden. Dat anonieme zorgt er ook voor dat de overheid alleen zieltjes kan winnen door open te zijn over hun decryptieverzoek en ook onafhankelijke media bewijzen moeten tonen, etc. Doen ze dat niet, dan missen ze sowieso medewerking van jou, mij, en waarschijnlijk 90% of meer van de Tweakers hier

Brute forcen is trouwens geen optie, als je een sleutel met meerdere andere net zo sterke sleutels versleuteld, kost het net zo veel moeite om die extra sleutels te achterhalen als de originele sleutel die je in eerste instantie zoekt.

Of de gemiddelde mening van de bevolking te vertrouwen is mag iedereen zelf bepalen, maar dat is wat nu in een democratie ook al bepaald wat er met jouw data gebeurd

[WhatsappHack]

Ik heb het geprobeerd maar kan zeker wel iets gemist hebben gezien het inderdaad een enorme lap tekst was.
Maarja, dit klinkt eerlijk gezegd nog ondoenlijker. Dan ben je dus wél afhankelijk van de meningvorming van de burgers die je sleutel kunnen ontcijferen. Daar kan het mee vallen en staan of jou onschuldige data toch in handen komt van derden óf een medestander ervoor kan zorgen dat je buiten schot blijft.

Democratisch decrypten. Het blijft een grappig concept, maar het is inherent onveilig in beide gevallen. Dus niet enkel dat er zomaar decrypt kan worden, maar ook dat er juist *niet* encrypt kan worden in het geval dat het wél nodig is. Onder de streep ben je dan eigenlijk vrij weinig opgeschoten. Je zal er misschien een paar criminelen mee pakken en waarschijnlijk onevenredig veel onschuldigen wiens gegevens buit gemaakt worden, plus het stukje onveiligheid dat het crimineel misbruikt zou kunnen worden én dat het backdoored is, en dan heb ik het nog niet eens gehad over de technische implicaties met missende sleutels en dergelijken... Dus truth be told, dan doe je een heleboel moeite voor weinig gain, maar je sloopt er wel de encryptie veiligheid en authenticiteit mee.

Doe dan maar gewoon niet, en lekker sterk blijven encrypten

[To_Tall]

Indien overheden backdoors eisen in te bouwen en tech bedrijven zullen dat gaan doen, wat denk je dat er dan gebeurd?

Zolang er mensen zijn bestaat geheim schrift al. Er zullen dan handige mensen opgeroepen worden en verzameld worden door de BV crimineel. om een Eigen platform te bouwen. en die te delen met andere criminelen.

Enige wat dan de overhead zou kunnen doen is dit soort oplossingen strafbaar maken. Ik denk dat dit niet gaat en kan gebeuren. Zeker als dan ook weer naar buiten komt dat bij de bank rekeningen zijn geplunderd. Want ja encryptie is niet meer toegestaan.

[Skit3000]

De overheid pakt nu ook al bedrijven/personen aan die telefoons specifiek voor crimineel gebruik aanbieden.

Met mijn methode is het nog steeds niet mogelijk voor een willekeurig iemand om jouw privésleutel te achterhalen. Alleen jij hebt die sleutel. Een kopie ervan is op zo'n manier gecodeerd dat je een x-aantal (van te voren bepaalde, willekeurige en anonieme) mensen nodig hebt om 'm te achterhalen. Alle sleutels van die mensen zijn stuk voor stuk net zo sterk als die van jou, dus als iemand gaat proberen om te bruteforcen zullen ze direct jouw sleutel proberen te vinden in plaats van die 500 anderen omdat het simpelweg 500 keer makkelijker is.

Mijn methode gaat alleen over het sleutelbeheer. Hoe je het encrypten van data inricht kan je zelf weten, en het lijkt mij niet meer dan logisch om daarvoor precies dezelfde manier te gebruiken als nu.

[Verwijderd]

Interessant, maar ik zie een mogelijk probleem, maar wellicht snap ik je idee niet goed genoeg;
Wat weerhoudt iemand (een overheid?) er van om enorme hoeveelheden keypairs te creeeren (>100% van het dan bestaande aantal) zodat ze daarmee altijd 'in kunnen stemmen' met een decryptie?

[Skit3000]

Dat zouden de applicatiemakers kunnen faciliteren. Zij zijn uiteindelijk ook afhankelijk van correcte data en willen niet dat er valse accounts worden toegevoegd. Daarnaast wordt de keypair versleuteld zodra je deze aanmaakt. Als een overheid de dag erna >100% van het bestaande aantal creëert, worden al die keys buiten beschouwing gelaten. Als een Telegram dan diezelfde dag nog al die nieuwe keys onbruikbaar maakt of een bericht de wereld in stuurt dat die of die overheid iets heeft geprobeerd, schiet die overheid zichzelf direct in de voeten aangezien dan waarschijnlijk nieuwe keys worden uitgegeven (of het uitgeven van nieuwe keys juist wordt gestopt).

[Verwijderd]

Maar hoe controlleer je zoiets? Het lijkt me niet heel lastig om een botje te schrijven dat elke dag een paar keys aanmaakt op random tijden met random realistisch ogende namen.. of je moet al kopieen van paspoorten gaan vereisen, maarja, dan zit je alsnog met je privacyprobleem..

(Sorry hoor, wil niet nodeloos negatief doen; ik vind je idee in de basis heel goed.)

[Skit3000]

Op dit moment controleert Telegram je (als je daar voor kiest) door middel van je telefoonnummer.

De regel hoeft trouwens ook niet "de helft plus één" te zijn, maar kan ook 60% of 70% zijn.

Om te detecteren hoeveel fake accounts er zijn, kan je het aantal accounts vergelijken met de uitkomst van een marktonderzoek. Als daar een enorm verschil tussen zit, pas je de "mee eens" treshold aan.

[Verwijderd]

Je hebt er goed over nagedacht. Misschien moet je eens een concurrent voor Telegram/WhatsApp opzetten (jammer dat het lastig is met social networking om een 'beginnetje te maken' omdat je zo'n kritieke massa aan mensen nodig hebt)

[WhatsappHack]

Niet lullig bedoeld, maar nu ben ik toch heel benieuwd: zou je dat gebruiken dan? Gezien je dus 100% zeker weet dat er een enorm groot gapend gat in de crypto zit waardoor de encryptie volstrekt onbetrouwbaar is?

... Ik bedoel, het zal nog altijd beter zijn dan Telegram's encryptievrije cloud chats, en aardig wat mensen gebruiken dat ook ongeacht dat inherente veiligheidsproblemen (zolang het maar gebruiksgemak geeft he?) - maar heel erg veel schelen qua beveiliging doet het nou ook weer niet.
Dan is de vraag wat je liever hebt voor die gesprekken die je liever wel zeker weten privé houdt. (Bij mij zijn dat alle gesprekken overigens, het gaat niemand iets aan wat ik zeg, doe, bespreek, etc.) Een app waarvan je zeker weet dat ie backdoored is, of gewoon een app waar bewezen sterke encryptie in zit zoals Signal?

[Verwijderd]

Nouja, ik had het over een toekomst waarin dat soort apps (als Signal) verboden zijn. Wellicht kan een overheid accoord gaan met een middenweg zoals die van @Skit3000 .

Overigens is dat geen "volstrekt onbetrouwbaar gapend gat".

En overigens2: wellicht gebruiken mensen Telegram voor de privacy in private chats; dat group chats onveilig zijn lijkt me wiedes

[WhatsappHack]

Overigens is dat geen "volstrekt onbetrouwbaar gapend gat".

Helaas wel, mede omdat het ook de optie tot authenticiteit compleet ondermijnt.
Je kan nooit meer zeker weten of met wie je chat wel de gene is met wie je chat als de sleutel gecompromitteerd is door de beschreven methode. En dat is slechts één van de problemen.

En overigens2: wellicht gebruiken mensen Telegram voor de privacy in private chats; dat group chats onveilig zijn lijkt me wiedes

Het protocol daarvan is dermate slecht dat ook dat niet gegarandeerd is. Zeker niet op lange termijn.

[Verwijderd]

Het protocol daarvan is dermate slecht dat ook dat niet gegarandeerd is. Zeker niet op lange termijn.

dat is niet helemaal waar; de kritiek op MTProto ging over hacks van theoretische aard, bovendien is dat protocol inmiddels geupdate. Nu snap ik nog altijd niet waarom ze niet voor 'proven' crypto gaan maar voor hun eigen ding, maar vreselijk onveilig lijkt het me ook weer niet.

[RobinJ1995]

daar er standaard geen encryptie is en ze alles van je bewaren in plain-text

Geen end-to-end encryptie misschien. Betekent niet dat de op hun servers opgeslagen data in plain text is. Zie https://tweakers.net/nieu...ction=11310411#r_11310411. Even research doen dus

[WhatsappHack]

Het komt op hetzelfde neer, plain-text of plain-text accessible (Telegram heeft de sleutels en kan dus de plain-text bekijken),waar ik op doelde, maakt geen enkel verschil in deze context. Hoe het opgeslagen staat maakt niet uit als je de sleutels hebt.

Maar goed, ik zal het woordje toevoegen om verwarring te voorkomen.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[RobinJ1995]

Tuurlijk maakt dat uit. Want Plain text betekent dat iemand met toegang tot een server er zo bij kan. Hier kan dat dus niet, tenzij meerdere locaties compromised zijn (zij het door een hacker of een regering).

[WhatsappHack]

Nee het maakt niets uit. Telegram heeft volledige toegang tot alle keys. Telegram is te kennen gegeven dat ze die per direct moeten opgeven.

Het hele verhaal over dat het veilig is tegen een overheid of kwaadwillende hacker die ongeautoriseerd toegang krijgt is dus niet van belang. Het gaat er om wat Telegram kan, en die kan gewoon overal zonder probleem bij. (Trouwens, het leunt dus op het feit dat er niet meerdere servers in beslag worden genomen of gehackt, dat is een leap of faith.)

Het enige dat kan is dat Telegram weigert die sleutels te geven. Maar of ze dat echt doen óf veilig weten te houden is maar de vraag.

Daarom heb ik ook de schurft aan die clouddiensten die alles van je opslaan. Je mag de data die ze van je bewaren niet eens versleutelen met een eigen sleutel/phraae, terwijl juist dat een enorme boost zou geven aan de beveiliging van die data en een court order vanuit Rusland niets uitmaakt tenzij de client wordt gebackdoored.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[Skit3000]

Wat jij beschrijft is al lang mogelijk. Als je zoekt in de Chrome Web Store vindt je een extensie van mij die al je data in-browser encrypt met welke encryptiemethode je het dan ook voert. De ontvanger krijgt direct weer de klare tekst te zien als deze dezelfde encryptiemethode heeft ingesteld en over de juiste sleutels beschikt.

[WhatsappHack]

Ja dat laatste gaat dus niet werken in 99.9% van de gevallen
Er zijn zat protocollen voor inderdaad, het probleem is dat beide zijden die moeten gebruiken, en de meeste mensen snappen dat niet. Plus is dat denk ik in het geval van een extensie niet cross-computer/platform? Dat schiet ook niet op.

Het gaat dan ook puur om de geschiedenis. Prima, als je dat fijn vindt, dat die in een cloud komen te staan zodat je ze op elk platform kan aanmelden en er direct bij kan, maar voordat ik zoiets ook maar zou overwegen zou ik toch graag die data op hun servers mijn eigen eigen sleutel mee willen geven. En Dus de clients handelen onderling de communicatie af, en sturen de data encrypted naar de server voor opslag. Automatisch, ingebouwd in de client, geen gedoe met add-ons. Dat kan verrekte makkelijk en zoveel moeite is dat helemaal niet eigenlijk, de vraag is dan ook waarom het ontbreekt in een dienst als Telegram.

Maar het mooie is nog: als je iemand kent die zulke maatregelen begrijpt en wilt nemen - dan kan je ook net zo goed meteen met elkaar op een messenger overstappen die het reeds aan boord heeft.

[Verwijderd]

Maar er zijn open source (nou ja, min of meer dan) clients van Telegram. Dus als je het niet vertrouwt kun je altijd een (oude, source loopt maanden achter) versie van Telegram builden zonder achterdeurtje erin. Of een oude apk van apkmirror downloaden natuurlijk. En om Telegram te verplichten die versies te weren van hun netwerk gaat dan weer erg ver.

[geekeep]

Heel leuk, zo'n open source client, maar het blijven clients. Zolang er geen end-to-end verbinding tussen twee apparaten wordt opgezet, weet niemand wat er in de tussentijd in 'the cloud' met die data gebeurt.

[Verwijderd]

Zolang de encryptie e2e is maakt dat niet uit, overheden kunnen immers ook de communicatie over kabels afluisteren dus je kunt er maar beter van uit gaan dat ze de versleutelde berichten toch al hebben.

[WhatsappHack]

Dat ligt eraan. Als de crypto zelf wordt gebackdoored (of een van de zwaktes wordt misbruikt) dan kan je daar weinig tegen doen in de client omdat je anders het protocol breekt.

[Verwijderd]

Maar dan moet je het protocol aanpassen en dat geeft veel gedoe (tijdje dual protocol server draaien, verplichte updates). Het is veel makkelijker te backdoren door een ADK (additional decryption key, bekend uit de zakelijke pgp versies) mee te leveren, of zelfs de RNG die de symmetrische keys genereert te verzwakken. Maar dat omzeil je dus als je een oude versie blijft gebruiken.

[WhatsappHack]

Kwestie van oude clients incompatible maken.

[Verwijderd]

Jawel, daar zouden ze moeite in kunnen stoppen als ze dit zouden willen. Als het verplicht met tegenzin wordt opgelegd zal een bedrijf niet harder lopen dan perse moet. "Is het op die manier makkelijk te omzeilen? Tja, me moesten X doen en dat hebben we gedaan, dat Y jullie ook niet bevalt is ons probleem niet".

[BLACKfm]

En weer op zoek naar wat anders dus. Dacht je dat facebook erg was, dan wil je de russen al helemaal niet in je berichtjes hebben snuffelen...

Vertrouwen kun je het nu niet meer, die Russen sluiten desnoods een deal en naar de buitenwereld wordt het verteld als "Niks aan de hand mensen, gewoon doorlopen en we blijven gewoon veilig".

[Reactie gewijzigd door BLACKfm op 25 juli 2024 04:26]

[SinergyX]

Het zal maar zijn wat je erger vind om afgeluisterd te worden, voor commercieel of politiek/anti-criminaliteit doeleinden.

[Jeroen]

Anti-criminaliteit (bendes en moordenaars en zo opsporen) en Politieke doeleinden (vervelende journalisten, of Joden opsporen) zijn wel twee verschillende dingen...

[FreshMaker]

Anti-criminaliteit (bendes en moordenaars en zo opsporen) en Politieke doeleinden (vervelende journalisten, of Joden opsporen) zijn wel twee verschillende dingen...

Voor jou misschien wel, maar een journalist die de wereld verteld hoe je aan je miljarden gekomen bent, KAN zomaar een crimineel in jouw ogen zijn.
En als je dan aan de kant van de gerechtelijke macht staat, is de keuze makkelijk

Daarom is het gescheiden houden van die dingen zo belangrijk, een overheid mag dan alles willen weten, maar er moet ergens een grens zijn en je als individu "nee" moet kunnen roepen

[Sandwalker]

Dat is gewoon de bredere discussie tussen de mogelijkheid van de overheid om te controleren dat ik niets ontoelaatbaars aan het doen ben of heb gedaan en mijn mogelijkheden om mijn activiteiten privé te houden.
In de tijd van analoge communicatie werden er ook gecodeerde berichten verstuurd, maar was de encryptie die particuliere ondernemers in het grijzen circuit konden gebruiken, vanuit de aard der zaak wat eenvoudiger te kraken dan tegenwoordig het geval is met sterkte encryptie die voor iedereen beschikbaar is.

Daarnaast is de wereld minder lokaal georiënteerd. Een ouderwets telefoongesprek zou nooit via Rusland lopen, maar voor een data pakketje is dat nog zeer de vraag.

Tenslotte is de inspectiecapaciteit enorm toegenomen, zodat men bijna alles (geautomatiseerd) zou kunnen onderzoeken en alle hits vervolgens doorgeven voor verder onderzoek.

Aangezien iedereen wel eens iets doet, wat ergens in de wereld illegaal is of in ieder geval ongewenst, neemt in ieder geval de perceptie toe dat we overal een potentieel surveillantie doelwit zijn en dat onze persoonlijke vrijheid daardoor enorm wordt ingeperkt.

Vanuit de overheid speelt dat bezwaar vanzelfsprekend niet. Zij wil vooral weten wanneer er een bijzondere gebeurtenis op handen is (aanslag) of welke personen er in het netwerk van een verdachte
of anderszins interessante persoon zitten, zodat ze adequaat kunnen rechercheren.

De reikwijdte van die recherche gaat, als gevolg van het internet veel verder dan de landsgrenzen.
Wat dat betreft is het referendum over de sleepwet dan ook een lachertje. We mogen ons uitspreken over hoe wenselijk we het vinden dat onze overheid inzicht heeft in onze verkeersgegevens, maar wat de Britten, Amerikanen, Russen en zeker Chinezen mogen, daar hebben we niks echt over te zeggen.

Het mooie is natuurlijk dat mensen die echt weten hoe beveiliging werkt en iets willen doen wat niet afgeluisterd mag worden, juist helemaal niet afhankelijk zijn van de encryptie van whatsapp, Signal of Telegram, omdat die de kennis hebben om berichten zelf te coderen en te versturen met een geschikt medium.
Als individu kun je dus prima "Nee" roepen, maar dat vraagt kennis en kunde. Ik ben ervan overtuigd dat bedrijven zich coöperatief op gaan stellen voor commercieel gewin, tenminste in de economische belangrijke blokken: EU, US en China.

[jpsch]

Is er een verschil dan? De commerciële Facebook data ging toch ook naar Camebridge Analytica voor politieke doeleinden?

[Verwijderd]

Nee, CA ge-/misbruikte Facebook voor utgebreide profilering (buiten facebook om)

[jpsch]

CA Had toch ook potentiële afnemers voor die informatie?

[Crazy Harry]

Dat kan je optimistisch willen verpakken als 'anti-criminaliteit', maar dat kan dus ook voor onderdrukking gebruikt worden...

[SinergyX]

En het gevalletje Facebook-Cambridge had geen politiek doel? Niets is zwart/wit, maar even in de basis genomen voor deze gegevens. Daarbij kijk ik vanuit Nederland, principe waar onderdrukking niet zo aan de orde is. Wat nu alleen rusland weg te zetten als potentieel onderdrukker.. de wereld is wat groter dan dat.

[dehardstyler]

Lekker naïef dat je het eerst wel vertrouwde dan... Een berichtendienst met een zelf ontwikkelde encryptie. Ik zeg hier dus niet dat het slecht is! Ik ben alleen niet zo'n voorstander van niet open encryptie protocollen.

Waarom gebruik je dan geen Signal?

[ouweklimgeit]

Of Wire, cross platform en gelijktijdig te gebruiken op telefoon, tablet, desktop, etc. Gebruik het in mijn vriendenkring al lange tijd en het is eigenlijk WhatsApp 2.0.

[Rex]

Wordt moeilijk om al mijn vrienden over te halen om 4 EUR/mnd voor wire te betalen.

[Verwijderd]

Hoe kom je erbij dat Wire €4 p/m kost? Het is nl gratis.

[[Remmes]]

https://wire.com/en/pricing/#24months

Wellicht dat dat anders is (namelijk business vs consumer downloads) maar dat staat er dus niet echt duidelijk.

[Reactie gewijzigd door [Remmes] op 25 juli 2024 04:26]

[shadowkid053]

''30-day free trial. No credit card required. Free for personal use. ''

Kleine lettertjes onder het groene blok met ''Start a free trial''.

[[Remmes]]

Ah... Free for personal use, wel lekker duidelijk, op zo'n wijze wil ik het programma niet eens meer.

[Reactie gewijzigd door [Remmes] op 25 juli 2024 04:26]

[Verwijderd]

Je kan het toch gewoon gratis blijven / gaan gebruiken? Zoveel extra's bied de "zakelijke" uitvoering zo te zien niet.

[[Remmes]]

Dat snap ik, maar als er in zulke kleine lettertjes staat dat het voor persoonlijk gebruik gratis is dan heb ik al niets meer met het bedrijf. Voor diegenen die het wel willen gebruiken is aan hun natuurlijk.

[Rex]

Ik heb dat niet eens gezien. Voor mij hoefde het ook al niet meer toen ik 4-6 euro zag.

[tukkers]

Het maakt niet uit wat je gebruikt, als het groter wordt claimt de overheid en achterdeur. Net als nu met Telegram.

[jeroen7s]

wire is volledig gratis voor persoonlijk gebruik, de 4 euro per maand is voor de zakelijke versie als encrypted "slack-alternatief"
op hun website staat het verschil echter zeer slecht aangegeven

[Verwijderd]

Gebruik op tablet valt tegen, ze hebben pas landscape er uit gehaald op iig Android en komt niet terug.

[jimzz]

Tjah ik vind dat beide voor en nadelen hebben. Open Source kan door iedereen ingezien worden en worden er doorgaans ook meer beveiligingslekken gevonden dan met closed source. Logisch want meer ogen om de code te bekijken. Betekent ook dat lekken vaak sneller opgelost zijn. Maar het betekent dan ook weer dat ook criminelen de code in kunnen zien.

Closed source daarintegen heeft uiteraard ook lekken, maar deze zijn vaak lastiger te achterhalen want we kennen de broncode niet. Stel dat bijv Apple ios open source maakt, dan gok ik dat we voor iedere update een jailbreak kunnen maken, iets wat de laatste jaren min of meer doodgebloed is.

[D11]

Nooit gehoord van reverse engineering? Of decompilers?

[jimzz]

Jawel, maar reverse engineering is toch wel degelijk een stuk meer werk dan wanneer je de broncode openlijk gepresenteerd krijgt.

Overigens, als het echt zo eenvoudig was om dat te doen, dan was er het al lang mogelijk om iOS op een android toestel te laten draaien. Ik heb toevallig ergens gelezen dat het mensen gelukt was, maar met een oude versie van ios.

[Reactie gewijzigd door jimzz op 25 juli 2024 04:26]

[WhatsappHack]

En kwam dat niet omdat er code gelekt was? Anders was t nog steeds niet gelukt waarschijnlijk.

[jimzz]

Precies

[BLACKfm]

Ik gebruik gewoon 'facebook' (dus whatsapp). Maar even op de actualiteit bashen is goed voor de discussie.

Je bent wat die 'encryptie' betreft naar mijn idee nergens echt veilig. De gevestigde namen zijn echter wat populairder en daardoor een beter doelwil voor hackers of overheden. En als het wel een keer mis gaat bij die 'kleinere' diensten dan wordt dat waarschijnlijk ook wat sneller onder de pet gehouden om geen gezichtsverlies te lijden.

Hier in NL hebben we dan wellicht de datalek-meldplicht, maar daar zullen ze zich over de grens niet echt veel van aantrekken.

Ik weet verder ook niet of Telegram enig verdienmodel heeft, maar ik zou lekker Rusland uitsluiten voor gebruik als ze dat zo graag willen als ze geen toegang krijgen. Ben je van het hele gezeur af.

[dehardstyler]

Je bent wat die 'encryptie' betreft naar mijn idee nergens echt veilig.

Ow zeker wel hoor. Het ligt er maar net aan hoeveel gemak jij wil inleveren.

[MadMarky]

Heb jij net een ander artikel gelezen dan ik
Als dit artikel al iets zegt is het dat de FSB vooralsnog géén toegang heeft tot de berichten van Telegram, anders was deze rechtszaak er ook niet geweest. Of wil je beweren dat Telegram straks geblokkeerd wordt, ondanks dat de FSB de berichten prima kan decoderen?

[BLACKfm]

@WhatsappHack geeft het in principe al prima aan, wat ik in het initiële bericht eigenlijk al aangeeft met de "gewoon doorlopen mensen" reactie. Het mag dan een aluminiumhoedjes-denkwijze zijn, er is nog niemand kapot gegaan van het denken buiten de doos.

En wellicht wordt er allemaal propaganda verspreid over hoe Rusland de kluit een beetje aan het besodemieteren is (en of dat waar is of niet kan ik persoonlijk toch weinig aan veranderen), maar dan speel ik liever op safe door te zeggen dat Telegram bij voorbaat zijn geloofwaardigheid al is verloren kwa veiligheid.

Las ik ergens anders in de reacties nog dat die weinig met Rusland/overheid te maken zou willen hebben, wordt dat vervolgens weer ontkracht door dezelfde @WhatsappHack . Ik neem dat natuurlijk gewoon aan voor waar, want ik heb geen reden om te twijfelen over de intenties van de Russen [/aluhoedje].

[WhatsappHack]

Of ze zeggen geen toegang te hebben en t is een showproces voor de marketing. Ik bedoel, volgens een deel van de bezoekers is Rusland fake news land #1 die alles doen om zand in de ogen te strooien - als je dat zwart/wit oogpunt hier aan zou nemen... Afijn.

[raro007]

Kan je het zelfde niet zeggen voor Whatsapp of apple?
De hele apple tegen FBI rechtzaak is een mooi PR stunt om naïeve gebruikers gerust te stellen dat ze geen info delen.
Edit: geldt voor google en microsoft ook*

[Reactie gewijzigd door raro007 op 25 juli 2024 04:26]

[WhatsappHack]

Ja natuurlijk kan dat

[Amadeus1966]

Denk eerder dat de VS fake news land nr 1 is.
Ze hebben west europa al dusdanig gekneed en onderworpen dat we zelfs hun grote tegenstanders als vijanden zijn gaan beschouwen.

[WhatsappHack]

Ik denk dat de waarheid in t midden ligt en ze allemaal onzin fabriceren, t gaat er nu om wie t hardst schreeuwt over de ander dat ze de boeman zijn en wie de meeste zieltjes wint.

[Verwijderd]

Ze kunnen al jaren al je data inlezen. Wordt zelfs al jaren bewaard in een bunker in Maasland. Ooit eens in het nieuws gestaan.

[vali]

Klopt, ooit in 2013 erover gelezen in het volkskrant.

[Verwijderd]

Klopt. Je hebt het artikel gevonden:-) Dus dat er nu weer berichten komen over de sleepwet en dergelijke is vreemd. Het is allang in werking namelijk alleen gebeurd het in het geheim. Nu willen ze publiekelijke goedkeuring. Mensen die in privacy geloven zijn echt naïef. Dat is allang geschonden.

[rbr320]

Met wie gaan ze een deal sluiten dan? Je zou je eens moeten inlezen in die Pavel Durov en zijn relatie met de Russische overheid. Nadat ze hem als CEO van VK aan de kant hebben gezet heeft hij Rusland verlaten met de intentie om er voorlopig niet meer terug te keren. Dus wat je ook van Telegram en het encryptiemodel er achter vindt (en daar deel ik je zorgen deels), een deal sluiten met de Russische overheid gaat niet gebeuren. Ze riskeren nog liever een blokkade, want ze zijn ook aan het kijken naar methoden om daar omheen te komen.

[WhatsappHack]

Durov loopt gewoon regelmatig rond op het hoofdkantoor van VKontake waar ook een aantal Telegram devs zitten hoor. Woont voor de vorm in Finland dicht bij de grens, maar toch - met die zogenaamde ruzie met de overheid valt t allemaal reuze mee.

[CAPSLOCK2000]

Dit is nu waarom:
1. je alle sleutels zelf in handen moet houden en niet laten beheren door een of andere dienstverlener die kan gedwongen worden om ze af te staan.
2. je niet afhankelijk wil zijn van een centrale server die je er op moet vertrouwen dat de crypto goed is geregeld.
3. je geen protocollen wil gebruiken met een SPOF, zoals een bedrijf of server, maar de voorkeur moet geven aan gedistribueerde systemen.
4. je op internet niet kan vertrouwen op juridische bescherming buiten je eigen landsgrenzen. De lokale politie/geheime dienst wint het altijd. Als juridische middelen falen kunnen ze nog een hacker zoeken of in het datacenter in breken en de server meenemen.
5. je nooit meer moet opslaan dan je absoluut nodig hebt. Alles wat je bewaard moet beveiligd worden, kan gestolen worden, of opgevraagd via een dwangbevel.

[joco]

de sleutel van secret chats is niet in handen van telegram
Die staan lokaal op je telefoon.
De secret chats worden ook niet opgeslagen op hun server

Waarom ik eigenlijk nooit secret chats gebruik (behalve om even bv een wachtwoord of zo over te sturen) is dat het niet bruikbaar is tussen mijn telefoon.laptop en tablet. Die zie je niet want alle secret chats zijn specifiek voor 1 device..

[ShockyOcky]

Wire?

[CAPSLOCK2000]

de sleutel van secret chats is niet in handen van telegram
Die staan lokaal op je telefoon.
De secret chats worden ook niet opgeslagen op hun server

De applicatie van Telegram heeft toegang tot de key. Als Telegram zou willen kunnen ze hun app aanpassen om die key door te sturen naar hun centrale server.

PS. In theorie kan de app gebruik maken van de hardware keystore van sommige moderne telefoons. In praktijk kun een typische gebruiker niet controleren of die keystore (nog steeds) wordt gebruikt.

[joco]

natuurlijk kan dat, dat geld dan voor elke app, signal, whatsapp...

Als ze willen kunnen ze de key doorsturen... Maar goed dat ondermijnt secret chats helemaal dan is het gelijk aan cloud chats (als we over telegram hebben)

[toors]

Telegram/WhatsApp e.d. gebruik ik wel nog voor simpele sociale contacten (groepschat en zo), maar voor chats die ik niet wil dat iemand ooit in kan zien gebruik ik al een tijdje m'n eigen XMPP servertje (openfire in mijn geval).
Prima beveiligd.
Eerst een OpenVPN opbouwen naar mijn servertje en dan met een xmpp-client (xabber in mijn geval) inloggen.
Je moet alleen je vrienden overtuigen die app te installeren en dat met de gegenereerde encryptie-keys (zodra je die aanzet in elke afzonderlijke chat) zelfs de admin (ik) niet kan meelezen.

[Verwijderd]

ik:
1) Open Skype, typ :"Biertje?"

Jij:
1) VPN opbouwen
2) Encryptie key genereren
3) Encryptie key invoeren
4) vragen of de enige persoon die je zover hebt weten te krijgen meegaat een biertje drinken

Voor de ander kan antwoorden zit ik al een mijn derde bier.

[toors]

ik:
1) Open Skype, typ :"Biertje?"

Wel even goed lezen, mijn eerste zin:
"Telegram/WhatsApp e.d. gebruik ik wel nog voor simpele sociale contacten (groepschat en zo)"

Ik zit dan ook al aan nr. 3

edit: en de encryptie-key hoef je na het genereren niet in te voeren. De end-to-end encryptie gaat d.m.v. OTR (dus in feite alleen maar een VPN opbouwen, en dat hoeft op zich alleen als ik me op een niet-vertrouwd netwerk bevind).

[Reactie gewijzigd door toors op 25 juli 2024 04:26]

[Hydranet]

Een eigen xmpp server opzetten kan, maar het overtuigen vrienden om xmpp te gebruiken gaat toch niet zo makkelijk. Het antwoord wat je meestal dan krijgt is heb je geen whatsapp. Mensen kiezen vaak toch iets wat makkelijk is vs iets wat ze niet helemaal begrijpen en lastig lijkt.

[Verwijderd]

Ik begrijp de reserves die veel mensen hebben. Aan de andere kant kan het natuurlijk niet zo zijn dat terroristen, criminelen en ander tuig een middel ter beschikking heeft waarmee ze onbeperkt buiten het zichtveld van politie en geheime dienst kunnen opereren.

Overheid moet altijd een manier hebben om elke informatiedrager te kunnen gebruiken als bron.

[jellebaris]

Criminelen die echt iets geheim willen houden gaan echt niet onversleutelde berichten via een chatdienst als telegram sturen. Die gebruiken zelf een encryptymethode die de berichten versleuteld voor ze die via telegram/whatsapp versturen. Zeker als bekend is dat de overheid toegang heeft tot die diensten. De enige die daar dan dus mee gepakt worden zijn de domme of onopgeleide criminelen en de gewone man. Misbruik in de toekomst door die overheid ligt op de loer, bijvoorbeeld als jij bijvoorbeeld aangeeft dat jij het niet eens bent met bepaalde maatregelen van die overheid.

Uiteindelijk blijf ik altijd tegen het verder uitbreiden van dergelijke mogelijkheden van een overheid omdat ik nog in geen enkel geval heb meegemaakt dat een overheid dergelijke bevoegdheden weer inlevert als ze niet meer nodig zijn. Integendeel, ze zijn altijd bezig deze bevoegdheden verder uit te bouwen. En de huidige overheid zal er "misschien" geen misbruik van maken, al heb ik daar ook geen volledig vertrouwen in. Je kan nooit uitsluiten dat in de toekomst een groep aan de macht komt die er misbruik van maakt. Denk aan de gemeentelijke religieuze administratie in WWII. Die werd ook niet in eerste instantie opgezet om joden op te sporen.

Als laatste komt bij mij, bij dergelijke discussies altijd een uitspraak van volgens mij Benjamin Franklin boven. Vrij vertaald, "iemand die zijn vrijheid/privacy verruilt voor veiligheid zal uiteindelijk zowel zijn vrijheid/privacy als zijn veiligheid verliezen"

[hbt68]

success in een land waar men op voorhand weet hoeveel procent van de stemmen gaan naar de president. Ik zou stoppen met product in Russia

[Luchtbakker]

Ik ben blij met de uitspraak dat telegram doet. Dit laat zien dat ze er niet bij neer leggen wat een rechter ze oplegt. Het is idioot dat het zo ver moet komen.

[DigitalExorcist]

Alsof Telegram daar een keus in heeft. Dan blokkeert Rusland Telegram toch gewoon? Is er niemand meer die het kan gebruiken. Het volgende is natuurlijk dat Amerika dat óók wil. Zal daarn dan ook geblokkeerd worden. En vervolgens is het een EU-only feestje geworden. Totdat Brussel ineens het licht ziet.... etc.

[Verwijderd]

En dan hoeven de Telegram clients de domain fronting code maar zo uit het Signal Github repo te copieren en in te bouwen.

[SuddenTwitch]

slechte zaak, ik hoop dat ze het volhouden.

[Verwijderd]

slechte zaak, ik hoop dat ze het volhouden.

Ze worden gewoon verboden is Rusland. Niet echt een overwinning.

[tukkers]

Dat was het ook in Iran waarna iedereen over ging op VPN.

[killercow]

En daarom dus open standaarden, open netwerken, en open source code.
Alles wat uiteindelijk van 1 iemand is, door 1 iemand zn servers *moet* of door 1 iemand beheerd wordt ipv door duizenden willekeurige beheerders heeft hier uiteindelijk problemen mee. Of het nu een website, chat-app, app-store of Operating system is.

Zolang een willekeurige developer de boel niet kan aanpassen en forken is er een single point of failure te vinden in onze voor de democratie zo belangrijke vrijheid van meningsuiting.

[Aetje]

En gedecentraliseerde netwerken, true peer to peer (eventueel met een bootstrap). Die krijg je met blokkades namelijk nauwelijks tot niet plat. Wel de poorten die er gebruikt worden randomizen of van poorten gebruik maken die bij afsluiten ook andere diensten volledig in de soep gooien.

[Verwijderd]

Dat laatste is het idee van de domain fronting die Signal toepast: om die te blokkeren moet je Google blokkeren en maar weinig landen gaan zo ver.

[locke960]

Ik zou hier nog aan toe willen voegen: een "security first" mentaliteit, waarbij op alle lagen eerst veiligheid ontworpen wordt. Pas daarna moeten zaken als gemak en integratie met compleet irrelevante dingen worden toegevoegd, voor zover mogelijk gegeven de veiligheid. De standaard is al 25 jaar dit andersom te doen, met alle gevolgen van dien.

[joco]

Hoe zouden ze dit precies moeten gaan doen dan?

Dus ze moeten hun secret chats eigenlijk gewoon killen?

Want ze kunnen de overheid niet de encryptie sleutels geven, en de berichten staan ook niet op hun servers..

Dus als ze een backdoor moeten inbouwen dan zijn secret chats dus gewoon hetzelfde als hun cloud chats?

[Verwijderd]

Aangezien haast geen hond die secret chats gebruikt op Telegram zal dat wel een punt van latere zorg zijn.

[joco]

maar ik neem toch aan dat de hele rechtzaak over secret chats gaat?
en niet over hun cloud chats?

Dat ze bij de cloud chats kunnen en dat ze die met een gerechtelijk bevel moeten leveren lijkt me vrij duidelijk.. Maar secret chats is iets anders daar kunnen ze wel een gerechtelijk bevel voor uit laten gaan, maar dat brengt ze niks dichter bij de inhoud..

[Verwijderd]

Dat ze bij de cloud chats kunnen en dat ze die met een gerechtelijk bevel moeten leveren lijkt me vrij duidelijk.

Oh ja? De serers staan niet in Rusland en de werknemers van Telegram ook niet, hoe wil Rusland ze dan dwingen? Ze krijgen ook geen advertentieinkomsten uit Rusland of zo. Stel je voor dat een Noord Koreaanse rechter straks roept dat een Nederlandse ISP toegeng moet geven tot hun opgeslagen mails, wat denk je dat er dan gebeurt?

[WhatsappHack]

“De serers staan niet in Rusland en de werknemers van Telegram ook niet”

Volgens meerdere bronnen is dat laatste niet waar en zitten er nog altijd een paar in St Petersburg. De enige die het ontkent is Pavel Durov. Interessante link:
https://theoutline.com/po...onnections-to-the-kremlin

En een van de bronnen waar het op gebaseerd is, is bijzonder uitgebreid geweest met zijn verhaal. https://medium.com/@anton...lead-for-1-7-b24961dec503
Was erg interessant om te lezen. Hoeveel er van waar is is giswerk, maar volgens TO en Bloomberg zijn er dus meerdere bronnen die het verhaal bevestigen.

Het interresantste was nog wel dat Pavel Durov zei dat Rozenberg een psychisch gestoorde man is die nooit bij VKontakte heeft gewerkt, terwijl Nikolai Durov heeft gezegd dat hij er wel degelijk gewerkt heeft. Waarom Durov hem snel wil afschilderen als gestoorde man met een onzinverhaaltje is nu de grote vraag, waarom is Rozenberg een dusdanige bedreiging dat hij hem meteen in diskrediet probeert te brengen? Jammer voor hem dat z’n broer echter het tegendeel aangeeft.

[Reactie gewijzigd door WhatsappHack op 25 juli 2024 04:26]

[Verwijderd]

Dus als ze een backdoor moeten inbouwen dan zijn secret chats dus gewoon hetzelfde als hun cloud chats?

Ja, want als ze dat niet doen worden ze gewoon verboden.