Frankrijk ontwikkelt WhatsApp-alternatief voor overheidsfunctionarissen

Frankrijk ontwikkelt een eigen communicatiedienst met end-to-end-encryptie die gebruikt zal worden door Franse overheidsfunctionarissen. Dit WhatsApp-alternatief is bedoeld om de zorgen weg te nemen dat buitenlandse partijen gesprekken kunnen bespioneren.

Een woordvoerster van het Franse Ministerie voor economie, industrie en de digitale sector heeft laten weten dat het noodzakelijk is dat er een beveiligde berichtendienst komt die niet versleuteld wordt door Rusland of de Verenigde Staten, zo meldt Reuters. Volgens haar is het sinds het Cambridge Analytica-schandaal noodzakelijk om na te denken over potentiële beveiligingsinbreuken.

Op dit moment moment zijn er ongeveer twintig hoge Franse overheidsdienaren die de nieuwe app testen. De app, waarvan de naam niet is prijsgegeven, is gemaakt door een ontwikkelaar van de nationale overheid. Het doel is om de app ergens gedurende de aankomende zomer verplicht te stellen voor de gehele overheid.

Volgens de woordvoerster is de app ontwikkeld op basis van gratis te gebruiken code die op het internet is gevonden. Om wat voor code het gaat, wilde ze niet zeggen. De woordvoerster zegt dat het programma uiteindelijk beschikbaar kan worden gemaakt voor alle burgers.

Onder andere de door een Rus gemaakte Telegram, dat inmiddels in Rusland wordt geblokkeerd, was een vrij populaire app onder hoge regeringsleden van Macron en de president zelf. Dat veranderde nadat het Franse beveiligingsbedrijf Thales op basis van privacyzorgen tools op de werktelefoons van verschillende regeringsleden installeerde, waardoor WhatsApp en Telegram niet langer konden worden gebruikt.

Reacties (111)

[PureTryOut]

Wat een raar artikel.

"Volgens de woordvoerster is de app ontwikkeld op basis van gratis te gebruiken code die op het internet is gevonden. Om wat voor code het gaat, wilde ze niet zeggen."

Het was meteen al bekend "om wat voor code het gaat": het is een fork van Riot, een Matrix client. Allebei volledig FOSS.
https://mobile.twitter.co...status/984823703543435269

Ik blijf het raar vinden dat Tweakers tot nu toe constant lijkt te weigeren om Matrix te vermelden in welk artikel dan ook. Zelfs in het artikel over de aankondiging van de Librem 5: een Matrix-first telefoon die ook echt zo gepromoot werd.

[Reactie gewijzigd door PureTryOut op 23 juli 2024 13:15]

[psychicist]

Ik zie wel meer rare dingen op Tweakers. Veelal artikelen over nietszeggende zaken in plaats van de belangrijkere dingen aan de orde te stellen. Het lijkt er bijna wel op dat tussen het nieuws door vooral de adverteerders tevreden gehouden moeten worden.

Ik zie het zonder meer als een goede ontwikkeling dat de Franse overheid zijn eigen messenger heeft. Whatsapp, Facebook en consorten waren een goede ontwikkeling van Web 2.0 en nu is het tijd voor decentralisatie. De software is er al, nu moet de tijd van meer innovatie aanbreken.

[burne]

Ik zie het zonder meer als een goede ontwikkeling dat de Franse overheid zijn eigen messenger heeft.

Niet gehinderd door enige kennis zie ik. De Franse overheid gebruikt DPI om persoonsgegevens van burgers met een torrent-client door te geven aan RIAA/MPAA zodat diezelfde burgers 'schikkingsvoorstellen' krijgen (HADOPI). Een van mijn Franse vrienden mocht kiezen uit een schikking van € 600 of potentieel celstraf voor het torrenten van een freeBSD DVD.

In het verleden had Frankrijk een goede oplossing voor hun toenmalige overheid met dank aan meneer Joseph-Ignace Guillotin. Hoog tijd dat ze die weer eens van stal halen.

[GeoBeo]

[...]

Niet gehinderd door enige kennis zie ik. De Franse overheid gebruikt DPI om persoonsgegevens van burgers met een torrent-client door te geven aan RIAA/MPAA zodat diezelfde burgers 'schikkingsvoorstellen' krijgen (HADOPI). Een van mijn Franse vrienden mocht kiezen uit een schikking van € 600 of potentieel celstraf voor het torrenten van een freeBSD DVD.

In het verleden had Frankrijk een goede oplossing voor hun toenmalige overheid met dank aan meneer Joseph-Ignace Guillotin. Hoog tijd dat ze die weer eens van stal halen.

Helemaal mee eens. Frankrijk loopt binnen de EU ver voorop als het gaat om stappen nemen richting een totalitaire politie staat. Dat is daar een mooi voorbeeld van.

Mark my words 100% garantie: de Franse overheid wil nu een encrypted chat app voor zichzelf, maar gaat binnenkort van burgers eisen dat ze dat soort apps niet gebruiken (naar Russisch en Chinees voorbeeld). Zodat de overheid alles kan zien wat de burgers doen, maar omgekeerd niet. In andere woorden: meer macht voor de overheid tegen burgers, meer ruimte voor corruptie, minder democratie. "tegen terrorisme" uiteraard. Gaat gewoon gebeuren.

Ik weet nog dat ik 10 jaar geleden in Frankrijk studeerde en op de universiteit Skype niet kon gebruiken (geblokkeerd, exact zoals het nu geblokkeerd is in China). Waarom? Skype was vanuit de overheid op alle onderwijsinstellingen in Frankrijk verboden. Waarom? Omdat Skype toen nog niet afgeluisterd kon worden door de Franse geheime dienst.

De volgende stap richting de totalitaire staat ligt al klaar voor de volgende aanslag. Let maar eens op: 1 dag na een aanslag in Frankrijk wordt er altijd een uitgebreid nieuw beleid aangekondigd. Daarbij staat dan altijd vernietiging van privacy rechten en inperking van democratie voorop. "tegen terrorisme" uiteraard.

Eng land.

En dit is een land dat binnen de EU samen met de Duitsers de kar trekt en het voorbeeld stelt. Ook voor Nederland.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 13:15]

[sassymousasi]

Frankrijk was ook het eerste land dat een Patriot act heeft ingevoerd.

De rest van de EU zal spoedig volgen. Ik snap echt werkelijk waar niet waarom het gros van de mensen hier (zeker hier op T.net) niet inziet dat de EU zo ontzettend gevaarlijk is. Neem eens een kijkje naar Amerika en hoe daar alles geregeld wordt en je kan in 1 oogopslag zien waar wij naartoe gaan.

Mooie recente voorbeelden zijn het verplicht opleggen van afschaffing van netneutraliteit en het verplicht moeten invoeren van de sleepwet.

Maar nee #NEXIT is als vloeken in de kerk. Noorwegen en IJsland wordt voor het gemak vergeten.

[Reactie gewijzigd door sassymousasi op 23 juli 2024 13:15]

[GeoBeo]

De rest van de EU zal spoedig volgen. Ik snap echt werkelijk waar niet waarom het gros van de mensen hier (zeker hier op T.net) niet inziet dat de EU zo ontzettend gevaarlijk is.

Ik snap dat wel; als je elke dag alleen maar de NOS kijkt en nu.nl leest dan wordt je niet veel wijzer voor wat betreft het gevaar van de politieke EU en het grotere plaatje. Zeker als je gelovig bent in de NOS religie (die we met z'n allen letterlijk op school leren bij maatschappijleer) en denkt dat de NOS eerlijk, onafhankelijk en gebalanceerd nieuws brengt.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 13:15]

[psychicist]

Het is inderdaad een slechte ontwikkeling voor de burgers van het land als dit soort software gebruikt wordt om de eigen bevolking te benadelen. Duitsland is ook niet een land waar ik graag zou willen wonen, gezien de restricties vanuit de overheid.

Maar als de mensen in het land inclusief jouw vriend zich zo slecht behandeld voelen, kunnen ze er toch voor kiezen om naar het Europese Hof te stappen?

Dat doet er niets aan af, dat ik het niet een slecht idee vind dat een overheid aan ontwikkeling van eigen software doet. Het wordt kwalijk op het moment dat alternatieve messengers en andere applicaties voor burgers worden uitgesloten.

[mrdemc]

Ze zullen het wel niet kennen/geen interesse in hebben. Vind het ook vreemd, al gaat het bij dit artikel om een een-op-een vertaling van het Reuters artikel, dus in dit geval is het vooral hen aan te rekenen om blindelings een verklaring over te nemen zonder eigen onderzoek.

[NLAnaconda]

Je wil niet weten hoe vaak ik een artikel vlug scan ende eerste reacties pas aandachtig ga lezen.

[RobbieB]

Ah ja, dat zelfde Frankrijk dat een internationaal gevecht wil tegen encryptie:
nieuws: Frankrijk wil internationaal 'gevecht' tegen versleutelde berichten

Een eigen app met ‘end-to-end-encryptie’ ontwikkelen waarbij de regering toch nog zelf de private keys kan inzien. En vervolgens andere encrypted apps verbieden. Slecht voor ambtenaren, slecht voor de rest van de Fransen...

France being France...

[Reactie gewijzigd door RobbieB op 23 juli 2024 13:15]

[mrdemc]

Ze ontwikkelen op basis van de open standaard Matrix. Valt dus wel mee in dit opzicht.

[Tadsz]

Open standaard heb je weinig aan als ze vervolgens alle private keys naar zichzelf sturen en zo alsnog mee kunnen lezen

[mrdemc]

Het is op basis van een federated systeem. Je kunt gewoon je eigen homeserver opzetten en ervoor kiezen te syncen naar andere homeservers. Dat klopt dus niet.

[Woutske]

Wel als ze dat er uit slopen of er een vorm van authenticatie in bouwen (trusted servers). Het is immers open source.

[mrdemc]

Nee want de broncode van het project op zichzelf is niet van hun en dit is de basis opzet van Matrix. Je kunt uiteraard een eigen netwerk opbouwen die niet communiceert met andere servers, daar ben je vrij in en dat is het goed recht van een overheid
Echter zal de publieke omgeving gewoon door gebruikt kunnen worden. De private keys staan trouwens op jouw eigen client en niet op jouw eigen homeserver welke je zelf kunt ontwikkelen op basis van het Matrix protocol.

[Annihlator]

Maar kunnen we uitsluiten dat als naar verloop van tijd een gebruiker de app gebruikt, die verbindingsdata niet doorgesluisd wordt naar de Franse overheid?

[bdbfz]

Ik zou er niet van uit durven gaan dat ze de intentie hebben om compatibel te blijven met de bestaande Matrix servers/federatie. En als hun eigen implementatie afwijkend genoeg is, kan je de standaard protocollen blokkeren en je eigen afwijkende protocol toelaten... Embrace and extend, de goeie oude Microsoft tactiek.

Ze kiezen voor de Riot clients, die gelicensed zijn onder de Apache-2.0 license. Vrij om te forken, en het resultaat is niet verplicht open source. Ik ben benieuwd of ze hun aangepaste client zullen opensourcen... maar eigenlijk denk ik dat ik het al weet.

[PKN]

Lia

[Verwijderd]

Je kiinkt alsof de Franse overheid geen veilig communicatiemiddel zou mogen ontwikkelen voor hun eigen ambtenaren. En ja als overheidsambtenaren naar andere ambtenaren schrijven mogen hun bazen dat zinzien. Ik ken geen enkel land waar dat niet zo is.

Kan het zijn dat je alleen de titel hebt gelezen en niet waar het over gaat? Je commentaar is namelijk niet erg toepasselijk.

[Cilph]

Hoezo niet toepasselijk? Het is gewoon erg hypocriet dat ze zo tegen encrypted messaging zijn (want we kunnen niet afluisteren) en dan kennelijk zelf er toch wel waarde aan hechten (alleen wij mogen onze ambtenaren afluisteren)

[lezzmeister]

Vind je? Internationaal vechten tegen encryptie en encryptie ontwikkelen. Beetje scheef.

[Annihlator]

Daarnaast; bestaande standaard implementeren, maar toch een eigen client?

[Verwijderd]

Do as I say, not as I do.

Plus wetten gelden enkel voor NUKUBU's.

[MisterJRF]

mooi gezegd "dikke"


edit typo.

[Reactie gewijzigd door MisterJRF op 23 juli 2024 13:15]

[Jonathan-458]

Waarom gewoon niet Signal, BBM of Wickr Entrepise gebruiken?

En ja in hoeverre wil je echt top secret zaken bespreken over mail of app?

[Reactie gewijzigd door Jonathan-458 op 23 juli 2024 13:15]

[mrdemc]

Ze maken gebruik van Matrix Synapse. Zie deze tweet/video
https://twitter.com/matri...s/984840235702996992?s=21 misschien ook leuke info voor de auteur @Koekiemonsterr

[Reactie gewijzigd door mrdemc op 23 juli 2024 13:15]

[Jonathan-458]

Thx, voor de info.

Vrij veel mogelijkheden als ik zo snel hun site doorneem.

[Reactie gewijzigd door Jonathan-458 op 23 juli 2024 13:15]

[mrdemc]

Klopt, het is een mooi programma, ik gebruik het zelf ook.

Wel een beetje vreemd hoe erover wordt gesproken door die spokeswoman... geheimzinnig

[Tohamo]

Ze gaan waarschijnlijk voor "security through obscurity": door vaag te blijven over de details, hebben hackers minder kans om het systeem te kraken. Het equivalent van "Mijn huis is beveiligd, want niemand weet onder welke bloempot ik mijn sleutel heb verstopt."

Echte veiligheid is echter net het tegenovergesteld: je zou aan iedereen je plan moeten kunnen uitleggen en steeds de volgende reactie krijgen: "Inderdaad, dat is een veilig plan, zo kan ik je huis niet binnenkomen".

[WhatsappHack]

Echte veiligheid is echter net het tegenovergesteld: je zou aan iedereen je plan moeten kunnen uitleggen en steeds de volgende reactie krijgen: "Inderdaad, dat is een veilig plan, zo kan ik je huis niet binnenkomen".

En toch is het soms slimmer om dat plan gewoon niet uit te leggen behalve aan de gene die de kennis echt moeten hebben. Security by obscurity is geen security, maar het kan wel helpen; voornamelijk kan het flink helpen om tijdswinsten te boeken. (Eg: je merkt dat iemand bij je heeft weten in te breken (ondanks je veilige huis!), maar die moet gaan zoeken naar waar de schat is. Jij merkt dat op (detectie) en kan daardoor stappen ondernemen; ofwel hem eruit trappen, de politie bellen, je beveiliging aanscherpen of een ander noodplan. De "obscurity" biedt je weliswaar geen daadwerkelijke veiligheid (immers kan de schat gevonden worden) maar het kan je wel helpen om toch nog te reageren op de inbraak. Uiteraard heeft dit z'n voor- en nadelen.)

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[CivLord]

Misschien iemand van de PR-afdeling die de exacte antwoorden zelf niet kent?

[Kalief]

gratis te gebruiken code die op het internet is gevonden

Apache License 2.0. Dat verplicht de Franse overheid niet hun aanpassingen te publiceren. Dat zal hebben meegespeeld.
https://github.com/matrix-org/synapse/blob/master/LICENSE

[mrdemc]

Vast, gelukkig wordt Matrix actief ontwikkeld met Synapse en Dendrite o.a. En Riot als client. Funding hebben ze ook voldoende gelukkig om voorlopig nog even door te kunnen gaan. Ze zijn dus niet afhankelijk van de code die Frankrijk eventueel aanlevert, en misschien maar goed ook.

[Franckey]

Waarom gewoon niet Signal, BBM of Wickr Entrepise gebruiken?
...

Of gewoon Skype for Business. Zeker als je toch al Office gebruikt en een eigen Exchange server.

[Qlusivenl]

Overheden die technologie ontwikkelen, al is het maar software. Ja dit gaat hem worden! Ik weet niet precies hoe dat in frankrijk geregeld is, maar als ze het net zo doen als de andere overheden, waaronder Nederland natuurlijk 1 van de grote sterren is, flikkeren ze een hoop geld over de balk en komt er weinig van terecht. Denk aan slechte stabiliteit, bugs, probleem hier probleem daar. Succes Macron!

[batjes]

Zeik overheden lekker af, ondertussen is onze AIVD ook overheid en 1 van de beste hackers groepen ter wereld.

Vergeet niet hoe veel er wel niet in het bedrijfsleven fout gaat En hoeveel er bij de overheid juist wel goed gaat. De overheid doet het gemiddeld niet slechter dan het bedrijfsleven.

Overheden hebben het ook een stuk lastiger dan het gemiddelde bedrijf, voor een bedrijf is een afhankelijkheid bij een derde partij hebben niet zo erg. Een overheid kan niet of nauwelijks bouwen op de expertise en mogelijkheden van derden, en moeten veel zelf doen en mogen vrijwel elke keer het wiel opnieuw uitvinden.

[sOid]

Dat. Wel met een aanvulling over lokale overheden

Lokale overheden (gemeenten, GGD'en, waterschappen) ontwikkelen (vrijwel) geen eigen software. Ze zijn grotendeels afhankelijk van grote commerciële partijen zoals Centric en PinkRoccade. Vaak ook nog eens met een verkapte monopoliepositie waardoor er niet veel te kiezen valt.

Als je vervolgens in de code van die systemen gaat duiken (ik heb het nu over software voor online dienstverlening), val je zelfs met geringe technische kennis van je stoel van verbazing. Pleister op pleister op pleister. Daardoor is het gebruiksgemak vaak zo beroerd en voldoen de meeste systemen niet volledig aan de WCAG 2 toegankelijkheidsrichtlijnen. Het is enorm lastig om die grote commerciële partijen in beweging te krijgen.

Daar komt nog bij dat er een hoop is aan te merken op aanbestedingsprojecten. Door bezuinigingen is er vaak gekozen voor een (bij aanschaf) goedkoop softwarepakket. Kortetermijnvisie. Als je voor dat goedkope pakket 4 jaar lang continu intensieve ondersteuning nodig hebt, plus medewerkers die door het systeem extra tijd kwijt zijn, is het helemaal niet goedkoper dan het initieel duurdere maar gebruiksvriendelijker systeem.

[Verwijderd]

Zeik overheden lekker af, ondertussen is onze AIVD ook overheid en 1 van de beste hackers groepen ter wereld.

Bravo, de Nederlandse veiligheidsdiensten staan als zeer kundig in dit soort dingen bekend en staan in zeer hoog aanzien bij hun collega's. Net als de Nederlandse politie. De meeste tweakers hebben al vergeten wat voor geweldige 'stunts' ze in 2017 hebben uitgehaald. Van het offline halen van dark web sites na het tracken van de onfrisse zaken daar tot aan het ontmaskeren van door de Russische overheid gesteunde social media teams.

Het is ronduit verbazend hoe vaak CNN, ABC en NBC bronnen in Nederland aanhalen. Vreemder is dat je daar in Nederland vrijwel nooit iets over leest. Alsof we ons schamen over het feit dat je een veiligheidsdienst hebt die doet wat we van hun vragen.

[Neko Koneko]

[...]
Het is ronduit verbazend hoe vaak CNN, ABC en NBC bronnen in Nederland aanhalen. Vreemder is dat je daar in Nederland vrijwel nooit iets over leest. Alsof we ons schamen over het feit dat je een veiligheidsdienst hebt die doet wat we van hun vragen.

De typische "weg-met-ons" mentaliteit die in de Nederlandse media zo heerst. Alles wat Nederlands is, is slecht of niet interresant. Uitzonderingen: sport (schaatsen, voetbal, Verstappen) en water management op internationaal niveau. Voor de rest: "ga je schamen, vuile Nederlander! "

[unclero]

De typische "weg-met-ons" mentaliteit die in de Nederlandse media zo heerst. Alles wat Nederlands is, is slecht of niet interresant. Uitzonderingen: sport (schaatsen, voetbal, Verstappen) en water management op internationaal niveau. Voor de rest: "ga je schamen, vuile Nederlander! "

Nee, dat heeft eerder te maken met de Nederlandse aversie tegen veiligheidsdiensten (en autoriteit in het algemeen, Nederlanders zijn van nature nu eenmaal anarchistisch). Het vorige referendum liet duidelijk zien wat voor mening de gemiddelde Nederlander over diens eigen veiligheidsdiensten klaar heeft liggen .
Dan wil je al helemaal niet te koop gaan lopen met het feit dat je een immens veiligheidsapparaat hebt en een verwevenheid van deze en meerdere diensten met het bedrijfsleven en particuliere organisaties.

[YGDRASSIL]

Daar lezen we nooit wat over ondat die zeer capabele geheime dienst dat liever niet heeft. En dan verschijnen er dus geen artikelen of ze verdwijnen ;-)

[gepebril]

Ik betwijfel dat. Ook daar zitten mensen à la Snowden die realiseren dat de tools niet slechts voor/tegen anderen worden gemaakt. Dus help jij mee om de IT versie van de atoombom equavalent te ontwikkelen.....

[Cartoon]

Hoe kom ineens je op hackers? OP had het over software ontwikkelaars.

[B64]

Hoe vaak gebruik jij GPS?

[Verwijderd]

Uuuuh, WA heeft toch gewoon end to end encryption?

[Verwijderd]

Ja, maar de gebruiker heeft geen overzicht wat er achter de schermen gebeurt. Wie zegt dat het protocol dicht zit?

[WhatsappHack]

Zo’n beetje alle experts en auditors.
Maar dat is het probleem niet voor zeer gevoelige communicatie bij ambtenaren, de metadata bij een third-party is daar veelal het probleem.

[.oisyn]

Het gaat niet alleen om het protocol. De app kan (uiteraard) bij je gesprekken, en die dus ook heimelijk doorsturen. Ook andere apps kunnen er evt bij. Ook moet je er maar op vertrouwen dat de app niet liegt als het je de keys laat zien. En dat de app het nú goed doet is geen garantie dat dat in de toekomst ook zo blijft.

[Reactie gewijzigd door .oisyn op 23 juli 2024 13:15]

[WhatsappHack]

I know. In theorie is alles nou eenmaal onveilig.
Als je op die manier wilt werken zul je ook je eigen hardware, firmware en operating system moeten maken, de protocollen zelf schrijven of op zn minst de bestaande re-auditen en ga zo maar door en door. . Enkel een andere messenger applicatie is niet voldoende. Immers is het leuk als ze zelf een appje maken, maar als ze vervolgens de boel gewoon op een factorymade Android gooien weet je nog niets zeker noch waar je jezelf aan bloot stelt.

Dan is de zeer minimale kans dat er een backdoor blijkt te zitten in software die de audits goed heeft doorstaan en heel veel te verliezen heeft als dat werkelijk zo is wel het minst van je zorgen eigenlijk.
Maar goed, je moet ergens beginnen I guess... Maar als dat werkelijk het probleem is dan beginnen ze verkeerd om. Je kan beter vanaf de hardware tot aan het OS opbouwen en dan pas gaan kijken naar de apps, dan andersom. Anders kan je op een later punt weer die app gaan herschrijven.

[Stromboli]

Dan is de zeer minimale kans dat er een backdoor blijkt te zitten in software die de audits goed heeft doorstaan

Het is toch een peuleschilletje om bij een audit één onderdeeltje achterwege te laten, en voor de versie in de store dat er wel in te stoppen. Een backdoor is op talloze manieren mogelijk, ook zonder dat je dat aan de functionaliteit van de app kunt detecteren.

[WhatsappHack]

Dat ligt eraan hoe goed de audit is ingericht...
Dit kan trouwens bij alle software uit derde bron in een app store, het is een risico dat je loopt.
En zoals ik al zei, je kernel of compiler kan ook backdoored zijn. Je hardware ook. Dat was ook het punt van m'n strekking, als je alles wilt gaan uitsluiten wat in theorie misschien mogelijk zou zijn: dan beginnen ze naar mijn idee aan de verkeerde kant waar het minste risico zit, in plaats van aan de kant te beginnen waar het meeste risico zit.

[Stromboli]

Dat ligt eraan hoe goed de audit is ingericht...

Hoe zou je de audit moeten inrichten om deze mogelijkheid van 'optionele verborgen feafures' uit te sluiten?

Dit kan trouwens bij alle software uit derde bron in een app store, het is een risico dat je loopt.
En zoals ik al zei, je kernel of compiler kan ook backdoored zijn. Je hardware ook. .

Kom op, hoe groot is de kans dat een maker van een app het zo weet te organiseren dat iedereen ter wereld die hun source code wil bekijken en compileren, met tig verschillende compilers op tig verschillende soorten hardware, allemaal rigged versies van alles hebben met allemaal dezelfde backdoor.

Nou als dat het 'risico' is, dan acht ik dat héél veel veiliger dan closed source wat niemand kan controleren.

Dat was ook het punt van m'n strekking, als je alles wilt gaan uitsluiten wat in theorie misschien mogelijk zou zijn: dan beginnen ze naar mijn idee aan de verkeerde kant waar het minste risico zit, in plaats van aan de kant te beginnen waar het meeste risico zit

Het grootste risico is hier toch juist dat Facebook er een backdoor in heeft zitten? En niet dat extreem hypothetische scenario waarin het open source is maar mensen de backdoor toch niet te zien krijgen doordat iedereens compiler en hardware ook allemaal gebackdoord is? (en wel op zo'n manier dat het precies de backdoor in Whatsapp faciliteert)

[boto]

maar waarom krijg ik dan reclame op fb voor dingen die ik op whatsapp zeg?

[.oisyn]

Confirmation bias?

[boto]

Het viel me op, ik was er niet naar op zoek. Maar ik snap je punt.

https://techcrunch.com/20...ing-heres-how-to-opt-out/

[WhatsappHack]

https://techcrunch.com/20...ing-heres-how-to-opt-out/

Ah, inderdaad confirmation bias dus.

[boto]

goed verhaal wel! Maar heb dit gevonden https://faq.whatsapp.com/general/26000016 dus ga dat wel gewoon toepassen.

[.oisyn]

Hoe dan? Dat lijkt alleen van toepassing als je de TOS nog niet of minder dan 30 dagen geleden geaccepteerd hebt.

[Verwijderd]

Ja en hoe weet je of FB niet end to end encryptie er uit heeft gesloopt de volgende update? Dan heb je wel elke update een audit nodig om WhatsApp uberhaudt te kunnen vertrouwen.

Closed source "encryptie" kan je niet serieus nemen.

[WhatsappHack]

Ja en hoe weet je of FB niet end to end encryptie er uit heeft gesloopt de volgende update? Dan heb je wel elke update een audit nodig om WhatsApp uberhaudt te kunnen vertrouwen.

Net zoals bij opensource software dus? Of audit dat zichzelf?

Closed source "encryptie" kan je niet serieus nemen.

De encryptie die in WhatsApp wordt gebruikt is overigens opensource.
Daarnaast natuurlijk een extreem kort door de bocht opmerking.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[Verwijderd]

Code op github kan je 24/7 auditen. Closed source software niet.

Signal's encryptie is opensource. Heel leuk ook maar je kan nergens checken in de WhatsApp source op backdoors of dat ze zelfs de encryptie gebruiken. Weet je wat pas kort door de bocht is? Dat Telegram in veel landen wel geblokkeerd wordt maar WhatsApp verdacht genoeg niet. Net alsof FB toch een paar backdoors in heb zitten.

[WhatsappHack]

Code op github kan je 24/7 auditen. Closed source software niet.

De code op GitHub wel en dat moet je dan ook goed in de gaten houden.
De code in de stores is een ander verhaal.

Signal's encryptie is opensource. Heel leuk ook maar je kan nergens checken in de WhatsApp source op backdoors of dat ze zelfs de encryptie gebruiken

Dat kan jij inderdaad niet persoonlijk geheel checken. Niet dat dat ook maar iets zegt over de aan- of afwezigheid van backdoors. En dat WhatsApp encryptie toepast staat gewoon onomstotelijk vast en is overigens relatief makkelijk te controleren.

Weet je wat pas kort door de bocht is? Dat Telegram in veel landen wel geblokkeerd wordt maar WhatsApp verdacht genoeg niet. Net alsof FB toch een paar backdoors in heb zitten.

Ah gaan we op die tour... Nou, dat spelletje kan ik ook spelen!
Ik heb leuk nieuws voor je: WhatsApp is van alle (relatief) populaire (communicatie)apps dé app die per saldo in de meeste landen ter wereld wordt geblokkeerd. Telegram is per saldo de app die in het minst aantal landen wordt geblokkeerd. Zelfs YouTube wordt nog vaker geblokkeerd dan Telegram. Verdacht he?

WhatsApp wordt in 12 13 a 14* landen geblokkeerd, Telegram wordt in -4- 5 landen geblokkeerd. (Even bijgewerkt naar de ontwikkelingen van vorig jaar en dit jaar.) Dus als ik jou drogredenatie even loslaat op het verhaal met die statistiek erbij, dan is WhatsApp dus juist het minst verdacht en zou Telegram het meest verdacht moeten zijn? Ja toch? Dat was immers jou verhaal.
^{* = 13 a 14 omdat Brazilië steeds blokkeert en dan weer deblokkeert n.a.v. lage rechters die niet snappen wat encryptie precies is.}

Prima hoor van die simpele verdachtmakingen roeptoeteren als er geen enkel bewijs is om op die manier toch iets in diskrediet proberen te brengen, maar zorg dan op z'n minst dat je iets roept dat nog een beetje onderbouwd is; en doe een klein beetje onderzoek.

WhatsApp wordt dus juist in heel veel landen geblokkeerd.
En zoals je kunt zien: in veel meer landen dan Telegram...

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[rixalabur]

Klopt, maar WA zelf heeft een achterdeur nog weer ingebouwd. Dus zij, en wie zij toelaten, kunnen alsnog alles meelezen.
Daarnaast geeft WA al je contact info door aan Facebook. En facebook linkt dit weer met info van je eigen FB account, mocht je die hebben.

[WhatsappHack]

Klopt, maar WA zelf heeft een achterdeur nog weer ingebouwd.

Heb je een bron voor die aantijgingen? Dat is namelijk een zeer serieuze beschuldiging en ik ben dan ook heel erg benieuwd naar deze backdoor.

Dus zij, en wie zij toelaten, kunnen alsnog alles meelezen.

Graag een bron.

Daarnaast geeft WA al je contact info door aan Facebook.

Dat is incorrect. Voor EU-burgers wordt overigens sowieso niets gedeeld met Facebook op het moment.

[GMJansen]

Ik heb wel een theorie:
Hoe kan het zijn dat WA een video bericht van 50MB binnen 1sec verstuurd heeft naar persoon B, als ik deze eerder naar groep A gestuurd heb; wat toen een ruime minuut duurde?

Ik heb het bericht vanuit WA dus bij groep A gekopieerd en in een nieuw bericht aan persoon B gestuurd/ doorgestuurd.
Als het bericht end-2-end encryptie zou hebben, MOET het bericht naar mijn idee opnieuw verstuurd worden, en dus ook een minuut duren.

Het lijkt er dus op dat WA mijn videootje bij hun in de cache heeft staan, en dus vanuit daar direct sturen naar persoon B.

Een encryptie expert kan wellicht uitleggen of deze cache dan ook encrypted is(... kuch)
Het is in ieder geval vaag, te meer omdat berichten dan blijkbaar altijd doorgestuurd kunnen worden vanuit die cache.
Dus ook naar derden...?
Daar gaat je encryptie model dan en val je naar mijn idee mooi door de mand.

[WhatsappHack]

Je had je eigen vraag kunnen beantwoorden door gewoon het technische document over de encryptie door te lezen, pagina 6.

Om het makkelijker te maken zal ik ook een wat uitgebreidere historie en uitleg erbij geven zoals ik heb begrepen hoe het werkt, daar het technische document nogal abstract is en wellicht niet voor iedereen goed te begrijpen valt.
Here goes:

Het lijkt er dus op dat WA mijn videootje bij hun in de cache heeft staan, en dus vanuit daar direct sturen naar persoon B.

Dat klopt, maar dat is niet zo slecht als je lijkt te denken en prima te verklaren. Dat is het model.


Het is namelijk heel simpel. De encryptie op media werkt iets anders.
Het is een kleine wijziging voor een win-win-win situatie. Dit was noodzakelijk om de web/desktop client mogelijk te maken en om bijlagen encrypted in groepsgesprekken te kunnen versturen en als extra winst bespaard het nog data ook. Anders als je het echt E2EE met unieke sleutels zou willen, dan zou je naar een groep met 50 man dus 50x die bijlage moeten uploaden. En als je de Web/Desktop client gebruikt, dan moet de computer het eerst uploaden naar je telefoon, die moet het encrypten en het vervolgens weer uploaden naar je gesprekspartner. Dan kost een bijlage van 50MB dus opeens 100MB mobiele data. Dat is onacceptabel, om een heel scala aan redenen. (Niet enkel de mogelijke traagheid, maar er zijn landen waar ze niet zo gezegend zijn met onze vorm van internetbundels.)

Dus moest er een trade-off komen die dit beter mogelijk maakt maar slechts minimaal aan veiligheid inlevert. Zo kan het benodigde dataverkeer sterk beperkt worden (zowel gunstig voor gebruikers alsmede voor WhatsApp zelf, scheelt dataverkeer/load op hun servers en pipes) en is er geen extra stap nodig tussen Web/Desktop Client en het versturen van bijlagen. Dit is ook de reden dat je als je via Web/Desktop client een bijlage verstuurd en je computer uitzet je toch nog de bijlage op je telefoon kan downloaden.

Dat gaat als volgt:
- Je WhatsApp Client (en of dat nou op je telefoon is of de computer maakt niet uit) genereert een zeer sterke encryptiesleutel en encrypt daarmee je bijlage.
- Het encrypted bestand wordt geupload naar de WhatsApp Server, waar deze in een blobstore wordt geplaatst
- Je WhatsApp Client encrypt de sleutel van het encrypted bestand, de hash (zodat je ontvanger geen ander bestand voorgeschoteld kan krijgen dan wat je verstuurd hebt ) en de pointer naar de blobstore met het end-to-end encryptie protocol en stuurt deze naar de ontvanger. (Bij de Web/Desktop client stuurt de Web/Desktop client over het end-to-end encrypted kanaal met je telefoon de sleutel en blobpointer, en je telefoon stuurt dat weer door. De Desktop/Web client beschikt immers niet over de encryptie sleutels van gesprekken.)
- De ontvanger ontvangt jou encrypted bericht, decrypt deze, download de bijlage uit de blobstore op de WhatsApp server (aldanniet zodra je er op tikt), controleert de hash, decrypt de bijlage met de sleutel die je had bijgevoegd in je end-to-end encrypted berichtje en heeft het succesvol ontvangen. Gezien de E2EE kan je ook dus controleren of ik daadwerkelijk de gene ben geweest die het jou heeft gestuurd.
... En zo heb je end-to-end encryptie met een bijlage cache, optie voor groepsgesprekken die niet superveel data vreten en hoeft je mobiel niet dubbele data te vreten als je iets met je computer verstuurd; maar hoeft slechts een heel klein beetje data te verbruiken om de sleutels en blobpointers te versturen.

Als jij nu exact dezelfde bijlage meteen naar iemand anders stuurt, stuur je opnieuw de sleutel en de pointer naar de blobstore. Dit werkt over het algemeen niet al te lang, maar kan oplopen tot 30 dagen als een van de ontvangers zo'n lange tijd niet online komt. Daarna wordt het alsnog gepurged en zul je het opnieuw moeten versturen. Mocht de ontvanger dus na bijvoorbeeld 35 dagen online komen, dan zal hij/zij een foutmelding krijgen dat het bestand niet meer beschikbaar is. -edit- Correctie, zelfs dat niet; want na 30 dagen wordt ook het oorspronkelijke bericht dat er mee gepaard ging verwijderd, dus de ontvanger ziet helemaal niets meer. Als de ontvanger wel de pointer en sleutels heeft gekregen maar de bijlage nooit gedownload heeft (eg: autodownload stond uit (voor 4G) en ontvanger is het vergeten) en dat na lange tijd wél alsnog probeert, dan krijgt de ontvanger wel een foutmelding dat het niet meer opgehaald kan worden en zal de verzender moeten vragen het opnieuw te sturen.

De voordelen zijn dus:
- Minder algemeen dataverbruik (zowel voor gebruikers als voor WhatsApp zelf)
- Minder CPU cycles (accubesparing)
- Hogere snelheid als je het vaker verstuurd naar verschillende mensen (zoals je zelf gemerkt hebt )
- Veeeeeel minder dataverbruik bij het versturen van bijlagen via de Web/Desktop client
- Authenticatie via E2EE en een veilige uitwisseling van de sleutels over het normale end-to-end encrypted kanaal met je ontvangers blijft geheel behouden.
- WhatsApp kan de encrypted blob veilig tijdelijk opslaan zonder dat zij hier toegang toe hebben omdat ze de sleutels niet hebben.

Dus:

Daar gaat je encryptie model dan en val je naar mijn idee mooi door de mand.

Neen. Het is prima te verklaren en een hele goede oplossing waarmee de veiligheid, encryptie en authenticatie gewoon blijft behouden. Je trekt je conclusie op een foute aanname, dat is nooit zo handig - zeker niet als de whitepaper die gewoon op hun website beschikbaar is het ook al uitlegt.

Ik hoop dat het zo helemaal helder is uitgelegd in ieder geval.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[verytallman]

Zeer gedetailleerde informatie, bedankt.

Zeer benieuwd, werk je toevallig voor WhatsApp? Zoveel informatie verstrekt WhatsApp toch niet in openbare publicaties?

[WhatsappHack]

Nope, zou wel een leuke baan zijn denk ik - praat wel eens met medewerkers daar (vooral devs en vertalers, ik doe mee aan de iOS-beta) en zijn allemaal heel vriendelijk en zeer kundig.

Ja dat publiceren ze dus wel!
Zie https://www.whatsapp.com/...p-Security-Whitepaper.pdf
Pagina 6 over het uploaden van media

Het enige dat ik heb gedaan is dat wat meer jip-en-janneke’en (is dat een werkwoord?) en wat informatie over waarom zo’n constructie noodzakelijk is toegevoegd; dat legt het document niet uit omdat het ervan uitgaat dat het gelezen wordt door mensen met kennis van de technieken, dus is heel erg abstract en straight to the point.

[Rafe]

Goede vraag, ik was ook wel nieuwsgierig naar wat voor optimalisatie ze toepassen want anders lopen de storagekosten ook hard op voor ze.

Uit de Whatsapp Security Whitepaper blijkt dat je eigenlijk nooit de video zelf stuurt, maar een speciaal berichtje met URL en de decryptiesleutel. Dat bericht is net als andere berichten end-to-end-encrypted, dus dat is net zo veilig:

Large attachments of any type (video, audio, images, or files) are also end-to-end encrypted:

1. The WhatsApp user sending a message (“sender”) generates an ephemeral 32 byte AES256 key, and an ephemeral 32 byte HMAC-SHA256 key
2. The sender encrypts the attachment with the AES256 key in CBC mode with a random IV, then appends a MAC of the ciphertext using HMAC-SHA256
3. The sender uploads the encrypted attachment to a blob store
4. The sender transmits a normal encrypted message to the recipient that contains the encryption key, the HMAC key, a SHA256 hash of the encrypted blob, and a pointer to the blob in the blob store
5. The recipient decrypts the message, retrieves the encrypted blob from the blob store, verifies the SHA256 hash of it, verifies the MAC, and decrypts the plaintext

[Reactie gewijzigd door Rafe op 23 juli 2024 13:15]

[Stromboli]

WhatsApp is closed source, en in bezit van een Amerikaans bedrijf wiens core business bestaat uit het exploiteren (om niet te zeggen: verkrachten) van de privacy van hun gebruikers. En ze hebben bovendien 20 miljard betaald voor deze app.

Gezien bovenstaande feiten zou ik de gok niet nemen om op de blauwe ogen of goede intenties van Zuckerberg te vertrouwen.

[WhatsappHack]

Ik vroeg niet om persoonlijke gevoelens over de CEO van Facebook (niet de CEO van WhatsApp), maar om een bron met mbt de backdoor.
Dit soort dingen roepen is altijd makkelijk, maar ik heb nog geen bron gezien die me meer kan vertellen over die backdoor die er volgens rixalabur inzit en WhatsApp toestaat iedereen toegang te geven tot de stroom encrypted berichten tussen partijen. Terwijl ik dáár wel in geïnteresseerd ben.

Er is een verschil tussen iemand niet vertrouwen en regelrechte paranoia alsof het de personificatie van satan himself is trouwens. Ik vertrouw Zuckerbeg ook niet (en gelukkig is het niet de CEO van WhatsApp), maar wil toch echt goede bronnen hebben voor zulke zware claims.
Ik vertrouw (bijna) niemand op de blauwe ogen, daarom zijn bronnen belangrijk. Ik acht iets niet zomaar veilig omdat iemand het zegt, maar ik acht het ook niet zomaar waarheid dat er een backdoor in zou zitten... Wel zo eerlijk he.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[Stromboli]

Sorry voor de late reactie, maar ik heb geen enkel bewijs voor een backdoor in Whatsapp.

Ik heb echter óók geen enkel bewijs dat er geen backdoor in zit.

En daar wringt hem de schoen. Want ten eerste kan niemand Whatsapp of Facebook hierop controleren. Ten tweede zijn er zéér grote incentives voor Facebook om er stiekem wel een backdoor in te stoppen. En ten derde heeft dit bedrijf toch al een extreem belabberde reputatie op het gebied van privacyschending.

Dus al met al lijken mij dit op zijn minst voldoende reden tot enige gezonde skepsis. En zou ik al helemaal niet de gok nemen om zonder ook maar enige aanleiding er op te vertrouwen dat het wel in orde zal zijn.

[rixalabur]

Even zoeken en je vindt de links zelf. Maar ok: http://www.bbc.com/news/technology-35978532

En natuurlijk deelt FB wel in de data van WA. Alleen mag het niet. Maar als je zo goedgelovig bent dat ze op hun woord dit niet zullen doen... prima. Nog voordat dit verbod er was, was het al gebeurd trouwens. Dus terugdraaien enzo...nah, ik zie dat niet gebeuren.

[WhatsappHack]

Even zoeken en je vindt de links zelf. Maar ok: http://www.bbc.com/news/technology-35978532

Oh wees niet bang, ik zoek volop naar bronnen en ben goed geïnformeerd.
In het artikel dat je linkt staat dat sommige mensen het kwalijk vinden (in dit geval ene Jim Gamble) dat er GEEN backdoor inzit voor overheden omdat dat de veiligheid en onderzoeken zou ondermijnen; die meneer is dus helemaal niet zo blij met sterke encryptie. Er staat nergens dat er een backdoor in WhatsApp zit... Heb je dus een bron die daadwerkelijk bewijs levert voor een backdoor, of baseer je je stellige opmerking dat er een backdoor inzit dus op een foute interpretatie van een artikel bij de BBC?

Die bron spreekt jou claim dat er een backdoor inzit tegen namelijk...

En natuurlijk deelt FB wel in de data van WA. Alleen mag het niet. Maar als je zo goedgelovig bent dat ze op hun woord dit niet zullen doen... prima. Nog voordat dit verbod er was, was het al gebeurd trouwens. Dus terugdraaien enzo...nah, ik zie dat niet gebeuren

Nee ik zou ze niet zomaar op hun woord geloven, maar als je een overeenkomst sluit met zowel de FTC (Amerikaanse waakhond) alsmede met een EU-taskforce onder leiding van de Britten waarin je bindend vastlegt dat er geen data gedeeld wordt, dan wordt het inderdaad zeer aannemelijk dat ze deze data niet delen; want als ze het wél doen zijn de consequenties enorm en hebben we het niet meer over een tikje op de vingers maar over een miljarden boete en mogelijke misdrijven.

Men doet net alsof het super simpel is om dat soort contracten met overheidsinstellingen aan te gaan en die vervolgens aan de laars te lappen alsof het niets is, in de praktijk is dat echter toch even iets heel anders.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 13:15]

[Indoubt]

Zelfs als dat 100% waterdicht zou zijn is de metadata en de contacten dat niet. Op hoog niveau en geheime info wil je ook die info niet delen.

[Franckey]

Ook privé zou je die info niet moeten willen delen. Zeker niet met Facebook.

[Verwijderd]

Geen source code voor de client.

[Slaut]

Terug naar de nationalisering dus?

[Neko Koneko]

Voor zaken die betrekking hebben op de nationale veiligheid lijkt dat me nog helemaal niet zo gek. Misschien dat er een EU-breed alternatief voor bepaalde zaken ontwikkeld kan worden, zoals Whatsapp en misschien zelfs op termijn een veilig OS voor smartphones (bv. de ontwikkeling van Sailfish ondersteunen als Europees alternatief voor Android/iOS

[Sandor_Clegane]

Niet eens een gek idee, je moet wat.

Probleem is alleen dat Whatsapp zo bekend is, velen zullen het gewoon blijven gebruiken. Net als iedere minister die lekker vanuit Gmail mailt, want dat is zo gemakkelijk.

[batjes]

Blijf het van de zotte vinden dat dit hier in Nederland blijft gebeuren en de overheid dit volstrekt normaal vind.

De Fransen pakken het tenminste proactief aan.

Want hoe moeilijk is het nou om een exchange of whatever server op te zetten met een fontendje erbij en elke overheids functionaris een [e-mail] oid email adres te geven die het overal kan gebruiken.

Dan weet je ook direct met wie je te maken hebt, van welk stukje overheid het afkomt, is het afkomstig van een betrouwbaar adres (ik vertrouw een [e-mail] dus echt niet, al zou die van onze premier zijn) en misschien wel het meest belangrijke er blijft een 'logboek' waarbij het volk de overheid kan blijven controleren.

[CivLord]

Natuurlijk heeft elke overheidsfunctionaris een eigen emailadres op een beveiligde overheidsmailserver, waarmee beveiligd met elkaar gemaild kan worden.
'Probleem' is alleen dat toegang tot dat emailadres niet zomaar op elke PC/ tablet/ telefoon geregeld is. Veel overheidsfunctionarissen moeten 24/7 bereikbaar zijn, maar lopen niet 24/7 met de zakelijke laptop/ tablet/ telefoon rond. Wanneer een functionaris op zijn 'vrije' zondagmiddag bij vrienden gebeld wordt dat de volgende ochtend een ingelaste vergadering is, dan is de verleiding groot om te vragen of de stukken naar zijn gMail account gestuurd kunnen worden, zodat hij ze onderweg naar huis kan lezen.

[Zeror]

Hadden ze zoiets nog niet dan? Daar kijk ik eerlijk gezegd wel van op. Je zou verwachten dat overheidsmensen wel zoiets al zouden hebben.

[cracking cloud]

Volgens de woordvoerster is de app ontwikkeld op basis van gratis te gebruiken code die op het internet is gevonden

Goh, code gecopy-paste van StackOverflow?

In ieder geval een goed punt dat de communicatie niet meer via de servers van Facebook of via een andere derde partij loopt.

[droner]

En ze gaan het zeker 'Quoi de neupp' noemen.