'Facebook-app uploadt systeembibliotheekbestanden zonder toestemming'

De Facebook-app voor Android scant de systeembibliotheken van de telefoon en uploadt de bestanden naar een server. Dat zegt beveiligingsonderzoeker Jane Manchun Wong. Wat Facebook doet met de informatie is niet duidelijk, maar het lijkt niet mogelijk het uploaden te weigeren.

Wong ontdekte dat de Facebook-app 'periodiek' metadata van systeembibliotheken doorstuurt naar een server. Dit zou binnen Facebook bekend staan als de Global Library Collector, in de appcode heet dit GLC. Facebook zou daarnaast ook de volledige bestanden van de systeembibliotheken comprimeren en doorsturen naar een server. Deze bestanden zou de Facebook-app sturen naar een 'specifieke verzameling die gerelateerd is aan mijn telefoon', zegt Wong.

Volgens Wong is het niet mogelijk om het verzamelen van de bestanden te weigeren of in te zien wat er allemaal is verzameld. Het doel van GLC is Wong niet duidelijk, zij gokt dat het gebruikt zou kunnen worden om de integriteit of compatibiliteit van een systeem te controleren. Enkele ontwikkelaars en privacyconsultanten reageren dat het hier mogelijk om fingerprinting gaat en dat dit in strijd zou kunnen zijn met de avg.

Facebook ligt al langer onder vuur vanwege privacyschendingen. Eerder dit jaar maakte Facebook-oprichter Zuckerberg bekend dat Facebook een grotere focus moet krijgen op privacy. Volgens Wong maken andere apps van moederbedrijf Facebook geen gebruik van GLC.

Jane Manchun Wong is een twittergebruiker die in haar vrije tijd apps onderzoekt om te kijken naar beveiligingsproblemen en nieuwe functies. Zij heeft in het verleden vaker nieuwe features in apps gevonden voordat ontwikkelaars het naar buiten wilden brengen.

Reacties (313)

[KirovAir]

Slechte journalistiek dit Tweakers!
Normaal ben ik voor alle vormen van Facebook-bashing maar dit is niet per se slechte informatie. Facebook maakt tegenwoordig gebruikvan wat behoorlijk device specifieke implementaties om bijvoorbeeld video’s met drm af te spelen. Voor iedereen die ook maar een beetje in app-development zit weet dat dit op Android echt een pijn is om te implementeren en dat je met veel specifieke OEM bugs zit (en per device).

Android laat dit scannen van SYSTEM libs toe omdat er geen enkele persoonlijke data in staat. Het is je SYSTEM partitie, volledig gescheiden van je USER partitie. Ze kunnen niks met deze info behalve beter debuggen. Deze info is ook op 99/100 devices exact hetzelfde.
Zie ook: https://www.reddit.com/r/...urce=share&utm_medium=ios

While I see everyone being outraged on that Twitter thread and also here, can anyone tell my why they're being outraged by this? It's not personal data....

This just looks like another classic case of someone thinking they've found something that they can be outraged about and trying to get an internet mob together to cause some damage, when in reality there's nothing malicious or wrong going on at all.

So can someone tell me why this is supposedly worth being outraged about? What is Facebook getting from this that you think they shouldn't have without asking permission?

The person that started all this outrage even says it's probably for checking compatibility and system security lol. Just another manufactured outrage.

Nogmaals, ik begrijp alle haat op facebook maar dit is onterecht imho. Vele andere apps sturen exact dit soort info mee om OEM specifieke bugs uit te kunnen sluiten. Het is probleem maakt eerder deel uit van de gefragmenteerde Android installaties en het gesleutel van fabrikanten aan de kernel waardoor je als Dev dit soort info wilt hebben om te weten waar en waarom het mis gaat.

[Reactie gewijzigd door KirovAir op 23 juli 2024 08:08]

[robvanwijk]

> While I see everyone being outraged on that Twitter thread and also here, can
> anyone tell my why they're being outraged by this? It's not personal data....

Dat het geen persoonlijke data is, betekent nog niet automatisch dat FB het recht heeft om het naar hun servers te uploaden. Hoe weten ze bijvoorbeeld dat er geen copyright op die files zit? (Of maken we ons daar alleen zorgen over als consumenten muziek downloaden?)
Welke libraries ik wel of niet installeer is overigens wel degelijk een persoonlijke keuze; dat de inhoud geen persoonlijke data bevat verandert niets aan het feit dat de aanwezigheid van dat bestand persoonlijke data is (en misbruikt kan worden voor fingerprinting).

En zelfs als je alle rationele bezwaren weg kunt nemen met goede verklaringen, dan nog is het volkomen begrijpelijk dat mensen FB op dit vlak totaal niet (meer) vertrouwen. Als mensen meteen aannemen dat als FB iets in het geheim doet, dat er dan waarschijnlijk wel iets geniepigs achter zal zitten, dan is dat toch echt FB's eigen schuld. Het is niet alsof ze maar één of twee keer betrapt zijn op het volkomen aan hun laars lappen van alle juridische en ethische regels die je maar kunt bedenken...

Voor iedereen die ook maar een beetje in app-development zit weet dat dit op Android echt een pijn is om te implementeren en dat je met veel specifieke OEM bugs zit (en per device). [..] Deze info is ook op 99/100 devices exact hetzelfde.

Ok, dus niet alleen elke OEM, maar (soms, vaak, altijd?) zelfs elk device is anders. Maar tegelijkertijd zijn 99 van de 100 apparaten hetzelfde? Tenzij één model (of, in het uiterste geval, de modellen van één OEM) 99% van de Android-markt vormt, zie ik niet hoe allebei die beweringen tegelijkertijd waar kunnen zijn.

[KirovAir]

> While I see everyone being outraged on that Twitter thread and also here, can
> anyone tell my why they're being outraged by this? It's not personal data....

Dat het geen persoonlijke data is, betekent nog niet automatisch dat FB het recht heeft om het naar hun servers te uploaden. Hoe weten ze bijvoorbeeld dat er geen copyright op die files zit? (Of maken we ons daar alleen zorgen over als consumenten muziek downloaden?)
Welke libraries ik wel of niet installeer is overigens wel degelijk een persoonlijke keuze; dat de inhoud geen persoonlijke data bevat verandert niets aan het feit dat de aanwezigheid van dat bestand persoonlijke data is (en misbruikt kan worden voor fingerprinting).

Je kunt zelf geen wijzigingen aanbrengen aan die libraries. Die zitten bij een update. (Tenzij je flink je best doet doormiddel van je device te rooten, maar dit doen er maar heel weinig)

En zelfs als je alle rationele bezwaren weg kunt nemen met goede verklaringen, dan nog is het volkomen begrijpelijk dat mensen FB op dit vlak totaal niet (meer) vertrouwen. Als mensen meteen aannemen dat als FB iets in het geheim doet, dat er dan waarschijnlijk wel iets geniepigs achter zal zitten, dan is dat toch echt FB's eigen schuld. Het is niet alsof ze maar één of twee keer betrapt zijn op het volkomen aan hun laars lappen van alle juridische en ethische regels die je maar kunt bedenken...

Hier ben ik het mee eens. Maar zie ook: KirovAir in 'nieuws: 'Facebook-app uploadt systeembibliotheekbestanden zonder...

Ok, dus niet alleen elke OEM, maar (soms, vaak, altijd?) zelfs elk device is anders. Maar tegelijkertijd zijn 99 van de 100 apparaten hetzelfde? Tenzij één model (of, in het uiterste geval, de modellen van één OEM) 99% van de Android-markt vormt, zie ik niet hoe allebei die beweringen tegelijkertijd waar kunnen zijn.

Een device (Samsung) op versienummer X zal in 99/100 gevallen altijd dezelfde systemlibs hebben tenzij je hem root. In feite zijn deze geven deze libraries hetzelfde weer als een versienummer. Toch zijn er (rare) uitzonderingen in het geval van Chinese toestellen bijvoorbeeld.
Daarnaast is er geen overzicht van welke versie van welke library er per leverancier/softwareversie zit. Van een Samsung is dit nog bij te houden misschien (en dan zit je al met 100en device/softwareversie combinatie's) laat staan als je dit voor de 100en soorten androids/tablets/noemmaarop moet bijhouden. Dan is dit gewoon een 'snellere' optie. Zelfs als je een dev team met een miljoenen budget hebt.

[Reactie gewijzigd door KirovAir op 23 juli 2024 08:08]

[nobraininvolved]

Als telefooneigenaar heb ik hier ook wel de nodige bezwaren tegen.
Of het nou persoonlijke gegevens zijn of niet boeit me eigenlijk niet.
Er wordt via mijn internet, van mijn device informatie geupload die niet nodig is voor een goede werking van de app. Dat zou mij genoeg rechten moeten geven om hier ja/nee op te kunnen zeggen.

ALS een app crasht en je krijgt de vraag 'wil je de gegevens uploaden zodat de ontwikkelaar er iets mee kan' vind ik het anders, maar als de app niet crasht, dan hoeven ze die gegevens ook niet te hebben.

Daarnaast; als het zo simpel is als jij zegt, dat de libs in 99/100 gevallen hetzelfde zijn, dan is het een veel kortere klap voor FB om met de fabrikanten te praten.
Waarom gegevens van miljoenen/miljarden mensen opslaan ALS je in plaats daarvan maar enkele gegevens van fabrikanten hoeft op te slaan?
Dat is geen goede business case, dus i.m.o. moet er een extra reden zijn om deze libs toch vanaf de telefoons van de gebruikers af te downloaden...En de enige goede business case is toch 1 of andere vorm van profiling, reclame o.i.d. dus ik vertrouw het gewoonweg niet.

[kozue]

Jammer dat je voor zo’n kortzichtige opmerking een +3 krijgt. Workarounds voor quirks van Android kun je lokaal op het apparaat zelf afhandelen en zijn absoluut geen reden om deze gegevens ook naar Facebook servers te uploaden, of om deze bestanden zelf te uploaden. Dit is gewoon weer ordinaire profiling, meer niet.

[KirovAir]

Jammer dat je voor zo’n kortzichtige opmerking een +3 krijgt.

Kortzichtig? *ahum*

Workarounds voor quirks van Android kun je lokaal op het apparaat zelf afhandelen en zijn absoluut geen reden om deze gegevens ook naar Facebook servers te uploaden, of om deze bestanden zelf te uploaden.

Dit is pas kortzichtig. De quirks van Android zijn natuurlijk op een device lokaal op te lossen. Maar om te weten waarom iets mis gaat en hoe je dat moet oplossen heb je gewoon de exacte configuratie van een gebruiker nodig. En de configuratie die je via google app stats terugkrijgt schiet vaak te kort. Dit is een 'simpel' geval van zo'n bug.
Maar de DRM/widevine bugs gaan nog veel verder.

Dit is gewoon weer ordinaire profiling, meer niet.

Je wilt niet weten hoeveel apps er dan aan 'ordinaire' profiling doen. Ik begrijp waarom Facebook onder de loep wordt genomen maar pak een handjevol apps die iets verder gaan dan een nieuwsoverzichtje + menu'tje tonen en je zult zien dat die ook veel meer meesturen dan je denkt. Development is duur. Als iemand aan het management kan verkopen dat door een uitgebreide tracelog SDK de productiebugs 10x zo snel kan oplossen dan kiest 10/10 managers voor zo'n SDK. En dat gebeurt vrijwel overal. In ieder geval bij de bedrijven waar ik heb gezeten.

[Verwijderd]

Allemaal zonder toestemming hè? Dat is het voor mij met name. En dat Android dit toelaat (maar ja).

[JorzoR]

Allemaal zonder toestemming hè?

Je zou eens moeten weten wat er allemaal zonder jouw "toestemming" gedeeld wordt. Veel daarvan is binnen alle wetten e.d. Lees je gewoon iets beter in. @KirovAir legt het prima uit.

[Reactie gewijzigd door JorzoR op 23 juli 2024 08:08]

[vooviro]

"Geen toestemming" ben bang dat het gross van dit soort praktijken je akkoord bent gegaan in de kleine letters @Verwijderd , daarom spreekt niemand ook over "mag niet" in de pers maar "hoeft niet"

[Reactie gewijzigd door vooviro op 23 juli 2024 08:08]

[zanza006]

Zal wel in de kleintje lettertje staan. Dat ze dit kunnen doen.

[Unstable Element]

Ik vind het absoluut wel een probleem.
Waarom wordt mijn bandbreedte gebruikt voor hun debug afdeling?
Welk probleem is het voor Facebook om gewoon van elk toestel er 10 aan te schaffen, dan hebben ze ook geen nood om dit te doen.

[KirovAir]

Ik vind het absoluut wel een probleem.
Waarom wordt mijn bandbreedte gebruikt voor hun debug afdeling?
Welk probleem is het voor Facebook om gewoon van elk toestel er 10 aan te schaffen, dan hebben ze ook geen nood om dit te doen.

Hier ben ik het mee eens. Maar waar het mij om gaat is dat specifiek de Facebook-app in kwaad licht wordt gezet om iets wat tegenwoordig een vrij standaard gang van zaken is. Dan verwacht ik eerder ophef of analyse over de top-10 apps in de play store. Het is lastig om een grens te trekken van dev-tooling vs gebruikers gemak. In hoeverre Facebook die lijn zet is de vraag natuurlijk, maar zoals eerder aangegeven is de info die nu wordt meegestuurd vrijwel waardeloos voor alles behalve debuggen. Dit i.c.m. een artikel specifiek over de Facebook-app komt bij mij een over als stemmingsmakerij en vandaar mijn initiële reactie.

[Reactie gewijzigd door KirovAir op 23 juli 2024 08:08]

[Krulliebol]

Ze kunnen niks met deze info behalve beter debuggen. Deze info is ook op 99/100 devices exact hetzelfde.

Waarom is een hash of versienummer dan niet voldoende?

[henk717]

Het ergste hier aan vind ik dat sommige fabrikanten de app onverwijderbaar voorinstalleren en de onwetende klanten hierdoor kwetsbaar zijn ook als zij geen facebook gebruiken want niets weerhoud die app dit soort praktijken op de achtergrond te doen. Gelukkig kun je apps wel uitschakelen maar ik heb liever dat fabrikanten al die bloat weglaten. Niet voor mij maar voor de mensen die voor de aankoop niet eerst xda doorbladeren voor custom roms.

[kodak]

Het is meten met twee maten. De normale term voor applicaties die stiekem of ondoorzichtig van alles over je apparaat, het gebruik of de persoonsgegevens opslurpt is spyware. Maar omdat het nu een bekend bedrijf met veel klanten en veel geld is die term nauwelijks gebruikt voor apps als facebook etc. Waarschijnlijk betaald facebook er ook flink voor om van fabriek af al op voorgeinstalleerd te zijn en is het een kwestie van geld.

Laat de fabrikanten maar eens bewijzen dat ze dit niet wisten toen ze het accepteerde voor standaard meeleveren en waarom ze hun klanten niet duidelijk genoeg geinformeerd hebben welke gegevens er allemaal verzameld worden.

[System]

Op Android kan je elke app die niet verwijderbaar is uitschakelen. Dat doet kwasie hetzelfde als deïnstalleren. Alleen blijft het geheugen bezet.

[SacredRose]

Ja dat is natuurlijk wat ons verteld wordt. Maar je kan niet gemakkelijk zien of er toch iets van facebook op de achtergrond wordt gebruikt.
/alu-hoedje.

[OverSoft]

Jawel hoor, als je op je telefoon ontwikkelaarsmodus aanzet, kun je vanaf je PC een shell openen en precies zien welke processen er draaien.

Uitgeschakelde apps draaien niet.

[sympa]

Op de Samsung S7 staan er naast Facebook ook nog 2 systeemapps van Facebook die je dan uit moet zeten. Iets van een 'updater' en nog een. Moet je wel 'toon systeemapps' aanzetten in de apps-lijst.

[black42dog]

Ja natúúrlijk. Iedereen weet toch hoe dat werkt. Vooral de gewone gebruiker!

[OverSoft]

Het ging er om dat het niet te controleren zou zijn... Dat is het dus wel...

Niet iedereen hoeft dat te controleren, als het bij een paar mensen niet draait, draait het bij iedereen niet.....

[SacredRose]

Dat is het enige voordeel dat er aan zal zitten. Want google zal waarschijnlijk een stuk minder moeite hoeven te doen om die data te bemachtigen

[System]

tbh, ik denk dat google ook niet zomaar een data concurrent zal 'helpen' om gebruikersdata te bezorgen. Dat verkopen ze liever zelf

[Reactie gewijzigd door System op 23 juli 2024 08:08]

[GameNympho]

Time for a good telefoon without any app`s of tracing, but how it works ? https://www.youtube.com/watch?v=1OADXNGnJok / https://www.youtube.com/watch?v=ITy259PwkfU

[Reactie gewijzigd door GameNympho op 23 juli 2024 08:08]

[System]

Haha, waar is de tijd

[jesse111]

Op Samsung wordt om de zoveel tijd een update uitgebracht voor systeemapps waardoor deze weer actief zijn, kan je niet uitschakelen, dus moet je om de zoveel tijd opnieuw de app uitschakelen.

[Scarra]

Dat heb ik nog nooit gehad op mijn S6. Wat uit is blijft uit. Wel kan ik Samsung music en internet niet uitschakelen.

[jesse111]

Bij mij wordt iedere maand ofzo een update gepusht vanuit de Samsung Store, waardoor systeemapps ook geüpdatet worden.

[Scarra]

Er staat idd een Galaxy store op. Maar daar heb ik geen account aangemaakt.

[jesse111]

Ik ook niet, toch gebeurt het.

[Scarra]

Niet vanuit de samsung/Galaxy store iig. Kan het een instelling zijn? Bij mij gebeurt het niet.

[Franckey]

Dat heb ik nog nooit gehad op mijn S6. Wat uit is blijft uit. Wel kan ik Samsung music en internet niet uitschakelen.

Met Microsoft Launcher kan je deze apps onzichtbaar maken zodat je er geen last van hebt. Niet vergeten ook alle rechten van de apps te ontnemen.

[84hannes]

Ik neem aan dat je opslag bedoelt: het lijkt me sterk dat een App die niet actief is wel geheugen kost.

[System]

opslag geheugen idd. ik postte dit via mijn telefoon en was wat lui

[Reactie gewijzigd door System op 23 juli 2024 08:08]

[fentoment]

Zoals Google News?
Dat telkens opnieuw ongevraagd herinstalleerd.

[System]

Heb ik hier geen last van. Alles wat ik uit zet blijft weg tot ik het terug inschakel.
Google news staat er hier niet standaard op.
Maar gmail, chrome, hangouts en enkele moto apps zijn hier vast uitgeschakeld en komen niet terug.
Als je chrome en gmail kan uit zetten zou het me verbazen dat het met news niet lukt.

[segil]

Dat kan alleen als je root rechten hebt. Anders kan je niet elke app disablen. Probeer anders maar eens de Google apps allemaal uit te schakelen als standaard user.

[System]

Misschien niet allemaal nee. JE kan uw telefoon niet 'ungoogelen', maar ook veel google apps kan je uit zetten. Dan denk ik aan hangouts, gmail, chrome,...
Maar andere apps kan je prima uitschakelen. Toch op mijn moto G4 en mijn dochter haar Nokia 7.1

[Reactie gewijzigd door System op 23 juli 2024 08:08]

[Qalo]

Misschien wordt het dan tijd voor dit of zelfs dit...

[GoldenBE]

Of een Fairphone met Fairphone Open: officieel OS van Fairphone zonder Google spull (dus eigenlijk gewoon AOSP), wel zelf te flashen
Of een andere smartphone met Lineage OS, Sailfish OS, ...

[Reactie gewijzigd door GoldenBE op 23 juli 2024 08:08]

[Room42]

Op Samsung's, bijvoorbeeld, zijn er bijzonder veel apps die niet uit te schakelen zijn, zie ik telkens weer. Voor mij de hoofdreden om geen Samsung te willen. Zeker niet zonder root.

[OverSoft]

Onzin, alle apps zijn uit te schakelen (S9+ op Android 9).

[Kastermaster]

Niet waar. De agenda app of het neurale toetsenbord zijn niet uit te schakelen.

[Vexxon]

Zoals de Play Store en al die andere apps van Google die je ook niet verwijderen kunt.

[CuBras]

Het is een vereiste om G-services op je Android te installeren vanwege de licentie.

Betaalt de fabrikant niet de licentie, dan mag het niet geïnstalleerd worden.
Het nadeel daarvan is dat je op thrid-party stores wordt aangewezen.

De gemiddelde Henk weet niet hoe je dat moet sideloaden, laat staan te vinden.
Omdat de fabrikant geen store mee levert laten mensen de telefoon liggen en wordt het niet gekocht.

Het is feitelijk een essentieel onderdeel van je telefoon qua "smart" gedeelte om te gebruiken.
Je koopt ook niet een auto en ga je zitten miepen dat het met een motor wordt verkocht

Wat betreft Samsung; ik krijg de indruk dat er minder bloatware op staat.

Laatst de note in m'n handen gehad, daar stonden maar een 5-6 tal eigen Samsung apps op.

[Reactie gewijzigd door CuBras op 23 juli 2024 08:08]

[jurroen]

Het klopt wat je zegt; alleen kan het in die bewoording op meerdere manieren geïnterpreteerd worden.

Fabrikanten kunnen Android zelf leveren, zonder enig iets van Google. Dat is gewoon toegestaan.

Echter, fabrikanten doen dat niet. Genoeg apps die niet werken zonder GCM/GPS. En de AOSP (Google-loze Android) apps zijn totaal niet wat je gewend bent van je smartphone. Zelfs de dialer (telefoonapp) en camera zijn behoorlijk verschillend.

Als fabrikanten een deel van de Google apps willen gebruiken, zijn ze verplicht ook de Play Store mee te leveren. Dus die kun je inderdaad niet verwijderen tenzij je een custom ROM flasht.

[MicGlou]

Samsung heeft het aantal stuks bloatware inderdaad wat teruggedraaid als het niet om hun eigen apps gaat, de tijden dat je apps zoals peel remote enzo op je telefoon kreeg zijn gelukkig voorbij. Daarnaast heeft Samsung sowieso een erg goede mail en agenda app, die zou ik zelfs op mijn Android One toestellen kunnen installeren. Hun eigen store is wel wat overbodig en ook niet iedereen zit op de VR app te wachten. Overigens is het bij Samsung wel zo dat het aantal bloatware apps afhankelijk is van de prijsklasse, op de goedkopere modellen vind je een aantal meer apps dan op hun flagship modellen.

[System]

Gewoon een Huawei kopen, ben je van Google en andere af. (binnenkort toch)
Maar het is maar de vraag naar wie het dan wel gaat ....

[Reactie gewijzigd door System op 23 juli 2024 08:08]

[Sharkoon]

Dan moet je het simpel weg niet kopen.

[Verwijderd]

Zoals de Play Store en al die andere apps van Google die je ook niet verwijderen kunt.

Dat hoeft niet van Google maar is een keuze van de fabrikanten.

[mr_evil08]

Ik heb ook nooit begrepen waarom de gebruiker apps niet mag verwijderen op mobiel, terwijl microsoft Windows media players aanbied(wel verwijderbaar) de EU wel opeens op ze achterpoten staan.

[Het.Draakje]

Je mag concurrenten hinderen.
Je mag een monopolie hebben.

Maar je mag niet én een monopolie hebben én concurrenten hinderen.

Noch Apple, noch Google hebben een monopolie op de smartphone markt. Terwijl Microsoft dat wel op de desktop pc heeft (ten minste tijdens de EU ruling).

[Raymond Deen]

Effectief een duopolie als zelfs een partij als Microsoft het niet voor elkaar krijgt om een voet tussen de deur te steken.

Google is zo ongelooflijk groot en alom aanwezig dat je ze niet kan ontwijken, al probeer je het nog zo hard.

Blokkeer je adressen en services van Google dan werken apps en web pagina's vaak ineens niet (goed) meer of zien ze er ineens anders uit doordat scripts en lettertypes niet ingeladen worden.

Die afhankelijkheid hindert andere partijen natuurlijk een dat is ook de reden dat overheden over de hele wereld nu tegen dit soort reuzen begint te duwen om ze weer op te breken in beheersbare bedrijven die minder macht.

[mr_evil08]

Mja maar bij Microsoft kon je het gewoon uitvinken dus ging nergens over.

Facebook app kan je wel vergeten die krijg je er niet af zonder te rooten.

[Het.Draakje]

Ik neem aan dat je bedoelt dat linux ook een (verwaarloosbaar) aandeel heeft op de pc-desktop markt?

Ten eerste, probeer eens een factory build pc te kopen zonder een windows versie. Dat was vroeger (toen Microsoft veroordeeld werd) nauwelijks mogelijk. Ook al wou je er linux op zetten, de windows licentie was inclusief.

Linux is nagenoeg uitsluitend zelfbouw.

Het is trouwens niet nodig om een markt voor de volle 100% te beheersen als monopolist aangemerkt te worden.

[Jorgen]

Dat drukt ook de prijs van je toestel. Fabrikanten worden betaald om apps mee te leveren. Zo gaat het ook al jaren bij nieuwe computers en laptops. Dat betekent ook dat wij minder voor ons apparaat hoeven te betalen.

[TheVivaldi]

Inderdaad. Waarom kan Samsung niet gewoon bij de allereerste keer opstarten een klein lijstje tonen met populaire/aanbevolen apps? Dan kan een ieder zélf kiezen welke apps ze alvast op hun startscherm willen zien zonder zelf de Play Store in te hoeven duiken en het voorkomt praktijken als die jij noemt.

[iAR]

Is dat niet gewoon een extra inkomen voor de producent van telefoons waar iedereen altijd van zegt: betaalbare telefoon die het prima doet.
Zit je toch weer in het geval: privacy is not for the poor.

[_Eend_]

Diezelfde apps heb je ook toestellen van > €500

[iAR]

Echt? But why?

[lecrab]

Ik heb recent een Huawei P30 Pro gekocht. Daarvoor had ik een P20, en daarvoor een P10. Geen van die toestellen bevatte een facebook app. Het merk Huawei wordt graag genoemd als onbetrouwbaar, met dank aan de populistische president van de verenigde staten, maar op dit vlak scoort het merk beter dan het "vertrouwde" Samsung, blijkbaar. Ik wil en kan de discussie omtrent de betrouwbaarheid niet aan, maar vond dit toch relevant in deze draad.
Mijn dochter gebruikt een P20 Lite, ook zonder voorgeïnstalleerde facebook (wat ze toch niet gebruikt). Of het op goedkopere/andere toestellen van Huawei wél wordt voorgeïnstalleerd, weet ik niet.

[zanza006]

4jaar geleden had ik goedkoop huawai toestel van het werk, ja daar stond facebook voorgeinstalleerd

[lecrab]

Ik vraag me af of deze voorinstallaties eerder plaatsvinden bij goedkopere toestellen?

[black42dog]

Misschien zou er per merk een specificatie lijst moeten komen met de bijgeleverde software vanuit leverancier. Kan je tenminste een keuze maken. Ook wat bloatware betreft. Iedereen wil wel de specs van de hardware en bijvoorbeeld Android versies weten, maar eindgebruikers software lees je zo goed als niets over.

[lecrab]

Ik heb een voorzichtig vermoeden dat er ook software (bloat) geplaatst wordt door de verkoper, in bepaalde gevallen. Zo kunnen zij hun kosten drukken, met de hoop dat de consument daar iets van terug ziet in de prijs natuurlijk. Maar dit is een vermoeden, ik weet dat het in de US gebeurde, en wellicht nog steeds, waar "branding" van telefoons altijd groot is geweest vanuit de verkopende netwerken (Verizon, AT&T, Cricket).

[Alw4ysFresh]

Bij mijn S10+ werd Facebook er ook automatisch bij geïnstalleerd via de play store als systeem app heb op tijd gedrukt op annuleren. Maar dan krijg je wel een tijdje nog de Facebook logo op je home screen in black and white. En dan ben je er vanaf EINDELIJK....

[black42dog]

Hoop dat na softwareupdates dit ook zo zal blijven.

[Alw4ysFresh]

Jup aantal x al geüpdate zonder problemen

[DeUnit]

Volledig mee eens, er zal wel een financieël gewin aan gekoppeld zijn voor de fabrikant. Een oplossing is via een ADB shell deze applicaties verwijderen, wat geen root of ontgrendelde bootloader vereist. Het is makkelijker dan het unlocken/rooten/flashen van nieuwe firmware maar alsnog vervelend. (En verwijderd dit ook alle lib's etc? Geen idee)

Niet voor mij maar voor de mensen die voor de aankoop niet eerst xda doorbladeren voor custom roms.

De standaard smartphone gebruiker zit waarschijnlijk niet zoveel over zijn gegevens in om bronnen te raadplegen en veranderingen te maken. Wat ook een reden is waarom hier geen (zonder forse ingreep/wetgeving) verandering in zal komen. Erg jammer! Maar degene die hier wel over in zit kan stappen ondernemen

[Reactie gewijzigd door DeUnit op 23 juli 2024 08:08]

[Gentox]

Tijd voor een boete van de complete jaar omzet dat zal ze misschien leren deze trucs uit te halen.

[Verwijderd]

Zullen we eerst bepalen of dit mag of niet? De tweakers die meteen beginnen te roepen om boetes van tientallen miljarden slaan een paar dingen over om wat extra karma te krijgen.

[sympa]

Als het mag, zullen we er dan voor pleiten om het te verbieden? Immers: wat "mag" is ook maar een afspraak.

[watercoolertje]

Ja dat heeft nut, het enige verschil met FB er niet op hebben is dat er nu een paar MB bezet zijn door een bestand want niet uitgevoerd word.

Uitschakelen is dus net zo nuttig als uninstallen, de ruimte die het in neemt zit op een partitie die je als gebruker niet kan gebruiken dus als de file er niet was had je niks aan die ruimte.

[KneoK]

Hoe komt het toch dat zelfs een artikel over Facebook weer verzandt in een "kijk mij eens hip Samsung bashen" discussie? Dat vind ik pas "rotzooi verspreiden".

Ik vind het vrij bizar dat er blijkbaar delen van het OS verstuurd worden naar Facebook, zonder dat een gebruiker daarvan op de hoogte wordt gesteld. Ik vraag me serieus af hoe ver Facebook nog kan en mag gaan met dit soort praktijken. Dit is bijna niet eens meer spyware.

[Veneus]

Dat komt dus omdat Samsung het beleid heeft om Facebook een systeemapp te maken waardoor het niet te deinstalleren is.
Samsung en Facebook hebben dus iets samen en die link komt dan dus vrij snel ter sprake.

[black42dog]

Iets van een soort 'Joint Venture', met wederzijdse belangen. De klant accepteert het wel, want FB zit ingebakken in deze maatschappij. Maar op mijn Samsung Galaxy S7 zit geen FB ingebakken (zover ik dat heb kunnen zien) en dat gebruik ik dus niet. FB rules a bit to much, in my opinion.

[Jorgen]

Zou je willen vertellen hoe? Dan heeft iedereen er wat aan.

Zelf geen Samsung overigens.

[Veneus]

Ik ben bang dat ik de term "snappen" niet zo letterlijk bedoelde.

[well0549]

Moeten we niet eens en masse over naar telegram of zo, begin Whatsapp omdat het van Facebook is ondertussen met zo smerig te vinden

[WhatsappHack]

Naar Telegram zou niet zo slim zijn, dat staat ongeveer gelijk aan Facebook Messenger qua privacy en veiligheid waardoor het zelfs een stap terug is vergeleken met WhatsApp, het blinkt enkel uit in gebruiksvriendelijkheid.

Alternatieven zoals Signal zijn een stuk beter om aan mensen aan te raden als privacy en beveiliging gecombineerd met goede gebruiksvriendelijkheid is wat je zoekt in een alternatief voor WhatsApp.
Ik merk zelf (maar n=1, ligt ook aan m'n werk en vrienden die ook geïnteresseerd zijn in IT-sec) dat er langzaam maar zeker wel steeds meer mensen op Signal zitten. Men hoeft ook niet perse direct over te stappen, het naast WhatsApp draaien is al een mooi begin; als je het dan ook aan anderen aanraadt dan groeit de userbase vanzelf zonder dat mensen er echt hinder van ondervinden. En uiteindelijk kan je dan van WhatsApp af. "Cold turkey" overstappen en er dan achterkomen dat er veel minder te bereiken zijn is het probleem waarom eigenlijk niet en-masse wordt overstapt, dat moet je geleidelijk doen en eerst dual stack draaien zegmaar.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 08:08]

[timvisee]

> Naar Telegram zou niet zo slim zijn, dat staat ongeveer gelijk aan Facebook Messenger qua privacy en veiligheid waardoor het zelfs een stap terug is vergeleken met WhatsApp

Interresant. Daar ben ik het niet mee eens. Een belangrijk aspect is namelijk ook het bedrijf wat zo'n dienst runt.

WhatsApp, desondanks hun 'end-to-end' encryptie blijkt in werkelijkheid ook een stuk minder veilig dan dat ze doen vermoeden. Om maar een paar voorbeelden te noemen: De WhatsApp server kan geforceerd nieuwe keys laten genereren op user devices om effectief een MITM uit te voeren. Ja, je hebt de mogelijkheid om in persoon de keypair te valideren met behulp van de QR code scanner (mits je wilt vertrouwen op de built-in scanner die WhatsApp meelevert), echter zou je dit dan herhalend moeten uitvoeren, niemand lijkt dat in de praktijk te doen. Keys gebruikt in groepen zouden gedeeld kunnen worden met een derde partij die mee kan lezen, zoals een ghost account van de overheid of een politie instantie, en dit is niet na te gaan. Daarnaast heb je natuurlijk de gebruikelijke vectoren, een closed source auto-updating app waar je geen controle over hebt, en het profileren van gebruikers kijkend naar alles buiten 'end-to-end' om. Gezien Facebook de dienst runt is het gebruik hiervan voor mij direct een no-go.

Zelf maak ik gebruik van Telegram. De dienst maakt geen gebruik van 'end-to-end' encryptie en heeft een aantal andere keuzes gemaakt ten behoeve van gebruiksvriendelijkheid versus directe privacy. Ik vertrouw het bedrijf wat er achter zit gezien hun history en privacy-focussed activiteiten. Een server compromise is voor mij een geaccepteerd risico. Een 'stapje terug' zou ik het een iedergeval niet willen noemen, je moet naar meer kijken dan puur de feiten op het gebied van technische/theoretische implementatie bij zo'n applicatie, en dan zelf een conclusie trekken.

Al een aantal keer heb ik Signal geprobeerd. Ik vind de applicatie in gebruik echter slecht, in vergelijking met bijvoorbeeld Telegram. De interface is relatief traag en naar mijn mening karig in elkaar gezet. Ik vind het een mooie dienst voor het voeren van conversaties waar je betere privacy zekerheid wilt hebben, maar niet voor dagelijks gebruik.

Ik noem het overigens 'end-to-end' tussen quotes, omdat deze term op veel verschillende manieren is op te vatten, en een hoop haken en ogen heeft. Eigenlijk pakt de mate van privacy zekerheid altijd slechter uit voor gebruikers dan dat ze in eerste instantie verwachten bij het horen van 'end-to-end'.

[Reactie gewijzigd door timvisee op 23 juli 2024 08:08]

[WhatsappHack]

Interresant. Daar ben ik het niet mee eens. Een belangrijk aspect is namelijk ook het bedrijf wat zo'n dienst runt.

Telegram (verzamelnaam voor meerdere bedrijven) is wmb nog shadier dan Facebook, met alle respect. Een enorm leipe verzameling aan allemaal shady shell-bedrijfjes uit bekende witwaslanden/belastingparadijzen (zoals Panama, Britse Maagdeneilanden, Belize, etc.) die "holdings" in de VS (!? Yep!) en het VK "beheren". Met andere woorden: het is onmogelijk om de geld- en datastroom van Telegram na te gaan omdat Pavel daar niets over kwijt wil en absoluut niet wilt dat mensen kunnen zien wat er in omgaat en waar het vandaan komt. Dit trucje zorgt er tevens voor dat Pavel en co. kunnen flikken wat ze willen met userdata en dergelijken, al is het naar eigen zeggen enkel zo gedaan omdat er dan geen "een land de servers kan claimen". Convenient, hebben meer transparante diensten ook geen last van maar alé; als Durov het zegt... Pavel zelf is steenrijk geworden met het verkopen van userdata. En werkelijk de data, niet ads. Dat is lastig voor te stellen, maar dat is dus tenminste gelijk aan maar eigenlijk nog erger dan Zuckerberg.

Begrijp me niet verkeerd he, ik zeg niet dat Facebook een mooi voorbeeld is en ja die doen ook heel veel dat nogal onethisch is en op het randje van de wet; vaak er overheen zelfs. Maar Telegram lijkt geen haar beter te zijn, helaas kan je daar echter heel weinig goed van controleren omdat het zo'n mega-shady constructie heeft. Facebook kán tenminste nog gecontroleerd worden en wordt dat ook, Telegram is weggewerkt in zoveel van die shell-toko's dat er geen hol van te maken is tot iemand z'n handen op gelekte info weet te leggen. En gezien Durov's geschiedenis en vele leugens en misleidende teksten m.b.t. z'n tijd bij VKontakte, verleden, contacten en de veiligheid van Telegram heb ik toch echt oneindig meer vertrouwen in WhatsApp (ondanks dat het van Facebook is), dat tenminste nog gecontroleerd woord door tig overheden, dan in Durov's Telegram.

Needless to say, uiteraard is Signal een nog veel betere keuze; dan heb je sowieso het gezeik niet. Geen Facebook en ook geen Durov broertjes als eigenaar. En überhaupt geen metadata verzameling.

WhatsApp, desondanks hun 'end-to-end' encryptie blijkt in werkelijkheid ook een stuk minder veilig dan dat ze doen vermoeden.

Let op dat je dit baseert op dingen die zouden kunnen gebeuren als WhatsApp een adversary wordt en de code aanpast. Je stelt nu dat het "minder veilig is dan ze zeggen" puur op "als WhatsApp Y gaat doen, dan X." - niet op huidige praktijkvoorbeelden en modus operandi.

De WhatsApp server kan geforceerd nieuwe keys laten genereren op user devices om effectief een MITM uit te voeren.

Naar mijn weten zal in het huidige ontwerp enkel de client overgaan tot het heronderhandelen van keys en kan de server zelf dat niet zomaar verzoeken. Maar uiteraard, in theorie zou de server het kunnen doen - ja. Maar inderdaad: daar dient precies die keypair validatie voor. Die beschermt niet enkel tegen een "rogue" WhatsApp, maar tegen elke adversary. Behalve als WhatsApp het zou riggen, maar dan komen we in wel heel theoretisch vaarwater terecht en daar is momenteel geen enkel aanwijzing voor.

Keys gebruikt in groepen zouden gedeeld kunnen worden met een derde partij die mee kan lezen, zoals een ghost account van de overheid of een politie instantie, en dit is niet na te gaan

Is dat niet een beetje vergezocht qua moeite? Je kan ook gewoon een kopietje van de gesprekken aanleveren aan de politie/overheid. Keys exporteren, weer importeren, de server én de andere clients moet die dan overigens ook weer accepteren (want je kan niet meer dan één instance met dezelfde keypair hebben noch met hetzelfde nummer en op een ander device krijg je ook gelazer, etc.): enorm veel moeite. Gewoon een kopietje mailen en het is ook klaar, waarom zou je die moeite nemen? En ja, dat is altijd een risico. Dat is zelfs een risico dat je hebt als je in real life een gesprek met iemand voert. Als de ander besluit naar de politie te stappen of het heimelijk opneemt en er iets mee doet: ja, daar doe je vrij weinig tegen.

Dat is echter geen argument voor de veiligheid van de app, maar meer in hoeverre je je vrienden/chatpartners kan vertrouwen. (Maarja, als iemand lang genoeg in elkaar wordt gerost gaan ze vanzelf wel praten, daar beschermt geen enkele encryptie tegen. Een cyaankali pilletje wel. )

Ik vertrouw het bedrijf wat er achter zit gezien hun history en privacy-focussed activiteiten.

Vanwege hun history vertrouw ik ze juist niet. (Ja als je de PR-versie van Durov gelooft, hehe.) Maar welke privacy-focussed activiteiten heb je het precies over als ik vragen mag...? Ze verzamelen ontiegelijk veel metadata (meer dan WhatsApp, wel minder dan de FB App), stallen *al* je gegevens op hun cloud (alle contacten, alle berichten, alle bijlagen (zoals foto's, video's, documenten, etc.) zonder dat je daar onderuit kan of het kan encrypten.) En by default hebben ze tot overmaat van ramp totaal geen encryptie op de gesprekken onderling, zelfs niet een op een gesprekken, maar gaat alles doodleuk plain-text accessible de cloud in. Komt nog bij dat de encryptie die ze wel bieden nogal ehhh... Laten we zeggen dat het discutabel is of die wel helemaal naar behoren werkt.

Dat levert dan dus de vraag op: wat is er precies zo privacy-focused aan Telegram?
Als je had gezegd een focus op user friendliness (en dat echt op de 1e plek zetten en privacy pas ergens onderaan) dan was ik het meteen met je eens geweest, maar privacy-focused...? o0

Een 'stapje terug' zou ik het een iedergeval niet willen noemen, je moet naar meer kijken dan puur de feiten op het gebied van technische/theoretische implementatie bij zo'n applicatie, en dan zelf een conclusie trekken.

Stapje terug is inderdaad niet hoe ik het zou willen noemen... Het is namelijk een enorme stap terug.
Okee flauw, maar ik meen het wel. WhatsApp is qua beveiliging en privacy (ondanks metadata, ondanks Facebook) duidelijk sterker dan Telegram, dat is gewoon een simpel feit. Telegram is echter weer veel sterker met gebruiksvriendelijke extra's. Het ging hier echter om de beveiliging, vandaar dat het in die context een stap terug is. En een forse ook wmb. Signal daarentegen is juist een stap vooruit: nét iets sterkere beveiliging dan WhatsApp (door implementatie) en geen metadata verzameling.

Het enige wat je zou kunnen stellen is dat je bij Telegram je er geen zorgen om moet maken omdat je al weet dat het 'onveilig' is door het gebrek aan encryptie en de verzameldrang naar de cloud. De pest is echter dat ze zich presenteren als super veilig en heel veel mensen dat ook nog steeds denken terwijl werkelijk al hun shit naar de een of andere cloud gaat dat in beheer is van een supervaag bedrijf. En zo marketen ze zichzelf ook heel actief. Dat is dus een probleem: veel mensen dénken dat het veilig is terwijl dat juist niet zo is. Zeker omdat het vergeleken met WhatsApp absoluut niet veiliger is.

En dat maakt Telegram, door de actieve marketing, een nogal gevaarlijke app imho voor mensen die juist wél op zoek zijn naar veiligheid en privacy - maar niet zoveel verstand van de materie hebben en enkel op de PR-bullshit afgaan; die mede verspreid wordt door de semi-technische figuren die ook ooit eens hebben gehoord dat Telegram de privacykoning is. En denken dat ze het snappen vanwege bullshit als een "crypto-contest" die nooit gewonnen kan worden en pure snake-oil is. Die mensen bedoelen het niet slecht overigens en denken oprecht echt dat het veilig is en dus mensen helpen, maar dat is het dus absoluut niet. Mensen krijgen een zeer misplaatst gevoel van veiligheid bij Telegram en dat is echt problematisch en gevaarlijk. Dat kan je van WhatsApp niet stellen, behalve voor metadata. De inhoud van je berichten is, in tegenstelling tot Telegram, bij WhatsApp wél veilig. Alleen de metadata wordt hard verzameld en kan richting Facebook gaan. (En bij Telegram wordt het ook verzameld en gaat het naar Durov en co.)

Het gebruik maken van Telegram an sich is dus ook niet zo'n probleem als je de risico's maar kent, maar dat zij net doen alsof ze zo super privacy vriendelijk en veilig zijn en dat aardig wat mensen dat geloven: dat is een groot probleem en maakt mensen roekeloos. Telegram is, in default modus, qua bescherming van je bericht-inhoud en je bijlagen (zoals foto's en video's) duidelijk veel slechter dan WhatsApp. Maar dat weten veel mensen niet, terwijl ze zich wel veilig achten. Dat is rampzalig.

Al een aantal keer heb ik Signal geprobeerd. Ik vind de applicatie in gebruik echter slecht, in vergelijking met bijvoorbeeld Telegram. De interface is relatief traag en naar mijn mening karig in elkaar gezet. Ik vind het een mooie dienst voor het voeren van conversaties waar je betere privacy zekerheid wilt hebben, maar niet voor dagelijks gebruik.

Oh zeker. Op de client is 't een en ander aan te merken al hebben ze het afgelopen jaar echt enorme sprongen gemaakt. Het werkt prima voor z'n doel trouwens. Als je van WhatsApp naar Signal gaat merk je vrij weinig verschil; het is misschien iets kaler. Maar alles functioneert. Als je van Telegram naar Signal gaat, dan snap ik je probleem ja. Telegram is veel uitgebreider.

Telegram heeft zeker een mooie client, dat ontken ik absoluut niet. Heel gebruiksvriendelijk, inderdaad. Maar inderdaad level je wel alle veiligheid in die WhatsApp te bieden heeft. In de discussie wie je moet hebben als je veiligheid en privacybescherming wilt en superveel toeters en bellen je niet zo boeien (ala WhatsApp dus ), dan is het rijtje heel simpel als je de 3 genoemde diensten neemt: eerst Signal, dan WhatsApp en dan pas Telegram. (Maar er zit nog veel meer tussenin.)

Ik noem het overigens 'end-to-end' tussen quotes, omdat deze term op veel verschillende manieren is op te vatten, en een hoop haken en ogen heeft. Eigenlijk pakt de mate van privacy zekerheid altijd slechter uit voor gebruikers dan dat ze in eerste instantie verwachten bij het horen van 'end-to-end'.

Hoe dat dan? Het doet precies wat het beloofd als we het over WhatsApp en Signal hebben. Je bericht-inhoud inclusief media zijn end-to-end versleuteld. Dat doen ze ook en dat maken ze ook waar. Dus dat pakt ook niet slechter uit qua privacy dan wat ze adverteren. Bij WhatsApp houdt die privacy wel op bij de metadata: die verzamelen ze wel. (Signal niet.) Maar dat heeft niets meer met de bericht-inhoud te maken.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 08:08]

[timvisee]

Hmmm. Na meer dan 4 jaar zeer actief gebruik, en redelijk invested te zijn in het verhaal rondom Telegram, heb ik hier nog nooit van gehoord. Mogelijk is mijn kennis over het bedrijf toch ontbrekend, en in dat geval zal ik mijn mening erover aanpassen. Ik zal hier binnekort onderzoek naar doen, maar kan hier verder nu niets over zeggen.

---

> Let op dat je dit baseert op dingen die zouden kunnen gebeuren als WhatsApp een adversary wordt en de code aanpast.

Onjuist. Althans, aanpassingen in clients zijn hiervoor niet nodig. Een bad actor vanaf de WhatsApp server stack is voldoende, of dat nou onder druk van een intelligence agency is of niet.

> enkel de client overgaan tot het heronderhandelen van keys en kan de server zelf dat niet zomaar verzoeken

Het gaat hier inderdaad om een server-controlled actie. Het probleem is dat de server kan zich voor doen als een client, die een onbekende key adverteerd. Beide clients (waarvan de WhatsApp server stack er dan een is) genereren dan automatisch een nieuwe pair. Voer dit uit tussen twee clients en je kan het gesprek hijacken. Met behulp van de signature check kun je dit natuurlijk detecteren, maar niemand doet dat in de praktijk.

> Is dat niet een beetje vergezocht qua moeite? Je kan ook gewoon een kopietje van de gesprekken aanleveren aan de politie/overheid.

Dat kan vanaf een client ja, niet vanaf de server stack. Het gaat hier om groepen, waarbij een shared key gebruikt wordt voor het berichten naar meerdere gebruikers. Het is niet te bewijzen of WhatsApp vanaf hun kant gebruik maakt van dit soort (het delen van deze key met een rogue partij) praktijken (wellicht onder druk), het is voor sommigen echter genoeg om groepsgesprekken als niet-veilig te verklaren.

> Dat is echter geen argument voor de veiligheid van de app, maar meer in hoeverre je je vrienden/chatpartners kan vertrouwen.

Niet dus, in verband met het bovengenoemde. Een bad client is niet nodig.

> Dat levert dan dus de vraag op: wat is er precies zo privacy-focused aan Telegram?

Telegram is vaak geadverteerd als alternatieve dienst met 'betere privacy' sinds de overname van WhatsApp door Facebook. Dit is naar mijn weten nooit echt ontkracht, naast dat benoemd wordt dat data in feite in plain text op Telegram servers staat (server-side encrypted of niet, dat is hier niet relevant). Ik heb dit echter nooit gekoppeld zien worden aan de claims die je in het begin van je reactie maakt. Door de jaren heen zijn er tal nieuwe features uitgebracht ten behoeve van het verbeteren van privacy. HQ is verplaatst naar Duitsland om inzage orders te ontwijken. Enzovoorts.

> die mede verspreid wordt door de semi-technische figuren die ook ooit eens hebben gehoord dat Telegram de privacykoning is.

Toch opvallend dan, dat bij grote conferenties met zeer veel interesse in security zoveel mensen gebruik maken van Telegram.

MTProto is een flink aantal keer onder de loop genomen, en er is een tal security researchers die twijfels hadden bij de veiligheid van communicatie gebruikende dit protocol. Echte problemen die het mogelijk maken een kanaal te monitoren of misbruiken zijn echter nooit aangetoond, en zijn de gegeven argumenten niet echt sterk.

---

Het feit dat landen (zoals bijvoorbeeld Rusland) actief proberen Telegram te blokkeren, omdat Telegram weigerd inzicht te geven in gebruikers data aan intelligence agencies, terwijl deze partijen gelijktijdig gegarandeerd continu hun best doen Telegram te breken, vind ik wel erg opvallend. Dit zijn juist de spelers die veel geld over hebben om een deal te sluiten. Ik moet toegeven dat dat redelijk mijn gevoel van 'privacy' versterkt.

Hoe je het wendt of keert, ik moet je gelijk geven dat als je puur kijkt naar theoretische implementatie, dat WhatsApp by default een veiligere oplossing gebruikt met minder mogelijkheid tot problemen mocht het een bad party zijn. Graag geef ik wel aan dat ook Telegram de optie heeft voor 'end-to-end' chats met een 'Secure chat', desondanks dat dit eigenlijk nooit gebruikt lijkt te worden.

Wat ik een iedergeval poog over te brengen, is dat je naar meer moet kijken dan de geadverteerde implementatie van een chat applicatie. Wat mijn betreft zou WhatsApp voor iedereen een no-go moeten zijn. Of dat nou voor Telegram ook het geval is; kijkend naar je verzamelbedrijf claim, daar kan ik dan nu niks over zeggen totdat ik hier onderzoek naar heb gedaan.

Overigens dank voor je uitgebreide reactie. Dit soort, toch wel discussies, zijn altijd zeer leerzaam en tonen je een ander perspectief op iets.

[Reactie gewijzigd door timvisee op 23 juli 2024 08:08]

[vanstra]

Het feit dat landen (zoals bijvoorbeeld Rusland) actief proberen Telegram te blokkeren, omdat Telegram weigerd inzicht te geven in gebruikers data aan intelligence agencies, terwijl deze partijen gelijktijdig gegarandeerd continu hun best doen Telegram te breken, vind ik wel erg opvallend. Dit zijn juist de spelers die veel geld over hebben om een deal te sluiten. Ik moet toegeven dat dat redelijk mijn gevoel van 'privacy' versterkt.

Hoe je het wendt of keert, ik moet je gelijk geven dat als je puur kijkt naar theoretische implementatie, dat WhatsApp by default een veiligere oplossing gebruikt met minder mogelijkheid tot problemen mocht het een bad party zijn. Graag geef ik wel aan dat ook Telegram de optie heeft voor 'end-to-end' chats met een 'Secure chat', desondanks dat dit eigenlijk nooit gebruikt lijkt te worden.

Wat ik een iedergeval poog over te brengen, is dat je naar meer moet kijken dan de geadverteerde implementatie van een chat applicatie. Wat mijn betreft zou WhatsApp voor iedereen een no-go moeten zijn. Of dat nou voor Telegram ook het geval is; kijkend naar je verzamelbedrijf claim, daar kan ik dan nu niks over zeggen totdat ik hier onderzoek naar heb gedaan.

Ben ik zeker met je eens. Dit gevoel heb ik er ook bij.

[Reactie gewijzigd door vanstra op 23 juli 2024 08:08]

[Bundin]

Maskirovka

Ik heb ook liever Signal dan Telegram, want obscurity is altijd fishy. Helaas is mijn omgeving 99.9% WhatsApp, wat natuulijk niet zo vreemd is. Dus ik ook.

[sympa]

al is het naar eigen zeggen enkel zo gedaan omdat er dan geen "een land de servers kan claimen".

Dan sta je dus ook ook niet onder de bescherming van welk land ook. En in het algemeen zijn die regels er toch ter bescherming en om dingen in goede banen te leiden. Hoe negatief men tegenwoordig ook staat tegenover overheden (en gek genoeg positief tegenover bedrijven, maar die hebben betere reclamebureaus).

[Verwijderd]

Signal vraagt om 2 toestemmingen in eerste instantie: contactenlijst en media [om bijlages te kunnen sturen]. Echter komt er toch nog een derde bij: Signal wil oproepen kunnen maken. Als ik dit weiger moet ik Google Play instellingen veranderen.

Waarom wil een app die wel fijn is qua privacy oproepen kunnen maken terwijl ik de app niet gebruik?

[Jorgen]

Om ook gebeld te kunnen worden, net als via zo'n beetje elke andere populaire messenger app?

[Unsocial Pixel]

Om te bellen, hetzelfde als dat signal indien de ander geen signal heeft je bericht als sms kan verzenden en sms ook via signal kan binnenkomen. Hiermee kan het dus voor mensen gelijk de sms functie vervangen. (win win)

[vali]

Als je echt om je privacy geeft stap je over op de signal variant van Loki. Dan weet je zeker dat je veilig zit en dat andere niet mee kunnen kijken.

[Reactie gewijzigd door vali op 23 juli 2024 08:08]

[Het.Draakje]

Is dat ook beschikbaar voor iOS ? Want privacy en Google/Android gaan bij mij niet door één deur.

[vali]

Ja de applicatie is tegenwoordig ook beschikbaar voor IOS. Het is nog wel in alpha fase aangezien alleen chatten nog mogelijk is. Ze zijn druk bezig om alle functionaliteiten van Signal te implementeren. Loki is een zeer interessant project en ik zie het ook als TOR 2.0.

[erikmeuk3]

Signal is inderdaad een goed alternatief.
De ervaring leert, dat de meesten het een paar weken proberen en dan de app verwijderen.
"Jij bent de enigste op die rare app" zeggen ze dan.
"Doe gewoon en ga op WhatApp".
Threema is helemaal taboe, dat kost eenmalig €2,99 en is daarmee onbetaalbaar, zeggen ze.

[Jerie]

Een goed alternatief is cross-platform, open protocol, federated, en niet gebind aan een identiteit die makkelijk te spoofen is zoals een telefoonnummer. Signal voldoet daar slechts deels aan. Want men gooit clients die niet voldoen aan bepaalde voorwaarden gewoon van hun netwerk af.

[Verwijderd]

Een goed alternatief is cross-platform, open protocol, federated, en niet gebind aan een identiteit die makkelijk te spoofen is zoals een telefoonnummer.

Uhhhh en waar het grootste deel van je vrienden op zit.

[Jerie]

Klopt, netwerk effect is een lastig probleem.

[sympa]

Het netwerk effect moet juridisch worden opgelost. Daar is ook over gesproken, om interconnectie verplicht te stellen. Uiteindelijk gaat het om redelijk platte media.
Kost de gevestigde spelers wel hun miljarden aan waarde. Misschien dat het daarom stukgelopen is?

[Loggedinasroot]

Threema werkt ook erg matig. Die notificaties werken maar de helft van de tijd. Dit op iets van 10/20 toestellen.

Uiteraard overal de batterij besparingsmofus gewhitelist etc.

[Jonathan-458]

Helaas ondersteund Signal op iOS nog steeds geen backup of beveiligde export mogelijkheden wat ik een behoorlijk nadeel vindt.

[WhatsappHack]

Dat is inderdaad een probleem, als je je chats wilt behouden, waar gelukkig wel aan gewerkt wordt.
De desktopversie biedt een soort tussenoplossing for the time being.

[zx9r_mario]

Telegram gebruik ik alleen voor Zabbix meldingen

[iAR]

Is dat (nog steeds|echt) zo?

En bestaat er überhaupt wel een gratis dienst die het met jou voor heeft? En wie betaalt dat dan?

[WhatsappHack]

Ja Signal bijvoorbeeld. Signal leeft van donaties, hebben ze altijd gedaan. Dat was best moeilijk en daarom was development ook behoorlijk traag. Iets meer dan een jaar geleden heeft Brian Acton ze een donatie van 50 miljoen dollar gegeven, waardoor ze wel ff een paar jaar vooruit kunnen.

Andere apps kunnen bijvoorbeeld om geld vragen, zie bijvoorbeeld Threema. En ik geloof dat Wire geld vraagt aan zakelijke gebruikers. WhatsApp verdient overigens ook geld via de zakelijke gebruikers en binnenkort via ads in het Status-systeem.

[whahas]

Wat vond je ook alweer van Wire?

[WhatsappHack]

Ik heb het zelf niet uitgebreid getest. Wat ik er over hoor is dat het qua veiligheid kennelijk prima in elkaar zit.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 08:08]

[ArmEagle]

Ik heb Wire een paar jaar gebruikt met één ander persoon, tot ongeveer twee maanden geleden. Toen ook daarvoor maar Signal gebruikt.
Met Wire kwamen berichten/notificaties vaak niet meteen aan en de app was daardoor zeer onbetrouwbaar.

[whahas]

Ik heb juist bij Signal dat mensen geen notificatie krijgen...
Dat is alleen niet bij de zelfde mensen.

[EngelbertDubois]

Ik vind Telegram ook maar een belabberde reputatie hebben.

Doe mij maar Signal.

[lololig]

Wat is er met de reputatie van Telegram? Het mag dan opgericht zijn door een paar Russen, maar is wel inmiddels gevestigd in Duitsland, zodat ze aan alle wetgeving daar moeten voldoen. Duitse wetgeving is wel vrij strict met privacy

[Flupkees]

Nou, dat groepen nooit end-to-end encrypted zijn en chats alleen als je een secret chat aanmaakt maakt het eigenlijk best een slechte app vanuit privacy perspectief. Metadata verzameling daargelaten doet whatsapp dat zelfs beter. Maar signal is open source en non-profit (en gratis wat niet onbelangrijk is) en voor mij de grootste kanshebber op het moment om whatsapp uiteindelijk een keer van de troon te stoten. Inmiddels heb ik meer dan 100 mensen (veelal door aandringen van mij uiteraard) in m'n contactenlijst die signal gebruiken en komt het moment dichterbij dat ik whatsapp kan verwijderen. Wat een mooie dag zou dat zijn!

[Reactie gewijzigd door Flupkees op 23 juli 2024 08:08]

[GeoBeo]

Er waren in het begin grote veiligheidsproblemen met Telegram. En nu nog steeds.

“They basically made up a protocol,” Matthew Green, a professor of cryptography at Johns Hopkins University, told the Daily Dot last year. “According to their blog post, they have a couple of really brilliant mathematicians who aren’t really cryptographers but were smart, so they came up with their own protocol. It’s pretty crazy. It’s not something that a cryptographer would use. That said, I don’t know if it’s broken. But it’s just weird.”

Onder andere deze bypass die het toeliet van iedereen die Telegram gebruikte het mobiele nummer te zien en de nickname die erbij hoort. Heb je ooit Telegram gebruikt? Dan sta je voor altijd in de lijst en ben je dus niet meer anoniem.

Een ander probleem is dat chats niet default encrypted waren en dat dat apart aangezet moest/moet worden (wat natuurlijk bijna niemand doet die geen tech-persoon is).

En:

The app also leaks metadata “like a champion,” Woodward said. Earlier this year a security researcher discovered that an attacker could figure out when a user was online and offline, which could help determine who you are talking to and when you use the app.

En dan heb je nog het fundamentele probleem dat zowel Whatsapp, Signal als Telegram en ook Matrix hebben: er wordt gebruik gemaakt van servers waar alle data doorheen loopt. Je moet dus 100% vertrouwen hebben in degene die de server host; als daar een (al dan niet expres) lek in zit die encryptie ongedaan maakt, dan ligt al je communicatie dus ook op straat. Een toekomstig totaal voorspelbaar Facebook schandaal is dan ook dat Facebook al dan niet expres encryptie ongedaan maakt op haar servers om meer data te kunnen verzamelen over gebruikers (en te kunnen voldoen aan de verplichte NSA fisa requests). De meta data kan ook gewoon door de servers ingezien worden en Facebook maakt er geen geheim van dat ze die meta data bij Whatsapp ook gewoon opslaan en fingerprinting op loslaten voor ads targetting doeleinden (en dus automatisch ook voor NSA/politie beschikbaar moeten stellen). Dat is bij Signal e.d. waarschijnlijk niet heel anders.

Zomaar wat voorbeelden.

Hoe kom je hier trouwens bij?

Duitse wetgeving is wel vrij strict met privacy

Een land dat niet eens de privacy van de kanselier voor elkaar krijgt lijkt me nou niet echt bepaald "strict met privacy"?!

[Reactie gewijzigd door GeoBeo op 23 juli 2024 08:08]

[Verwijderd]

Wat is er met de reputatie van Telegram? Het mag dan opgericht zijn door een paar Russen, maar is wel inmiddels gevestigd in Duitsland, zodat ze aan alle wetgeving daar moeten voldoen. Duitse wetgeving is wel vrij strict met privacy

Privacy zegt niet veel over de mate van beveiliging he? De wet geeft niet aan hoe code moet zijn, het verbied slechts dingen.

Verder is dit item al honderden malen ter sprake gekomen. Telegram zit gewoon niet goed in elkaar als je naar beveiliging kijkt.

[TheVivaldi]

Dan mag je de (Engelstalige) Wikipedia-pagina over Telegram wel eens bijwerken, want daar staat toch echt:

Headquarters London, United Kingdom
(legal domicile)
Dubai, United Arab Emirates
(operational center)

[lololig]

Kennelijk heb ik rond 2015 voor het laatst gekeken waar ze zaten. Toen was dat Duitsland, momenteel lijkt het er veel op dat ze zich in Dubai hebben gevestigd.
Uit het VK lijken ze ook vertrokken:
https://news.bitcoin.com/...y-telegram-messenger-llp/

[TheVivaldi]

Oké, Dubai dus Hoe zit het daar met de privacywetgeving (ik vraag dat vooral omdat je daar bij Duitsland een goed punt over maakte)?

[WhatsappHack]

Ze hebben sowieso nooit in Duitsland gezeten, dat was een postbus en meer niet.
Dat bedrijf uit het VK dat ze geliquideerd hebben was ook zo'n enorm vaag iets, dat was ook een holding waarvan shells uit allemaal vage witwas landen de eigenaar waren.

Dubai geloof ik ook geen hol van om eerlijk te zijn. Durov woont in Finland vlak bij de grens met Rusland en is regelmatig te vinden op het hoofdkantoor van VKontakte. Ik heb overigens niets tegen Russen en Rusland dus dat zal me verder een rotzorg zijn, ging puur even om dat Duitsland en Dubai verhaal.

[psychicist]

Dat heb ik jaren geleden al gedaan en vorig jaar ben ik primair Matrix gaan gebruiken. Het voordeel is dat je verschillende homeservers hebt (waaronder matrix.org en chat.weho.st en nog vele anderen) of dat je er zelf een kunt opzetten. Op mijn LineageOS (budget/burner) telefoon heb ik alleen de FB Messenger Lite en Whatsapp nog staan, maar alleen om bereikbaar te zijn.

Als FB zou verdwijnen, zou dat het allermooiste zijn. Maar tot die tijd doe ik dan maar op deze manier.

[Verwijderd]

Op mijn LineageOS (budget/burner) telefoon heb ik alleen de FB Messenger Lite en Whatsapp nog staan, maar alleen om bereikbaar te zijn.

Uhhhh maar dan ben je dus gewoon een Whatsapp en Facebook gebruiker he?

[psychicist]

Maar wat wil je dan? Dat ik voor niemand meer bereikbaar ben? Het is een oude telefoon en niet mijn primaire telefoon en ik ben geen actief gebruiker van deze programma's.

Ik probeer mensen zover te krijgen dat ze me op andere manieren benaderen, maar dat willen ze vaak niet en wie ben ik dan om ze te dwingen iets anders te gaan gebruiken. Ik zou het liefst morgen de apps verwijderen, maar dat is gewoon (nog) niet praktisch.

[4x4]

Gewoon doen.
Je moet wel sterk in je schoenen staan als je telefoon opeens veel minder meldingen maakt.
Aan de andere kant heb je dan meer tijd voor jezelf en gaat je accu langer mee.

[satoer]

Het is mij niet helemaal duidelijk wat er dan voor data staat in deze "systeembibliotheken", en wat voor bestanden er dan geupload wordt. Staan bijvoorbeeld persoonlijk gemaakte foto's in een systeembibliotheek? Persoonlijke noties? Documenten van andere programma's? Was het niet zo dat op iOS, apps geen toegang hebben tot data van andere apps?

[R4gnax]

Het is mij niet helemaal duidelijk wat er dan voor data staat in deze "systeembibliotheken", en wat voor bestanden er dan geupload wordt. Staan bijvoorbeeld persoonlijk gemaakte foto's in een systeembibliotheek? Persoonlijke noties? Documenten van andere programma's? Was het niet zo dat op iOS, apps geen toegang hebben tot data van andere apps?

Systeembibliotheek is hier de direct vertaalde Nederlandse term voor het origineel Engelse system library. Een system library omvat een stuk functionaliteit wat onderdeel is van het operating system, in de vorm van uitvoerbare code.

Facebook scant dus de exacte versies van verschillende system libraries zoals die op jouw telefoon staan. De publieke boodschap is dat ze dit doen omwille van hun apps compatibel te houden. System libraries bevatten bugs, net zoals alle andere software. Net zoals bijv. Google Analytics gebruikt kan worden om de browsers die gebruikt worden om een site te bezoeken, te monitoren - kan Facebook op deze manier ook bij houden wat de nog in gebruik zijnde versies van bepaalde system libraries zijn bij hun publiek, en dus om welke bugs ze nog heen moeten blijven werken.

Uiteraard vermelden ze niet, dat deze versies ook een fingerprint vormen van jouw telefoon - waardoor dit apparaat zelf identificeerbaar blijft. En die gegevens zijn voor Facebook ook zeer interessant, want het kan gebruikt worden om relaties tot andere personen te correleren als een telefoon 2e hands van handen wisselt binnen de familie of kennisen-kring. Daarnaast vormt het ook een profiling marker voor mensen die een minder breed budget hebben, of minder snel genegen zijn geld uit te geven aan dure gadgets.

Het feit dat Facebook bij tijd en wijlen de complete bestanden binnen trekt en niet alleen naar de versie informatie kijkt, geeft eigenlijk al aan dat ze meer doen dan enkel te kijken naar compatibiliteit met hun app. Daarvoor zouden enkel de versies afdoende zijn. De bestanden zelf zijn enkel interessant als je een hash wilt berekenen over de exacte inhoud, welke per vendor; CPU architecture; security patch; etc. nog kan verschillen, en dus echt geinteresseerd bent in exacte identificatie.

[Reactie gewijzigd door R4gnax op 23 juli 2024 08:08]

[enigmafan]

[...]
Het feit dat Facebook bij tijd en wijlen de complete bestanden binnen trekt en niet alleen naar de versie informatie kijkt, geeft eigenlijk al aan dat ze meer doen dan enkel te kijken naar compatibiliteit met hun app. Daarvoor zouden enkel de versies afdoende zijn.
De bestanden zelf zijn enkel interessant als je een hash wilt berekenen over de exacte inhoud, welke per vendor; CPU architecture; security patch; etc. nog kan verschillen, en dus echt geinteresseerd bent in exacte identificatie.

Maar dat kan je toch ook lokaal doen? Je hoeft een bestand niet in z'n geheel te downloaden om een hash te berekenen, het is zelfs veel logischer om dat lokaal te doen en alleen de hash over te sturen vanwege 2 voordelen, het is sneller en het valt niet op dat je het doet. Het verzenden van een compleet bestand valt absoluut wel op, getuige het feit dat deze beveiligingsonderzoeker het heeft gevonden..

[Reactie gewijzigd door enigmafan op 23 juli 2024 08:08]

[HEY_DUDE]

Van alle privacy schendingen is deze toch echt wel de minste. Informatie over het os verzamelen vind ik lastig aan privacy te linken.

[habbekrats]

Gewoon de enkele keer dat ik FB gebruik in de browser doen. Samen met de Ghostery app is het dan goed te doen.

[JorisM]

En samen met browserplugin Facebook Purity wordt het nog bruikbaar ook

[vali]

Gebruik zelf ook die app i.c.m Ublock addon en de app bouncer. Ideale manier om toch veilig te zitten qua privacy en toch nog doelloos naar andere mensen hun berichtjes bekijken. Het scheelt verder ook een hoop accu verbruik.

[Reactie gewijzigd door vali op 23 juli 2024 08:08]

[well0549]

NextDNS gebruiken, hoef je Nix meer te blocken

[vali]

Ik gebruik het ook op mijn Android smartphone en altijd via en vpn werken vind ik niet echt ideaal.

[well0549]

NextDNS werkt ook op je smartphone hoor. Gewoon instellen bij custom dns en je bent klaar

[vali]

Maar waarom ervoor betalen (als het uit de beta is) als het ook perfect gratis kan?

[well0549]

Is gratis

[Gutteguttegut]

Het gaat hier over de Android app...

[JorisM]

Het gaat hier over de Android app...

En mijn reactie is op iemand die het heeft over het gebruik van Facebook in een browser...

[Andros]

Telefoon heeft ook een browser

[habbekrats]

En daar doelde ik ook op, hoewel niet helemaal duidelijk vermeld in mijn start bericht hier.
FB volgt iedereen en overal ook als je geen FB hebt maken ze toch een profiel van je.

[well0549]

Daar heb je dus nextdns voor

[Gutteguttegut]

Maar die plugin werkt daar niet op

[AibohphobiA BoB]

Volgens mij ben je dan gewoon naïef.
Het gaat er niet alleen om wat jij doet, maar anderen zorgen er (onbedoeld) voor dat jouw informatie op FB wordt misbruikt. Elke connectie met dit bedrijf moet je m.i. vermijden.

Daar komt bij dat Ghostery een nogal twijfelachtige reputatie heeft. Gebruik dan liever Privacy Badger, uBlock en Pi Hole (ja, allemaal).

[Phntm]

Ter verduidelijking: dit gebeurt dus ook buiten de rechten om die je Facebook geeft.

Trouwens geldt dit ook voor Facebook lite?

[Reactie gewijzigd door Phntm op 23 juli 2024 08:08]

[Egocentrix]

Ik vraag me wel af: hoe komt het dat een app bij die systeembestanden kan? Dat zou toch überhaupt niet zomaar mogelijk moeten zijn, of mis ik iets?

[dikkemuu]

Ik denk het niet, aangezien de Lite variant van de app is gemaakt voor goedkopere telefoons en low bandwidth gebieden. De Lite variant zal geen onnodige data gaan liggen uploaden, of in ieder geval wat ik dan als gebruiker als onnodig zou zien. Wat Facebook daarvan denkt is natuurlijk een ander verhaal.

[dasiro]

Jane Manchun Wong is een twittergebruiker die in haar vrije tijd apps onderzoekt om te kijken naar beveiligingsproblemen en nieuwe functies

ik weet dat social media vaak een groot deel van mensen hun inkomsten zijn, maar "twittergebruiker" als beroep en beveiligingsonderzoeker als hobby ??

[Het.Draakje]

Is altijd nog een respectabeler beroep dan twittergebruiker en president van de USA als hobby.

Maar de meeste professionele twittergebruikers zitten m.i. in de marketting hoek.

[Mrjraider]

Genoeg is genoeg.. dit is echt te belachelijk voor woorden

[denPes]

Dat bepaal jij toch niet voor een bedrijf? Als Facebook meer wil, dan is dat toch hun keuze.

Als facebook een copy wil maken van de harddrive van de facebook-gebruiker, en de gebruiker gaat akkoord met deze voorwaarden, lijkt mij dat een afspraak tussen facebook en de gebruiker. Als jij geen gebruiker bent heb je daar weinig mee van doen.

[psychicist]

Het is aan de maker van het besturingssysteem om dit standaard onmogelijk te maken door deze gegevens simpelweg niet beschikbaar te maken. Ik weet niet precies hoe dat op Android en iOS gaat, maar dat zou in een sandbox of container moeten draaien zonder toegang tot het hoofdbestandssysteem

[thedicemaster]

Facebook wordt vaak voorgeïnstalleerd en telt als een systeem app.
systeem apps kunnen veel beperkingen omzeilen omdat Google er van uit gaat dat als een app door de fabrikant toegevoegd is deze wel veilig zal zijn.

[Verwijderd]

Als je applicatie gebruikt maakt van modules van het OS is het natuurlijk niet mogelijk om dat te vermijden he? Of beter gezegd, wel mogelijk als je een complete android deel maakt van he app. Denk je dat dat veiliger is?

[ACM]

Als zoiets in de algemene voorwaarden verstopt zit in een app die niks te maken heeft met het maken van een backup ofzo, dan zit het er dik in dat het dan alsnog niet mag. Bovendien moeten ze - zeker nu binnen de AVG - dan ook nog uitleggen waarom ze dat doen.

Dus in dit geval is het zeker niet zo dat Facebook maar willekeurig mag bepalen wat ze doen op jouw computer/telefoon/etc. En ja, dat doen ze ogenschijnlijk nu wel.

[erikmeuk3]

Dat het mogelijk is, is dat niet een beveiligingslek in Android?
Maar misbruik maken van een lek is hacken.

[ACM]

Dat vind ik lastig om te bepalen. Ik weet niet om wat voor bibliotheken het gaat en om welke reden die leesbaar zijn. Het zou zomaar kunnen dat het bibliotheken zijn die bedoeld zijn om in te laten in een applicatie; en dan is het maar de vraag of het technisch realistisch mogelijk te maken is om ze onleesbaar te maken voor diezelfde applicatie.

[Verwijderd]

En ja, dat doen ze ogenschijnlijk nu wel.

Dat hangt er van af hoe je hun voorwaarden leest. Ze vragen duidelijk of ze informatie over wat er geïnstalleerd is op je toestel mogen ophalen. Dit kan daar best onder vallen. Het laatste wat ik via de CERT kanalen las leek daar wel op te duiden. Ik zie op dit moment niet dat dit verboden zou zijn onder huidige EU regels,

Zie ook niet echt in hoe dit een groot privacy probleem zou zijn overigens. Maar Facebook aanvallen is goed voor aandacht wereldwijd (en hier lokaal voor veel karma) waardoor alle redelijkheid vaak vergeten lijkt te zijn.

Veel tweakers die nu roepen om de guillotine zouden echt eens gebruiksvoorwaarden moeten lezen voor ze klikken. Al deze brouhaha is gebaseerd op een enkele tweet die nog niet geconfirmeerd is. De poster zelf komt ook niet veel verder dan; "Somewhere in my mind thinks this is a little off"

Maar de tweakers staan meteen op scherp en willen miljarden boetes.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 08:08]

[ACM]

Dat hangt er van af hoe je hun voorwaarden leest.

Dat is juist mijn punt. Als jij een app installeert dat zichzelf presenteert als dat doel X heeft, dan verwacht je niet dat het zomaar heel wat anders doet.

Ze vragen duidelijk of ze informatie over wat er geïnstalleerd is op je toestel mogen ophalen. Dit kan daar best onder vallen.

Heb je de tekst? Je hebt helemaal gelijk als je denkt dat ik 't niet gelezen heb, maar dat komt ook omdat ik op de generieke suggestie reageerde dat als je iets maar in de voorwaarden (ver)stopt, dat je dan voetstoots kan aannemen dat iemand ermee akkoord ging.

Het laatste wat ik via de CERT kanalen las leek daar wel op te duiden. Ik zie op dit moment niet dat dit verboden zou zijn onder huidige EU regels,

Het hangt van heel veel af; wat sowieso blijkbaar mist in die voorwaarden waarom ze dat willen. Het is typisch niet iets dat een app nodig hoort te hebben, dus dan horen ze dat veel beter uit te leggen. Ook als het in de AV is gestopt.

Zie ook niet echt in hoe dit een groot privacy probleem zou zijn overigens. Maar Facebook aanvallen is goed voor aandacht wereldwijd (en hier lokaal voor veel karma) waardoor alle redelijkheid vaak vergeten lijkt te zijn.

Facebook heeft denk ik ondertussen wel terecht de reputatie gekregen dat niet of op zijn minst weinig geven om de privacy van hun gebruikers. Ook hebben zijn ze op allerlei punten bewezen veel informatie over je te willen verzamelen.
Dus aannemen dat als ze iets obscuurs verzamelen, dat het dan mogelijk iets een inbreuk op je privacy is, is helemaal geen gekken gedachte bij hun.
Wat o.a. mogelijk is, is dat ze - net als dat dat bij browser-plugins kan - proberen een profiel op te bouwen a.d.h.v. geinstalleerde libraries. Wat het nut precies is weet ik niet, want de meesten die de Facebook-app installeren zullen er ook op inloggen...

Veel tweakers die nu roepen om de guillotine zouden echt eens gebruiksvoorwaarden moeten lezen voor ze klikken.

Want daar staat waarom ze het verzamelen?

Maar de tweakers staan meteen op scherp en willen miljarden boetes.

Dat uiteraard sowieso

[Het.Draakje]

Algemene voorwaarden kunnen en mogen niet alles bevatten. Google maar eens op zwarte (en grijze) lijst bij algemene voorwaarden.

Verder gaat recht vóór bepalingen in overeenkomsten. Een voorbeeld: je mag niet moorden. Ik kan jouw dus geen geldig huurmoord contract aanbieden. (Extreem voorbeeld)

[Luchtbakker]

Wat ik niet begrijp is waarom Android en iOS niet een soort algoritme heeft ingebouwd dat ziet welke apps de systeembestanden aanvragen en vervolgens de gebruikers waarschuwt.

Je zou toch zeggen dat je niet wilt dat een willekeurige app dit soort geintjes uithaalt.

[damaus]

In iOS kunnen ze er sowieso niet bij, want apps zitten in hun eigen sandbox

[Verwijderd]

Maar alle modules van het OS zijn bereikbaar in de sandbox, dus in iOS weet je wook welke OS modules er beschikbaar zijn. Totaal onvermijdelijk.

Leest iemand wel eens wat deze mogelijke overtreding over gaat?

[4x4]

Facebook is al zo vaak betrapt dat elke zinnige mens geen Facebook meer gebruikt.
De rest verdient het gewoon om uit gebuit te worden.

[Verwijderd]

Facebook is al zo vaak betrapt dat elke zinnige mens geen Facebook meer gebruikt.
De rest verdient het gewoon om uit gebuit te worden.

Ahh gelukkig hebben we jou om aan te duiden dat 1.590.000.000 mensen gewoon dom zijn en daarom geen privacy verdienen.

[jip_86]

Integriteit van het systeem controleren lijkt me meer een taak van Google. Belachelijk ook dat Google dit tolereert.