Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Versleutelde chat-app Threema krijgt positief resultaat tijdens codebase-audit

De versleutelde chat-app Threema heeft een audit uit laten voeren op de code van de app. Daarin zijn geen grote kwetsbaarheden gevonden. De audit is een eerste stap richting het opensource beschikbaar maken van de volledige code.

Threema liet de audit uitvoeren door het Duitse pentestbedrijf Cure53. Het bedrijf concludeert in het eindrapport dat de codebase van Threema 'alleen maar beschreven kan worden als ongebruikelijk solide'. De pentesters ontdekten zeven kleine kwetsbaarheden binnen de scope van het onderzoek. Die zouden geen direct gevaar opleveren voor de betrouwbaarheid van de app.

Wel merken de onderzoekers op dat de app op met name Android zo complex is dat 'een grondige securityanalyse onrealistisch is'. "Het is dan ook van groot belang om te zeggen dat dit beveiligingsonderzoek niet als exhaustive moet worden gezien", staat in het rapport. Voor de iOS-app geldt wel dat de app een 'stevige cryptografische integratie' heeft, en dat de app moeilijk aan te vallen is.

De audit is een nieuwe stap richting het opensource maken van de app. Threema kondigde in september al aan dat het de code volledig beschikbaar wil maken, maar wilde daarvoor wel eerst een audit doen. "Enkel de software openbaar maken garandeert niet dat experts de moeite nemen de code systematisch te bekijken. Software van Threema's grootte vereist namelijk niet alleen technische kennis, maar ook veel tijd." Het is overigens niet de eerste audit van het bedrijf. In maart 2019 liet het de code ook al bekijken door de Universiteit van Münster.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Door Tijs Hofmans

Redacteur privacy & security

27-11-2020 • 12:02

60 Linkedin

Submitter: SpaceDok

Reacties (60)

Wijzig sortering
Ja het wordt zo stilaan tijd dat er een waardige privacy-first alternatief komt waar iedereen naartoe gaat. Ik zit momenteel nog op whatsapp maar enkel omdat ik hier een groot aantal groepen / contacten op heb zoals zovele mensen wel. Ik heb voor de rest echt niets van de smeerlapperij genaamd facebook maar ik krijg het gevoel dat ze whatsapp binnenkort ook wel eens gaan "integreren" zoals ze met hun messenger en instagram gedaan hebben! Ik geef Threema alvast een kans zoals ik met alle nieuwe soortgelijke apps doe. Ik gebruik ook signal maar daar was tot voor kort toch weinig animo voor bij niet-tech mensen.
Beetje kip-ei probleem. Ik ben 2 jaar geleden gestopt met whatsapp en gebruik alleen Signal. Veel mensen meegekregen, (zelfs straatapp) maar zeker niet iedereen.

Ouderwets SMS werkt in die gevallen ook nog. Voor 1:1 communicatie dan in elk geval.
Als wij nu gewoon allemaal stoppen met Whatsapp wordt ‘t alvast weer een stukje beter.

‘t zou mooi zijn als er een open berichtenplatdorm/standaard komt waar vervolgens iedereen met z’n client van eigen voorkeur gebruik van kan maken.

Geen idee of dat echter qua security/privacy echt goed te krijgen is.
Zoiets als Matrix? En dan Element als voorbeeld client?
Is te ingewikkeld voor veel mensen waarschijnlijk...
Dus als alternatief voor mensen die geen Signal gebruiken, ga je het oh-zo-veilige SMS gebruiken? 8)7
Het gaat niet om de veiligheid. Het gaat erom dat je niet bij elk bericht dat je stuurt door een globaal social-media bedrijf wordt bespioneerd.
Nee dan liever facebook laten meespieken...
Ik heb Signal geprobeerd, maar het wilde niet goed synchroniseren tussen telefoon en computer (werkte vaker niet dan wel). En zonder betrouwbare synchronisatie heb ik er helaas te weinig aan, ik stuur toch de meeste berichten op mijn computer.
Is RCS wellicht iets?
Threema is nog lastiger te gebruiken voor niet-tech mensen. Werkt met specifieke 'codes' voor je gebruikers ipv telefoonnummer/email/gebruikersnaam.. Goed vanuit privacy perspectief, maar niet erg gebruiksvriendelijk voor niet technisch onderlegde mensen.
Kan ook gewoon met telefoonnummer of email adres. Als je wilt, komen bekenden met Threema vanzelf naar voren als je Threema toegang geeft tot je contactenlijst.
Je kunt gebruikers gewoon toevoegen met een QR code, zoals op visitekaartjes en degelijke.
Ik zie hier geen probleem. BlackBerry Messenger was ook mateloos populair met een PIN (of ping zoals het in de volksmond werd genoemd).

Met QR codes, NFC tags en de andere talloze deelopties lijkt het mij allemaal niet zo'n probleem meer.
Valt op zich wel mee. gebruik het nu 4 jaar. Beter als whatsapp, telegram en dergelijke. Je moet de mensen die je toevoegt wel in RL hebben ontmoet. Voorkomt veel ellende dat je wordt opgenomen in groepjes die rare dingen verspreidden.
Je kan mensen net zoals met bijvoorbeeld WhatsApp toevoegen omdat ze in je telefoon staan. Echter is het bij Threema een keuze of je zo voor anderen vindbaar bent.
Probleem bij Threema is dat het geld kost, zo te zien €3,99.

Is met Whatsapp ook vaak geprobeerd, maar door de dreigende leegloop (naar Kik zelfs destijds geloof ik?) hebben ze daar altijd vanaf gezien.

Voor een bedrijf is dat geen probleem, bij een beetje bedrijf is WhatsApp verboden vanwege GDPR-zorgen / overtredingen. Zoals waar ik werk (Threema verplicht) maar ja, de medewerkers blijven vaak gewoon WA gebruiken.
Is dat per jaar? Voor een goede veilige chatapp is dat geen groot bedrag. BBM (Enterprise) kost ook ongeveer dat per jaar, veilig, en werkt ook op dezelfde manier als Threema.
Threema: Eenmalig
Threema Work: Jaarlijks

[Reactie gewijzigd door NoUser op 29 november 2020 10:48]

Ik zie de afgelopen maanden steeds vaker contacten op Signal verschijnen. Ik heb het idee dat er langzaam maar zeker momentum komt richting Signal.
Dat heb ik ook met Signal. Maar, om eerlijk te zijn heb ik dat ook al jaren met Telegram. Ik weet niet of je er veel uit af kunt leiden.

Inmiddels is de bulk van mijn verkeer denk ik Telegram aangezien mijn familie jaren geleden van Whatsapp naar Telegram is overgestapt. Toch kan ik nog niet van Whatsapp af.

Maar misschien moet ik zelf die stap zetten om mensen die ik op meerdere platforms heb niet meer via Whatsapp te benaderen maar via Telegram of Signal.
Tja, misschien kun je meer mensen overhalen, als je zegt dat Google voor RCS ook Signal (encryptie) heeft gekozen. :)
tjah,.. blijft lastig... als ik vraag aan iemand heb je threema? huh wat is dat.. krijg je dan.... Whatsapp blijft toch merendeels de standaard. Zelfs met telegram hoor ik dat nog wel is of signal, of je hoort vaak goeie.... ''encryptie/chat beveiliging'' boeit me niks heb toch niks belangrijks

[Reactie gewijzigd door juliank op 27 november 2020 12:10]

Eigenlijk wel jammer. Ik vind de Threema app veel fijner in gebruik dan Whatsapp (en ook dan Signal). Telegram heeft ook een erg fijne app maar dat is dan weer minder veilig.
telegram heeft ook secure chats,.. maar hun gebruiken eigen ontwikkelde encryptie dacht ik
Ik raad je aan om even te kijkennaar het verschil tussen protocol en encryptie. Het is waar dat Telegram MTProto gebruikt maar dat betekent niet dat ze hun eigen encryptie gemaakt hebben.
En je moet het per chat specifiek aanzetten
Alhoewel de notificaties erg vaak niet werken bij Threema. Heb op meerdere telefoons gehad dat notificaties laat of niet binnen komen. Vaak werkt een reinstall wel.

Uiteraard zijn ze ge-exclude van battery saving.
Men veranderd niet meer zo graag van platform en dat komt niet per sé omdat hun vrienden dat ook al niet gedaan hebben. Het was bijvoorbeeld interessant om te zien dat als een streamer van Twitch naar Mixer of Youtube ging, de reguliere kijkers grotendeels gewoon wegbleven, terwijl Mixer technisch veel beter was (veel hogere bitrate, veel lagere latency, etc).
Maar Whatsapp heeft toch gewoon goeie ecnryptie? Het is alleen wat minder gesteld met je privacy vanwege alle metadata die er verzamelt wordt.
Precies!
Het grote gevaar van Google/Facebook is wat er met je contactenlijst gebeurt.

Koop jij een nieuwe TV dan krijgen je vrienden advertenties van jouw TV of duurder. (Ze willen tenslotte niet voor jou onderdoen)

Op zich al kwalijk, maar het wordt nog kwalijker wanneer hetzelfde concept wordt toegepast op nieuws en informatie-voorziening. Heb je collega's in de BLM-hoek, dan wordt je de hele dag bestookt met informatie hoe racistisch de wereld is. Heb je neo-nazi's als collega's dan lees je de hele dag hoe de buitenlanders de wereld verpesten.
En voor je weet begint Europa op de USA te lijken...(#polarisatie)
Chat moet gewoon net zo als e-mail worden.
Het maakt niet uit waar je op zit, je kan gewoon met elkaar communiceren
Welke app je gebruikt zou niet uit moeten maken

[Reactie gewijzigd door Zjemm op 27 november 2020 12:53]

Nou kijk precies wat ik bedoel

Nu nog een massive userbase

En natuurlijk wat features die je met chat wel hebt en mail niet

[Reactie gewijzigd door Zjemm op 27 november 2020 16:36]

Bij Delta Chat komen je berichten nog heel vaak laat aan.
Zou kunnen maar die is op nummer gebaseerd
Dan toch liever een e-mail account
Ja, dat is al een aantal keer geprobeerd.

Dan krijg je dus dit probleem :)
(instant messaging staat er zelfs letterlijk bij als voorbeeld)

[Reactie gewijzigd door Stromboli op 28 november 2020 16:47]

Ik ben benieuwd of het Open Source maken van de app ook gaat betekenen dat er meerdere client implementaties zullen komen.

Zodat een paar hobbyisten een versie kunnen maken voor Sailfish OS (zoals er ook hobbyisten aan een Signal app voor Sailfish werken), zodat het ene bedrijf een desktop implementatie voor macOS kan maken terwijl het andere bedrijf er eentje voor ChromeOS maakt, zodat derden hun eigen integraties (bots?) kunnen ontwerpen etc.

De kunst zal een beetje zijn hoe je vanuit het project kunt zorgen dat alle clients veilig zijn. Je kunt het waarschijnlijk nooit zo ontwerpen dat het simpelweg onmogelijk is om een onveilige client te maken. Een client zal een sleutel moeten hebben, en als een onveilige client een sleutel heeft kan die ook uitlekken. Als je dan met client afhankelijke of publiek/private sleutels gaat werken wordt het weer een kunst om het gebruiksvriendelijk te houden.

[Reactie gewijzigd door Maurits van Baerle op 27 november 2020 12:18]

Ik gebruik het zelf niet (net paar dagen geleden pas tegen gekomen en van plan om dit weekend eens in te duiken), maar matrix.org is bedoelt als een dergelijke open source veilig netwerk waar meerdere apps van gebruik kunnen maken. Element.io is dan de meest bekende (enigste?) chat app die er gebruik van maakt.

[Reactie gewijzigd door David Mulder op 27 november 2020 13:07]

Element.io is dan de meest bekende (enigste?) chat app die er gebruik van maakt.
Er zijn veel meer clients die gebruik maken van Matrix: https://matrix.org/clients/

Zelf gebruik ik naast Element sinds kort FluffyChat: https://fluffychat.im/
FluffyChat werkt erg fijn in de mobiele browser.

Ik gebruik het zowel op m'n lokale Matrix server als op Matrix.org zelf.
Ik heb het draaien op een server, maar heb nog niemand zo ver gekregen om het effectief te gebruiken. Na de laatste update van Element Web vind ik het heel soepel werken. Ik ga mij binnenkort verdiepen in Maubot en andere bots, want de echte toegevoegde waarde zit 'em in integratie, vermoed ik. Zonder een killerapp is het voor veel mensen niet interessant om de ene chat-app voor een andere te wisselen.
Threema heeft servers in Zwitserland staan, bijvoorbeeld om aan de hand van je contactenlijst te kijken wie het nog meer heeft. Die telefoonnummers verwijdert Threema gelijk erna. En ik geloof dat de servers ook gebruikt worden voor uitwisseling van encryptie-sleutels (publiek / privé).

Dat kost geld, ik denk dat Threema daardoor (maar ook door code audits) €4 is.

De vraag is, bij een andere cliënt, welke servers dan gebruikt worden? Wie betaalt dat en hoe blijven die ook veilig?
Als je kijkt naar hoe partijen als Mastodon en Diaspora dat hebben opgelost dan kun je met federation nog best veel bereiken.

Maar, je komt ook wel beperkingen tegen. Ik weet niet of Mastodon het probleem met hashtags al heeft opgelost maar de laatste keer dat ik keek waren die beperkt tot de server waarop je ingelogd bent. Met duizend Mastodon servers heb je dan dus duizend afzonderlijke discussies rond één hashtag. Precies wat niet de bedoeling is.

Zo’n zelfde probleem zou je waarschijnlijk met federation en contacts tegen komen. Het laatste wat je wil is dat alle contacts van iedereen gedeeld moeten worden met alle federated servers. Misschien dat het op te lossen is met hashing.
Dat is een mogelijke weg; en misschien dat alle servers met elkaar kunnen updaten zoals GIT of zo. Ik ben hier niet heel erg in thuis.

Waar Threema nu echter mee adverteert is GDPR en Zwitserse privacy wetgeving. En niet hoeven meewerken aan data-verzoeken van de Russische overheid.

Zo'n voordeel zou mogelijk teniet worden gedaan als iedereen (ook in de VS, Rusland, China en Iran) zijn eigen server kan beginnen; en data van Zwitserse servers die kanten op gaat.
Telegram heeft verreweg de beste interface en de meeste opties (vooral handig in group chats) en dingen als bots en zo. En is bovendien gewoon op elk apparaat beschikbaar zonder dat je moeilijk hoeft te doen met je telefoon in de buurt hebben.

Maar Telegram is niet veilig.

Signal, en ook Threema wanneer het open source is, zijn het veiligst.

Zou mooi zijn als ofwel Telegram dezelfde veiligheid kan bieden als Signal of Threema (met name end-to-end encryptie in alle gevallen, niet alleen in secret chats), ofwel als Signal of Threema hetzelfde gebruiksgemak en features zouden kunnen bieden als Telegram.

WhatsApp is sowieso in alle opzichten de slechtste keuze. Het is zo jammer dat iedereen nou juist daar op zit.
WhatsApp is sowieso in alle opzichten de slechtste keuze. Het is zo jammer dat iedereen nou juist daar op zit.
En daar zit het hem nou in, het is de "slechtste keuze" maar het gebruiksgemak is er.
En als iets goed werkt, waarom zou je daar dan mee stoppen?

Ben het overigens helemaal met je eens hoor, dat WhatsApp (Facebook) daar moet gewoon een eind aan komen
En daar zit het hem nou in, het is de "slechtste keuze" maar het gebruiksgemak is er.
En als iets goed werkt, waarom zou je daar dan mee stoppen?
Ja maar het werkt niet goed.

Het is onveilig. En als je wat dingen doet met group chats, zeker in grotere groepen of communities, dan weet je pas wat je mist als je eenmaal Telegram hebt geprobeerd.
Voor jóu is WhatsApp de slechtste keuze wellicht. En waarom eigenlijk?

Ik gebruik al sinds jaar en dag WhatsApp, en mijn omgeving ook. Ik hoef niets anders.
Ook ben ik niet op zoek naar allerlei 'handige' functies. Ik wil gewoon tekst kunnen typen in een chatvenster. Al die emoji's en gifjes gebruik ik ook al nooit.
En sowieso beperk ik het gebruik van WhatsApp. Het is zo zonde van je tijd.

Ik ken precies één persoon die vaak verzoekt om eens wat anders te proberen. Maar ik heb daar geen enkele behoefte aan. Wéér een app er bij, wéér aan account, wéér met instellingen gaan lopen prutsen. Hij heeft geloof ik wel 6 chatcliënts geïnstalleerd. Ik begin er niet aan...
Het feit dat je contactenlijst als big data door Facebook en 3rden verwerkt wordt en je contacten bepalend zijn voor welke advertenties en (veel erger) welk nieuws je ziet.
U klinkt als iemand die aan sms genoeg heeft.
Voor jóu is WhatsApp de slechtste keuze wellicht. En waarom eigenlijk?
Om bovengenoemde redenen.
Ik gebruik al sinds jaar en dag WhatsApp, en mijn omgeving ook. Ik hoef niets anders.
Ook ben ik niet op zoek naar allerlei 'handige' functies. Ik wil gewoon tekst kunnen typen in een chatvenster. Al die emoji's en gifjes gebruik ik ook al nooit.
Zei je dat destijds ook over SMS?

Maar goed, precies dat kan natuurlijk met Signal of Telegram of Threema ook. Je *hoeft* al die extra features niet te gebruiken. Je wordt er ook niet nodeloos mee geconfronteerd. Telegram is niet moeilijker of lastiger dan WhatsApp, zeker voor simpele mainstream gebruikers werkt het eigenlijk precies hetzelfde.
Ik gebruik Threema al een tijdje en mijn directe familie (vrouw, oma, broers en zussen plus aanhang!) gebruiken het inmiddels ook. Om de familie zover te krijgen heb ik wel de eerste stap gezet: Alle Facebook accounts/apps deleten. Vervolgens verteld dat ik de kosten op me neem als ze de app willen installeren. Dat zorgde om de een of andere reden dat ze allemaal de app kochten en installeerden.

Daarnaast heeft mein (zeer kleine) klantenkring Threema ook geinstalleerd.

Lange tijd kon je niet video-bellen met Threema. Dat gaat tegenwoordig volledig versleuteld (wat niet bij alternatieve apps altijd het geval is).

Groot pluspunt is het registreren zonder enige vorm van identificatie: geen 06-nummer, geen emailadres.

Verder biedt een bedrijfs-account ook een gateway aan waarmee je bijvoorbeeld systeem alerts mee kunt versturen naar gebruikers of groepen, of andere geautomatiseerde berichten.

[Reactie gewijzigd door meneer-ei op 27 november 2020 13:09]

Wij gebruiken intern in ons bedrijf al jaren Threema om bedrijfsdata te bespreken die niet naar buiten mag lekken. Je kunt alleen contact hebben met een persoon waarvan je fysiek de QR-code hebt gescant. Goed om te horen dat die op onze iOS accounts veilig is bevonden.

Overigens gebruik ik privé gewoon WhatsApp. Puur omdat we met de hele maatschappij in de app vastzitten. Eruit stappen met je gehele sociale leven is moeilijk, of je zit weer vast aan de beperkingen van SMS. En als er iets niet veilig is...
Ik ga er altijd van uit dat mijn communicatie onderschept kan worden.
Als je dan toch iets wil overdragen dat alleen te ontcijferen is door de ontvanger, zou je er voor kunnen kiezen om je gecodeerde one-time pad bericht te versturen samen met het volgnummer van de sleutel (die je natuurlijk offline en alleen gedeeld hebt heb deze ontvanger)
Ik ben zeer benieuwd Threema. Al denk ik dat binnen de markt weg valt tegenover whatsapp en Telegram. Al ben ik zelf een Keybase gebruiken. Wat wel gek is dat niemand daar over heeft in de comments.
Mensen meekrijgen vind ik het grootste probleem. Ik zit ook nog vol in WhatsApp, ook met mijn werk en collega's. Ik heb er geen moeite mee, maar alternatieven vind ik wel interessant om uit te proberen. Met een vriendengroepje communiceer ik via Telegram. Ik heb geprobeerd mensen naar Wire te krijgen (ook geen e-mail of 06-nummer gegevens nodig), maar je krijgt bijna niemand mee. En om nou een woud aan die chatapps op mijn telefoon te zetten en te houden lokt mij ook niet aan.

Op dit item kan niet meer gereageerd worden.


Apple iPhone 12 Microsoft Xbox Series X LG CX Google Pixel 5 Sony XH90 / XH92 Samsung Galaxy S21 5G Sony PlayStation 5 Nintendo Switch Lite

Tweakers vormt samen met Hardware Info, AutoTrack, Gaspedaal.nl, Nationale Vacaturebank, Intermediair en Independer DPG Online Services B.V.
Alle rechten voorbehouden © 1998 - 2021 Hosting door True