WhatsApp begint bèta voor gebruik op meerdere apparaten met behoud van encryptie

WhatsApp is een bèta begonnen waarmee gebruikers de dienst op meerdere apparaten tegelijk kunnen gebruiken zonder dat er verbinding met de smartphone nodig is. De eind-tot-eindversleuteling blijft daar volgens moederbedrijf Facebook bij intact.

WhatsApp begint een publieke, maar beperkte bèta van de nieuwe feature, schrijft moederbedrijf Facebook. Met de nieuwe functie kunnen gebruikers WhatsApp gebruiken op maximaal vier andere apparaten naast de smartphone. Dat mogen geen andere telefoons zijn. WhatsApp kan dan ook worden gebruikt als de originele telefoon uitstaat, iets wat tot voor kort niet mogelijk was. De functie werkt wel zoals die dat nu ook doet, met het synchroniseren van berichten, contacten, en favoriete berichten of gearchiveerde chats.

Volgens WhatsApp heeft het daarvoor 'WhatsApps architectuur helemaal moeten herbedenken'. Met die nieuwe architectuur blijft de eind-tot-eindencryptie van de dienst in stand. Daarvoor krijgen alle apparaten nu een eigen identity key, in plaats van dat er één sleutel is die op het actieve apparaat wordt aangemaakt. De WhatsApp-server waar het verkeer langs loopt houdt bij welke identities een gebruiker aan zijn account heeft. Die lijst wordt bij het versturen van een bericht opgevraagd bij de server.

Vervolgens worden de berichten gesynchroniseerd door een versleutelde blob via de servers van WhatsApp te versturen. Die kunnen alleen met de sleutels op de aangesloten computers worden geopend, waarna die weer worden verwijderd en het aangesloten toestel de data weer lokaal ophaalt. Voor de instellingen van WhatsApp, zoals de gebruikersstatus of welke chats op mute staan, is wel een constante verbinding met de WhatsApp-servers nodig.

Er zijn een aantal nieuwe beveiligingsmaatregelen doorgevoerd om te voorkomen dat bijvoorbeeld een man-in-the-middle-aanval kan worden uitgevoerd. Zo heeft WhatsApp de securitycodes uitgebreid die verschijnen als een gebruiker van toestel wisselt. Die toont voortaan alle andere apparaten van gebruikers. Ook krijgt WhatsApp Automatic Device Verification waarmee gebruikers apparaten alleen nog opnieuw hoeven te verifiëren bij het opnieuw registreren van hun account.

Reacties (66)

[afterburn]

Ligt het aan mij, of wordt "gebruik WhatsApp veilig op meerdere apparaten" dan wel heel makkelijk "doe ons als overheid even stiekum toevoegen als identity bij alle personen met een telefoonnummer uit land xyz zodat we mee kunnen kijken" waarbij ze naar klanten communiceren dat het veilig is en end-to-end encryptie biedt terwijl ze tegelijkertijd een high-five krijgen van overheidsdiensten?

Of ben ik nou zo cynisch?

[Reactie gewijzigd door afterburn op 27 juli 2024 23:58]

[elsinga]

Whatsapp houdt hiermee al een lijst bij met identities, dus hebben ze ook de bijbehorende key (even) in bezit. Dus die achterdeur is er ook al zonder extra meekijk-identitie.

[afterburn]

Goed punt, zover had ik nog niet eens nagedacht. Heeft de meekijk-identity nog wel als voordeel dat je dan ook eventuele history kunt meekrijgen als die niet is gewist, maar ja, als je de key hebt kun je in ieder geval alle nieuwe communicatie meelezen.

[david-v]

Als whatsapp de private key van de client gaat bijhouden op een centrale server, ook al is het tijdelijk, dan is E2E encryptie niet meer te waarborgen en zou ik me al zorgen gaan maken om de eventuele achterdeurtjes die door overheden ingebouwd moeten worden.

[WoutervOorschot]

In hun blogpost hebben ze een heel stuk over hoe ze dat hebben beveiligd. Uiteindelijk gaat het er om wie je vertrouwt, nu kan whatsapp (de app zijnde) ook gewoon al je berichten doorsturen naar een ander gezien de app logischerwijs toegang tot je key heeft.

[slowdive]

Nee, misschien is dit wel de manier waarop Whatsapp voor een achterdeur kan zorgen als overheden die gaan eisen (zoals bv een aantal eu-landen willen).

[PageFault]

De key van whatsapp is heel eenvoudig vanaf het toestel te acterhalen, dus zo moeilijk zal de overheid wel niet hoeven te doen.

Ik heb ooit de private key moeten achterhalen via een tooltje van internet om het te decrypten en samen te voegen met whatsapp database van een andere telefoon (tel van vriendin was het scherm stuk, sim in een oud toestel gegooid en de andere laten fixen, maar aan het eind wil vrouw lief natuurlijke alle berichten bij elkaar, dat gaat dus vrij eenvoudig met de twee SQLlite databases na decryptie samenvoegen, encrypten en weer op de nieuwe tel gooien). Als een nul met twee linkerhanden als ik dat kan, dan een overheid of hackgroep zeer zeker. Daar hoeft whatsapp niks extras voor in te bouwen.

[david-v]

Het gaat er denk ik om dat de private key nu op het toestel blijft en nergens heen gaat. Dat zou in deze impolementatie ook zo moeten zijn, anders heb je echt een probleem omdat je de private key dan gaat delen met whatsapp, wat absoluut niet de bedoeling is. Mij lijkt het meest logische dat je op de 4 devices precies dezelfde private key gebruikt (die moet je dan bij initialiseren van de nieuwe device lokaal delen). De verzender zal dan de public key gebruiken om het bericht te versturen, deze zal door whatsapp gestuurd worden naar max 4 devices. Whatsapp heeft (en moet) dan geen inzicht hebben in je private key, anders is het niet E2E encrypted.

[tom.cx]

Ik denk dat je hier een heel scherp punt maakt. Ik ben daarom benieuwd of er een optie komt om het gebruik van meerdere apparaten hard uitgezet kan worden. Zodat je dit kan voorkomen.

[afterburn]

Zolang er een back-end bij betrokken is, zie ik niet hoe je dit zou kunnen voorkomen.

[Anoniem: 428562]

Zoals ik het begrijp verstuurt de whatsapp app het bericht nu met maximaal 4 keys ipv 1, de app zou kunnen melden dat het bericht naar meerdere devices van dezelfde gebruiker wordt gestuurd of een optie om versturen naar meer dan 1 device te blokkeren.

[Reactie gewijzigd door Anoniem: 428562 op 27 juli 2024 23:58]

[MadEgg]

Dat kunnen ze nu ook al. Een extra partner toevoegen als ware het een groepsgesprek. Alles E2E-encrypted, maar alles wordt ook netjes naar een extra partij gestuurd. En die partij kan dan natuurlijk prima in de UI verborgen worden.

Uiteindelijk zul je vertrouwen moeten hebben in WhatsApp en de fabrikant van je smartphone. Of niet natuurlijk

[afterburn]

Dat lijkt me lastiger te implementeren, aangezien je op die manier voor elke chat die je start weer z'on partner toegevoegd moet worden. Dat zou op individuele basis misschien werken, maar over grote groepen gebruikers voorzie ik problemen.

Deze nieuwe 'feature' daarintegen kun je dat eenmalig toevoegen voor een gebruiker of groep van gebruikers en je kunt alle conversaties nu en in de toekomst en verleden bekijken zonder dat er aanvullende acties of load aan de kant van WhatsApp noodzakelijk is. Dat maakt het wel heel makkelijk en aanlokkelijk.

[3raser]

Ik denk dat je de technische implementatie goed zou moeten bestuderen om te weten of het voor derden mogelijk is om mee te lezen. Maar een gezond wantrouwen kan geen kwaad. Whatsapp ligt regelmatig onder vuur als dienst die lastig tot niet mee te lezen is door opsporingsdiensten. Een "geheime" identity toevoegen aan je account zou voor die opsporingsdiensten een mooie uitkomst zijn. Dan krijgen ze automatisch een kopie van al je berichten.

Whatsapp is closed source dus je zult het moeten doen met de white papers die ze zelf publiceren. Hoeveel ze daarin prijs geven is dus aan Whatsapp zelf. Uiteindelijk is het een kwestie van vertrouwen.

[CH4OS]

Ik vind het raar dat het een public beta wordt genoemd, terwijl het dus niet public is. UIt het bericht van Facebook (die ook gelinkt is in het artikel):

How to try WhatsApp multi-device beta

We plan to initially test the experience with a small group of users from our existing beta program. We will continue optimizing performance and adding a few additional features before slowly rolling it out more broadly. Those who opt in can always opt back out.

Beetje vreemd dus dat Facebook het stempel 'public' er aan hangt, wat expliciet aangeeft dat iedereen zou moeten kunnen participeren, terwijl dat dus niet zo is.

EDIT:
Je kunt je blijkbaar wel opgeven voor de beta, zie de instructies daarvoor. Vreemde is dan weer wel, dat ik de genoemde optie (ik heb een Android telefoon) niet zie staan. Onduidelijk is dan weer wat de voorwaarden zijn om mee te kunnen doen aan de beta, die worden op de genoemde instructie pagina niet gegeven, daar is een andere FAQ-item voor geschreven. Lekker omslachtig allemaal zeg.

EDIT2:
Je moet dus al in de Whatsapp Beta zelf zitten, maar volgens mij deelt Facebook daar allang geen invites meer voor uit, helaas.

[Reactie gewijzigd door CH4OS op 27 juli 2024 23:58]

[boratnl]

Ik zit al jaren in het betatestprogramma van Whatsapp op Android (gewoon via de betatest functie van Google Play), maar heb nog nooit een functie eerder beschikbaar gekregen dan anderen die niet in het programma zitten volgens mij.

Heb het idee dat er allemaal geen pijl op te trekken valt.

[Gohan040]

Ik heb daar ook ingezeten, maar volgens mij had ik toch echt eerder de dark mode b.v.

[JKP]

Het al dan niet kunnen gebruiken van nieuwe functies zal vermoedelijk grotendeels server-side aangestuurd worden. Grote kans dat je eenvoudigweg de pech hebt gehad er al die tijd naast te hebben gegrepen.

Waarom ik dit denk: Je kunt de WhatsApp Beta apk bijvoorbeeld ook sideloaden, maar zoals ik heb ondervonden ontvang je dan toch nog niet de nieuwe functies. De dark mode overigens wel, maar die nieuwe functie werd klaarblijkelijk niet server-side aangestuurd.

[Reactie gewijzigd door JKP op 27 juli 2024 23:58]

[Coffee]

maar heb nog nooit een functie eerder beschikbaar gekregen dan anderen die niet in het programma zitten volgens mij.

Ik krijg regelmatig eerder nieuwe functies (en zeker emoijis) dan mensen om mij heen.

[dutchgio]

Tja het gebruik van Whatsapp limiteren tot één apparaat is niet meer van deze tijd.
Whatsapp web werkt wel prima, maar je telefoon moet dan alsnog in de buurt zijn en verbinding met internet hebben.
Het zou mooi zijn als je in de toekomst het ook op meerdere telefoons kan gebruiken.

[henkkeumus]

En ook dat zijn ze aan 't oplossen

https://techpulse.be/nieu...nternetverbinding%20heeft.

[mjz2cool]

Lees het Tweakers artikel nog eens..

[Zenomyscus]

Lees het Tweakers artikel nog eens..

Tweakers:
Met de nieuwe functie kunnen gebruikers WhatsApp gebruiken op maximaal vier andere apparaten naast de smartphone. Dat mogen geen andere telefoons zijn. WhatsApp kan dan ook worden gebruikt als de originele telefoon uit staat, iets wat tot voor kort niet mogelijk was.

Dat was het punt waar @henkkeumus op reageerde. Hoewel @dutchgio ook de zin ervoor noemt. Dat gaat inderdaad niet opgelost worden.

[henkkeumus]

Dank Zeno,

Ja, inderdaad, ik doelde op dat het niet meer nodig is/was om actieve verbinding op je phone te hebben, precies was @dutchgio aankaart in zijn post .

[FreshMaker]

Tja het gebruik van Whatsapp limiteren tot één apparaat is niet meer van deze tijd.
Whatsapp web werkt wel prima, maar je telefoon moet dan alsnog in de buurt zijn en verbinding met internet hebben.
Het zou mooi zijn als je in de toekomst het ook op meerdere telefoons kan gebruiken.

Nee hoor, verbonden met internet is voldoende ....
Al een paar keer voorgehad dat ik mijn telefoon op het werk / thuis had liggen, en ik via de browser mijn gesprekken kon voeren.

[dutchgio]

Ah duidelijk, ik had het idee dat hetzelfde wifi netwerk vereist was, maar dat is dus geen vereiste.

[xFeverr]

Je telefoon hoeft alleen maar in de buurt te zijn als je hem voor de eerste keer verbindt. Daarna kan je telefoon overal gaan en staan, want dit werkt zelfs via 4/5G

[mjz2cool]

Dat hoeft niet, alleen bij het koppelen heb je de telefoon natuurlijk nodig om de code te scannen.

[DigitalExorcist]

In de buurt hoeft helemaal niet. Komt voor dat m’n vrouw haar telefoon thuis laat liggen en op het werk met haar laptop mij een Whatsapp stuurt met de vraag of haar foon inderdaad nog thuis ligt.

[Happy Meal]

Jongens, binnenkort ligt zo alles open en is de privacy weg?
Hou het liever klein en een beetje bedekt, toch?
Al die technische waarborgenn kunnen altijd gekraakt worden. Low profile werken is goed genoeg vind ik.

[Coffee]

Hoeft niet per se in de buurt te zijn toch?

[FreshMaker]

"dit mag geen tweede telefoon zijn"
Wat een rare beperking.

Ik zou juist graag een 2e telefoon koppelen.
Ik heb een goedkope android, die meegaat naar het strand.
laat telefoontjes die naar mijn privésim moeten gaan doorschakelen, als ik niet snel genoeg opneem.
Ditzelfde zou ik graag ook voor WA hebben

[3raser]

Ik denk dat dit dezelfde beperking vormt als een telefoon met 2 simkaarten waarvan je er maar 1 voor Whatsapp kunt gebruiken. Whatsapp is gemaakt om met maar 1 telefoonnummer tegelijkertijd te kunnen werken. Vandaar dat het waarschijnlijk geen tweede telefoon mag zijn omdat die telefoon altijd al een actieve simkaart heeft waar Whatsapp aan gekoppeld is.

[moonlander]

Mijn oma heeft een simpele telefoon zonder whatsapp.. Maar heeft wel een tablet waar ik whatsapp op heb geinstalleerd. Dat werkt prima. Je moest alleen bij installatie het telefoon nummer verifiëren via de sms code die je dan krijgt.

[3raser]

Dat is inderdaad mogelijk. En je zou de Whatsapp Business app mogelijk kunnen gebruiken voor je 2e sim. Maar een standaard oplossing voor 2 simkaarten met 1 Whatsapp app is er gewoon nog niet.

[FreshMaker]

dus blijft het een virtuele beperking voor de wens.
Nu gebruik ik Wa en WA business, om prive en zakelijk gescheiden te houden, en dat gaat prima.

WA is zoals al aangegeven niet hardlinked aan het telefoonnummer in het toestel, maar aan een simkaart die actief is.
als je de installatie gedaan hebt, is de simkaart ( nummer ) niet meer nodig, zoalng die niet nog eens elders wordt geactiveerd

Ik ben in het bezit van beide nummers / simkaarten, dus dat gebeurt niet.
Vooralsnog zie ik het probleem niet om dan vrije keuze te hebben in de 5 devices die gebruikt mogen worden

[japie06]

Ik denk dat er mee bedoelt wordt dat het niet werkt in de Android/iOS app van whatsapp. Misschien dat het wel zou werken als web.whatsapp gebruikt op de browser van je telefoon.

[memen]

Web Whatsapp wordt nu ook al geblokkeerd op Android. Behalve als je je User-Agent in je browser verandert naar iets anders. Whatsapp Web To Go is een appje die precies dit doet!

[UPPERKEES]

Dit kan met Signal ook, is het dan niet onderdeel van het Whisper protocol dat WhatsApp ook gebruikt?

[david-v]

tegenwoordig is dat het Signal protocol, die inderdaad ook whatsapp gebruikt

[JaymzHetfield]

Hoe weet je (zeker) dat Whatsapp dat gebruikt?

[david-v]

Dat weet je niet met 100% zekerheid omdat de client van whatsapp niet opensource is. Je zou de APK wel kunnen gaan ontleden maar ik weet niet hoe ver je daarmee komt.

whatsapp zelf geeft aan dat het het Signal Protocol gebruikt

[JaymzHetfield]

Conclusie: onbekend wat voor protocol er door Whatsapp gebruikt wordt en hoe veilig dat wel/niet is.

[david-v]

Klopt, daarom geef ik de voorkeur aan Signal en heb ik WhatsApp verwijderd, niet alleen hierom, maar omdat ik niet blij ben met de kant die ze opgaan, commercialiseren van de app door bedrijven er aan toe te voegen met hun eigen winkels en betaal systemen. Nee bedankt, ik wil een chatapp voor vrienden en familie.

[fre0n]

Precies mijn gedachte, er zijn meerdere andere apps die dit al langer voor elkaar hebben

[TheVivaldi]

Dit kan met Delta Chat ook die niet het Whisper-protocol gebruikt maar Autocrypt, dus er zijn meerdere implementaties mogelijk.

[MartijnHavinga]

Wat ik in het artikel niet kan vinden is hoe het nu werkt als Bob een bericht naar Alice stuurt. Moet bob dan voor iedere client van Alice een bericht aanmaken (waarmee Bob dus potentieel 5x zoveel dataverbruik krijgt) of zorgen de clients van Alice voor onderlinge synchronisatie?
Indien optie 2, welke clientkey gebruikt Bob dan voor de encryptie en wat als dat device op dat moment geen verbinding heeft?

[.oisyn]

Moet bob dan voor iedere client van Alice een bericht aanmaken (waarmee Bob dus potentieel 5x zoveel dataverbruik krijgt)

Het volgt volgens mij gewoon hetzelfde principe als groupchats. Daar wordt ook niet ieder bericht N keer afgeleverd; iedere deelnemer verzint een eigen key* voor de berichten die hij verstuurt, en deelt dat met alle deelnemers in de groep. De overige deelnemers kunnen dan elk bericht wat hij verstuurt ontsleutelen. Vervang nu deelnemers met identities, en je hebt "group chats" tussen devices.

* Het blijft niet bij een enkele key die voor alle berichten gebruikt. Er wordt een chain key bepaald, en voor elk bericht wordt een message key afgeleid en wordt de chain key geupdate. Iedereen die berichten ontvangt en de originele chain key weet, kan hetzelfde proces doorlopen om de message key per bericht te bepalen. En zodra iemand weggaat uit de chat verzint iedereen een nieuwe chain key zodat de oude participant niet meer kan meelezen.

[Reactie gewijzigd door .oisyn op 27 juli 2024 23:58]

[MartijnHavinga]

Aha, dus Bob versleuteld zijn berichten alleen met zijn eigen key en gooit het bericht op de server. Iedere individuele client van Alice heeft de chain key van Bob en kan het bericht dan dus ontsleutelen.
Wat ik dan niet snap is waarom als Alice een bericht stuurt er gebruik gemaakt moet worden van 2 verschillende keys, eentje voor AliceWeb -> Bob en eentje voor AliceWeb -> AlicePhone. Als het bericht alleen versleuteld zou worden met de AliceWeb keychain en iedereen in de groep heeft die chain, dan zou ook daarvoor slechts 1 bericht verstuurd hoeven te worden?

[.oisyn]

Ah ja je hebt gelijk:

When people message each other in a one-on-one chat, a pairwise encrypted session is established between each of the sender’s and recipient’s devices. WhatsApp multi-device uses a client-fanout approach, where the WhatsApp client sending the message encrypts and transmits it N number of times to N number of different devices — those in the sender and receiver’s device lists. Each message is individually encrypted using the established pairwise encryption session with each device. Messages are not stored on the server after they are delivered. For groups, we still use the same scalable Sender Key encryption scheme from the Signal Protocol.

Wel apart. En zelfs met de fan-out manier zou je nog data kunnen sparen door het bericht maar 1 keer te encrypten met een unieke key, en die key dan vervolgens N keer te encrypten voor iedere identity. De dataduplicatie zit dan nog louter in de keys zelf, niet in het -typisch veel grotere- bericht.

[WhatsappHack]

Hier, dit zal je hopelijk op weg helpen, het ge-update overzicht van de technische werking van het protocol (beta):
https://scontent.whatsapp...47f04bee2c0c1&oe=60F4C687

[Reactie gewijzigd door WhatsappHack op 27 juli 2024 23:58]

[saren]

Hoelang kan je telefoon nu eigenlijk uitblijven? Is het mogelijk Whatsapp eenmalig te activeren op de telefoon, en deze dan permanent uit te laten zodra een verbinding met de laptop is gemaakt?

[WhatsappHack]

14 dagen.
https://faq.whatsapp.com/...n/about-multi-device-beta

[saren]

Ah prima! Dat is beter dan niets. Weet jij hoelang het normaliter duurt voordat zo een beta haar weg vind in mainstream WhatsApp? Kan dat nog weken, of nog maanden duren, gebaseerd op eerdere features?

[The Zep Man]

Deze techniek is niet nieuw of spannend. Zie Signal, die dit al veel langer kan.

Uiteraard goed dat het mogelijk wordt in WhatsApp, daar niet van.

[Reactie gewijzigd door The Zep Man op 27 juli 2024 23:58]

[WokeBroke]

Om te voorkomen dat iedereen gaat proberen de android versie van Whatsapp op Windows 11 te gebruiken?

[dec0de]

Nee, je kunt maar 1 whatsapp install per nummer hebben. Je kunt dus maar op 1 app nummer A hebben, ookal heb je 3 telefoons

[SlimStorm]

Ach de meeste gebruikers hebben de backup instelling in de App aanstaan. En alle berichten kunnen dus gewoon gelezen worden door Google en Apple en waarschijnlijk ook Facebook. Ja de berichten zijn versleuteld, maar de sleutel is in handen van Google of Apple.

Dus hoezo encryptie! Als je back-ups hebt aan staan en een overheid doet een verzoek, dan kunnen ze in theorie de berichten krijgen. Of dit gebeurd weet ik niet. Dit nog los van de hoeveelheid metadata die wordt verzameld. En ja de privacy voorwaarden voor de EU zijn iets anders, maar wat let Facebook om deze realtime te gebruiken zonder dit op te slaan?

Hier een leuke link naar welke metadata sommige Apps verzamelen https://i.imgur.com/WG4Cws6.jpeg

[WhatsappHack]

Nee, Apple en Google hebben het back-up bestand; WhatsApp heeft de back-up decryptiesleutel. Apple en Google kunnen je berichten dus niet ontsleutelen omdat ze geen key hebben en WhatsApp niet omdat ze geen database hebben. Binnenkort kan je zelf de key instellen waardoor de window of opportunity als beide partijen gecombineerd worden ook gesloten is.

[SlimStorm]

Ok dat zou mooi zijn. Maar tot het zover is kan de National Security Agency (NSA) Big Tech op elk moment opdracht geven bepaalde privacygevoelige data te overhandigen. En in dat geval moet Facebook=Whatsapp dus de sleutel overhandigen.

Dan zelf de sleutel instellen: Als dat zoiets is als een password verzinnen, dan ben ik bang dat de meeste mensen toch weer gaan voor de "gebruikelijke" zwakke wachtwoorden. Beter is natuurlijk dit te laten bepalen door de likes als Bitwarden, Laspass,....

Blijft natuurlijk de meta-informatie. Ik weet dat sommige internationale bedrijven verbieden om Whatsapp te gebruiken voor klantcontacten ivm legal issues waaruit zou kunnen blijken wie met wie, wanneer heeft gecommuniceerd.