Threema brengt versie chatapp uit die geen code van Google bevat

Threema heeft een nieuwe versie van zijn versleuteldechatapp uitgebracht. De versie, die Threema Libre heet, maakt geen gebruik Googles softwarebibliotheek of code, zegt de ontwikkelaar. De app is beschikbaar voor Android-toestellen via de appwinkel F-Droid.

Om de app te kunnen gebruiken is minimaal Android 5.0 nodig. Threema Libre maakt geen gebruik van 'de softwarebibliotheek of code van Google of derde partijen', schrijft de Zwitserse ontwikkelaar woensdag. Het bedrijf treedt in de aankondiging en de faq niet verder in detail over hoe de nieuwe versie van zijn chatapp precies werkt. Wel verwijst Threema naar de openbare code van de app, waarin men 'kan verifiëren dat de app geen data naar Google lekt'.

Het is mogelijk om Threema Libre naast de Threema Shop- of Google Play-versie op hetzelfde apparaat te gebruiken. Als de gebruiker wil overschakelen naar Threema Libre vanuit een andere versie, dan raadt Threema aan om een back-up te maken in de huidige versie van de chatapp.

Reacties (63)

Dit artikel klopt niet. De pagina zegt duidelijk:

> In Threema Libre, there’s no single line of code that would require a proprietary software library from Google or any other third party.
(emphasis mine)

Dus: er zit geen enkele closed source code in van Google of andere derde partij.

Er zit wel Google code in, want veel succes met een Android app schijven zonder androidx libraries. Deze dus: https://github.com/threem...pp/build.gradle#L670-L698

Heel lang Threema met veel plezier gebruikt en continu mensen geprobeert aan te sporen het ook te downloaden, helaas met weinig succes. Ondertussen is iedereen (bijna) over op Signal dus ik ben al lang blij dat veel Whatsapp laten liggen als primaire chatclient maar het blijft jammer.

Laat ze The Terminal List kijken en zeg dat als ze Threema gebruiken, ze niet bespioneerd kunnen worden door de FBI, CIA en big pharma

Bij Signal toch ook niet? Heb ik iets gemist?

Dit artikel gaat alleen over Threema

Ja, het artikel zeker wel. Echter niet de oorspronkelijke post van @Notlupus waar @Vrijdag op reageert - hij noemt Signal. Vandaar mijn vraag aan Vrijdag.

In de serie The Terminal List hebben ze het ook over Threema. Vervolgens kunnen zowel de FBI als CIA en ook een PMC hem niet tracken

Zie hier voor meer info.

Misschien interessant leesvoer: "Threema: Three Strikes, You’re Out".

Het is geweldig dat er een chat messenger is die E2EE versleuteld is en geen mobiel nummer als identifier gebruikt - maar Threema is niet zo 'veilig' als Signal is.

Verklaar je nader!?

Ik heb voor een reden een link geplaatst in die reactie

Ah oké. Is de bron in jou ogen een betrouwbare? Als in, is dit een gerespecteerde security onderzoeker?

Ik heb de claims in het gelinkte artikel zelf geverifieerd - die zijn correct. Of de persoon in kwestie een 'gerespecteerd security onderzoeker' is vind ik wat minder belangrijk. Het gaat (mij) om de inhoud - niet om een verworven status.

Mocht jij ook de expertise hebben om die claims te verifiëren, doe dat dan alsjeblieft. Want voor jou ben ik ook maar een random persoon op het internet - en die moet je nooit op hun blauwe ogen geloven.

Signal is een goede keuze, maar Threema geeft wel meer privacy. Telegram zou ik niet gebruiken teveel onduidelijke bescherming van je privacy. Whatsapp , facebook, insta zijn puur gebouwd om aan data geld te verdienen aan derden dus succes.

BBM enterprise compleet veilig en maar 2 kleine server parkjes ter wereld waar net als Threema niks opgeslagen wordt. Milieu techninisch is threema en BBM enterprise de beste keuze , want je toestel wordt gebruikt als opslag ook voor nog niet verzonden berichten of ontvangen berichten.

Signal kijkt ook niemand mee mee

Signal gebruikt al heel lang Google Cloud Messaging, het mooie van deze versie van Threema is dat zij dat nu niet meer gebruiken.
GCM is heel begrijpelijk als je redelijk zeker wil zijn dat berichten aankomen, terwijl Google/Android het in stand houden van een continue verbinding door een app steeds meer beperkt. Met als begrijpelijke argumenten: batterijduur en privacy.

Dat zegt niks, dit zegt wel wat, signal.org/bigbrother

Cloud Messaging - Google Developers
https://developers.google.com › cloud-messaging
Google Cloud Messaging, deprecated April 10 2018, has been deactivated and removed from Google's APIs. For equivalent functionality, use Firebase Cloud ...

Verder draai ik LineAgeOS zonder gapps, dus denk niet dat ik het heb.

Signal zelf gebruikt FCM voor push messaging. Daarbij moet wel opgemerkt worden dat bij Signal de inhoud van die push messages niet leesbaar is voor Google, dat is normaliter bij FCM wel het geval

Als je een Android gebruiker bent kan ik Molly van harte aanraden. Molly is een geharde fork van Signal - met een FOSS variant die helemaal geen FCM/Google integratie meer heeft.

Je kunt overigens van Signal naar Molly overstappen en in dat proces je berichten mee-migreren. Andersom kan dat overigens ook.

Zolang de server niet in je bezit is, denk ik dat je van een koude kermis thuis komt

Bij een degelijke E2E versleuteling kom je al een heel eind, het gaat alleen bij apps als Telegram mis aangezien die - ondanks de beschikbare open source en geteste algoritmes en modellen - toch een eigen implementatie gebruiken zonder daar een goede onderbouwing voor te kunnen geven. Dan loop je inderdaad het risico dat er een loophole in zit die de server in staat stelt berichten of sessies (automatisch) te kunnen ontsleutelen.

Huh telegram is toch helemaal niet e2e versleuteld? Alleen als je dat speciaal aanzet dacht ik (?)

Klopt, alles aan Telegram is gewoon puur plain text, tenzij je een Secret Chat start, dan is het encrypted met een twijfelachtig zelfbedacht protocolletje door een Rus.

Er is veel aan te merken op Telegram, maar dit is gewoon onjuist.

Laat maar eens zien waar dat onjuist is dan.

Group Chats? Niet encrypted. Secret Chats? Jawel, dat dan desnoods wel, maar dan heb je weer geen sync-across-devices. Metadataverzameling? Ja, doen ze. Twijfelachtige Rus? Mwah. Je bedrijf verhuizen naar de VAE omdat het daar belastingtechnisch wel leuk is is één ding, maar om nou gelijk naar zo'n beetje de meest repressieve staat ter wereld te gaan is weer een ánder uiterste..

2019, lek in de app waardoor gegevens van talloze Hongkongers zoals telefoonnummers 'ineens' toch te achterhalen was? Check!

Chathistorie wordt compleet op hun servers opgeslagen? Check! (Kun je zelf ook checken door een herinstall van Telegram en op magische wijze verschijnen al je chats behalve de Secret Chats weer.. )

(Metadata: https://www.cyberghostvpn...ands-data-to-authorities/ )

[Reactie gewijzigd door DigitalExorcist op 4 augustus 2022 11:15]

Encryptie is niet hetzelfde als end-to-end encryptie. Dat er geen E2E-encryptie toegepast word op alles behalve secret chats betekent niet dat er helemaal geen encryptie toegepast wordt

En waar blijkt uit dat ze het überhaupt encrypten?

Ok dat is wel flauw. Laat ik het anders zeggen: dat zij het zélf encrypted opslaan mag je toch wel hópen op z'n minst. Maar dan hebben ze zelf de encryptiesleutels en kan iedereen binnen Telegram, in theorie, alles gewoon meelezen.

Kijk, Facebook en Google gebruiken óók HTTPS voor hun communicatie. Dat zegt dus helemaal niks over het gebruik van die keys of de metadata of wat ook. En je kan zó'n mega-bak met metadata verzamelen dat je de échte data niet eens meer nodig hebt om te kunnen weten waar iemand het over heeft..

[Reactie gewijzigd door DigitalExorcist op 4 augustus 2022 15:37]

Het ging er mij enkel om dat jij zegt "Klopt, alles aan Telegram is gewoon puur plain text", dat is niet waar.

Dat klopt inderdaad

Telegram heeft een gesloten server. En geteste algoritmes - weet jij iets wat de rest van de wereld niet weet? MTproto is een vaag homebrew protocolletje, dat de bounty van een ton die de LLC er tegenover zet nog niet is geclaimed, zegt helemaal niets over de veiligheid ervan.

En daarom heb ik weer veel vertouwen in simplex chat.
Erg lastig om te begrijpen hoe het werkt maar eenmaal uitgezocht is het erg goed doordacht.

Meerdere ID s per chat die in de toekomst perdag of aantal berichten gaan wisselen. zodat de server wat eigenlijk meer een node is geen idee heeft wie met wie praat en wanneer.

Het is een beetje dat je voor iedere chat een ander email adress gebruikt, en dan 2per chat, 1 om berichten te sturen en 1 waar je de berichten op ontvangt.

En ander voordeel is dat je heel simpel een eigen server kan draaien waar je je berichten op ontvangt.

[Reactie gewijzigd door m1k4 op 4 augustus 2022 20:57]

hahaha ik dacht precies hetzelfde!

Uit het artikel begrijp ik dat je dan wel de f-droid versie moet gaan gebruiken omdat in de 'normale' versie van Threema nog wel de Google code zit. Dan kijkt in ieder geval Google over je schouder mee.

Nieuwe versie van Crypto AG?

more than half a century, governments all over the world trusted a single company to keep the communications of their spies, soldiers and diplomats secret.
The company, Crypto AG

Bron washingtonpost.

Vrijwel niemand die ik ken boeit het iets dat Facebook mee zou kunnen kijken. Ik kan dan wel uit gaan leggen dat ze dat niet kunnen want e2ee, maar dat maakt mijn standpunt alleen nog zwakker als ze er al niks om geven zonder e2ee meegerekend

Big pharma?

Hier hetzelfde. Het is een mooie app, maar mensen over krijgen naar wat anders is al een drama omdat Whatsapp (onbegrijpelijk) zo verstrengeld zit in onze samenleving. Laat staan betalen voor een app.

Inmiddels al circa 2 jaar over naar Signal en 99 procent (dit kun je in de stats zien) is gelukkig ook over naar Signal bij ons.

Laat staan betalen voor een app

Dit is volgens mij het probleem niet eens. Voorheen, ergens pre-FB, moest je voor Whatsapp ook gewoon betalen na je eerste gratis jaar. Hier heb ik maar weinig mensen over horen klagen; het werkte goed dus dat is prima.

Dat het nu verstrengeld zit, dat zal ongetwijfeld waar zijn.

Toen was het nog vrij nieuw dat WA en niet altijd, het betaal beleid was uhh nogal vreemd. Ik hoor verschillende redenen waarom niet; maar het kost geld en ik heb geen zin in nog meer apps zijn toch wel die ik het meest hoor. Ik vind het fantastisch werken en ze komen met native multi device support dus komt ook windows/mac versie.

Ik hoor eerder dat ze "toch niet iedereen over krijgen" en het daardoor niet eens proberen

moest je voor Whatsapp ook gewoon betalen na je eerste gratis jaar.

Ik heb zelf nog nooit betaald voor WA. Je kon het gewoon blijven gebruiken. Ze hadden je liever als gratis gebruiker dan geen gebruiker.
Op een iPhone koste de app toen eenmalig 1 dollar, voor een levenslange licentie.

Ook op iPhone nog nooit voor Whatsapp betaald hoor. En ik ga al mee sinds de iPhone 4….

Geen idee betreft de exacte jaartallen maar de app koste 0.89 EUR in de Apple Appstore, daar kon je dus niet omheen.
Zie bijvoorbeeld dit artikel waar ze er juist overstappen naar een jaarlijkse fee. (2013)
nieuws: WhatsApp voor iOS gaat nieuwe gebruikers elk jaar 89 cent kosten

Ga zelf al mee sinds iPhone 3, dus wellicht was het voor de iPhone 4.

[Reactie gewijzigd door Christoxz op 4 augustus 2022 07:34]

Dat zou kunnen, ik heb er nooit 1 cent voor betaald in elk geval. Ja, met m'n privacy wel nu het Facebook is natuurlijk.. maar geen geld rechtstreeks overgemaakt.

[Reactie gewijzigd door DigitalExorcist op 4 augustus 2022 08:19]

Ja, het probleem zit ‘m toch in het moeten betalen.
Wij vinden dat prima, maar overtuig ‘iedereen’ daar maar eens van, dat blijft lastig.

Ik wil het zelfs voor iedereen die ik ken betalen, maar dan nog willen ze niet. Het betalen is echt niet het probleem.

Wat wél? Geen idee. Wat de boer niet kent ofzo.

Ja. Het is altijd lastig tot wel onmogelijk om je mensen over te halen naar een ander netwerk. Heb ooit bijvoorbeeld het geprobeerd om mensen van Discord naar Guilded over te halen. Voor maanden lang. Het werkt gewoon niet. Mensen blijven waar mensen zijn. En dat is heel logisch. Het enige wat voor een verschuiving kan zorgen is als de eigenaar van het netwerk het verkloot (zoals Microsoft met Skype). Of als ze gebrek aan visie hebben (TeamSpeak, Ventrilo). Andere optie is als een overheid zou eisen dat de grootste netwerken hun netwerk moeten openstellen voor 3rd party clients. Maar dat gaat nooit gebeuren.

Guilded kende ik nog niet, ziet er inderdaad beter uit dan Discord!

Je kan er iets meer mee ja. Maar stop er geen moeite in. Het blijft een leuk concept.

Ja, er blijft soms teveel keus hoor.
WhatsApp, Telegram, Signal, Threema, Teams, Discord, Guilded dan dus en een miljoen meer. Allemaal een eigen login/aanmelding, vaak een eigen app natuurlijk die eigenlijk wel min of meer verplicht is om te gaan gebruiken…
Op het werk doen we zoveel mogelijk met 3CX, dan hebben we telefonie, facebook messenger, sms en WhatsApp op 1 plek, maar dat is B2C natuurlijk.
Ik doe heel veel vrijwilligerswerk en er zijn zaken waarvoor Discord of Guilded echt perfect zou zijn om dingen te bespreken en organiseren. Maar je krijgt mensen er niet. Het blijft vaak bij 1 WhatsApp-groep waar je binnen 5 minuten compleet de draad kwijt bent… en een website met een forum of community-website moet je al helemaal niet meer mee aankomen tegenwoordig.
Ja, er zijn genoeg fora maar daar zitten toch vooral de iets meer computer-minded mensen op en ook een bepaalde leeftijdsgroep. Meeste mensen komen niet verder dan een WhatsApp-groep….

Mensen blijven waar mensen zijn.

Mensen zijn inderdaad kuddedieren. Maar dat wil niet zeggen dat verandering niet mogelijk is. Het ligt ook aan de mentaliteit en waardes van de userbase. De open source community ging in een heartbeat over op Libera. Een switch is zo gemaakt. Helemaal met chat waar alles ephemeral is.

https://developers.slashd...cts-switch-to-libera-chat

De opensource community denkt totaal anders dan de gewone consument. Daarom doen ze mee aan opensource. De gemiddelde opensource dev uitleggen waarom een ander network superieur is, is een stuk simpeler dan je oma.

Volgens mij snapt iedereen open standaarden (stopcontacten die overal in Nederland hetzelfde zijn) en vrije keus (elk apparaat mag/kan je aansluiten). WhatsApp/Apple is een speciale stekker die alleen past op hun stopcontact. Dat beperkt keuzevrijheid en gemak. Nou is Signal helaas geen open standaard, dat zou Element zijn. Maar goed, Signal heeft de upper hand nu qua momentum. Laten we die weg van minste weerstand dan maar kiezen. Altijd beter dan totaal gesloten oplossingen. Dat snapt gewoon iedereen.

De grootste hobbel, net zoals met zoveel dingen is groepsgedrag. Ik heb gelukkig 90% van mijn contacten op Signal gekregen.

[Reactie gewijzigd door UPPERKEES op 4 augustus 2022 08:34]

WhatsApp is een speciale stekker die enkel op hun eigen stopcontact past. Dat klopt. Maar dat is totaal geen probleem wanneer iedereen dat speciale stopcontact heeft.

Het is veel lastiger om iedereen die jij kent met een WatsApp stopcontact over te halen ook een Threema stopcontact aan te leggen (helemaal wanneer iemand anders ook al probeert om ze ook een Signal stopcontact aan te laten leggen). Want on het WhatsApp stopcontact vaarwel te kunnen zeggen moeten ze eerst al hún contacten op WhatsApp zover zien te krijgen om over te stappen. Dat zien ze niet zitten en ze zien ook niet al hun contacten overstappen.
Dus wanneer jij van hen verlangt om speciaal een tweede berichten-app te installeren voor hún berichten, verlangen zij dat jij WhatsApp laat staan voor hun eigen berichten.

En dat is waarom we een open standaard moeten hebben voor dit, zoals het Internet bedoelt is. Jij kan Outlook gebruiken, ik kan Gmail gebruiken, maakt niet uit. Dit zou eigenlijk de toekomst moeten zijn: https://matrix.org/

Idd ik probeer ook al jaren mensen aan te sporen tot het gebruik van threma maar helaas pas enkele zijn (half) overgestapt.

Maar dit is ook precies het probleem. Er zijn zoveel verschillende clients die het beter zeggen te doen, en je kreeg een tijdje geleden zoveel berichten van iedereen dat je over moest stappen op x of op y, dat bijna iedereen maar gewoon lekker bij WhatsApp is gebleven.

Pas als een van deze clients een groter marktaandeel heeft dan WhatsApp en die mensen ook allemaal WhatsApp écht verwijderen krijg je een situatie waarin een natuurlijke overgang plaatsvindt, tot die tijd blijft het een gevecht dat altijd neerkomt op mensen die toch maar gewoon WhatsApp blijven gebruiken.

Wat niet in het artikel staat is dat het alleen exclusief via F-Droid verkrijgbaar is én je er specifiek een Threema Store gekochte licentie sleutel voor nodig hebt.

Voor zover ik het lees is de via Google Play store gekochte versie niet voldoende.

"Threema Libre is available exclusively via F-Droid (and requires a Threema Shop license)."

Je kan hem in Google play kopen, en je bent klaar. Je kan ook een licentie kopen via threema.ch en die gebruiken. Als je betaalt via een prepaid creditcard is dat wat lastiger te koppelen aan een persoon.

Libre kan je niet in de Google play kopen. Dus je hebt geen code/licentie wanneer je de app installeert vanaf F-Droid.

Klopt, die moet je dus los aanschaffen via https://shop.threema.ch/

Met dien verstande, dat deze server onder Zwitsers recht valt, en niet onder die van de US, en je voor Threema geen telefoonnummer hoeft af te geven!

• I.p.v. telefoon nummer app kopen. Dus te koppelen aan een credit card ( En anders aan de credit card van je contacten. )
• Geen Verlopende berichten. Volgens de ontwikkelaars is dit niet betrouwbaar. I.v.m. screenshots / Aangepaste app. Domme reden want als je de ontvanger niet vertrouwd hoef je ook geen e2e of elkaar te verifiëren.
• Zwitsers recht?
  or more than half a century, governments all over the world trusted a single company to keep the communications of their spies, soldiers and diplomats secret.
  The company, Crypto AG
  Bron

Ik neem aan dat dit artikel over de Android versie gaat en dat in de iOS versie sowieso geen Google code zit? :-)