Discord introduceert biometrisch inloggen en versleutelde gesprekken

Discord brengt twee nieuwe beveiligingsfuncties uit voor de communicatiedienst. Zo krijgt de app passkeyintegratie voor biometrisch inloggen en end-to-end versleutelde audio- en videogesprekken voor de desktop- en smartphoneclient.

Gebruikers kunnen na het updaten van zowel de pc- als smartphoneversie van Discord een passkey registreren om vervolgens een biometrische inlogmethode te kunnen gebruiken, aldus het bedrijf achter de chatdienst. Via een gekoppelde smartphone kan bijvoorbeeld FaceID of de vingerafdrukscanner gebruikt worden om in te loggen. Discord legt op deze supportpagina uit hoe de nieuwe vorm van tweetrapsauthenticatie ingesteld kan worden.

Verder brengt Discord end-to-endversleuteling van audio- en videogesprekken uit. Het gaat om een encryptiemodel dat gedeeltelijk opensource is en de koosnaam DAVE voor het onderliggende protocol heeft. De chatdienst migreert automatisch alle gesprekken, waaronder dm's, groepsgesprekken en spraakoproepen, naar het nieuwe systeem. Gebruikers kunnen tijdens een versleuteld gesprek controleren wie er nog meer aan het gesprek deelnemen. De functie is automatisch ingeschakeld en werkt vooralsnog alleen voor de desktop- en smartphoneapp. Later moet ondersteuning voor andere Discord-clients uitkomen, waaronder de web- en consoleversie.

Vooralsnog werkt de end-to-endversleuteling alleen voor audio- en videogesprekken, dus niet voor gewone tekstberichten. Het is niet duidelijk of de laatstgenoemde communicatievorm ook ooit van end-to-endversleuteling voorzien gaat worden.

Bron: Discord

Reacties (20)

[The Zep Man]

De functie is automatisch ingeschakeld en werkt vooralsnog alleen voor de desktop- en smartphoneapp. Later moet ondersteuning voor andere Discord-clients uitkomen, waaronder de web- en consoleversie.

Het lijkt erop dat Discord stuurt op verplicht gebruik van E2EE. Dit helpt Discord omdat de verwachtingen over hoe Discord modereert anders worden als alle communicatie E2EE is.

Data is a toxic asset, indeed.

[Reactie gewijzigd door The Zep Man op 18 september 2024 14:43]

[Creesch]

Dat is ook waar ik gelijk aan moest denken. Door standaard E2E encryptie toe te passen kunnen ze claimen geen inzicht te hebben in de gesprekken en streams waardoor ze ook niet kunnen modereren.

Uiteraard kost het een flinke inspanning om E2E encryptie goed toe te passen. Maar dat is voornamelijk een eenmalige inspanning waarbij het monitoren van live gesprekken en video streams een hoop meer voeten in de aarde zal hebben qua monitoring en er op acteren.

[Dafader]

we zien wat er onlangs met de ceo van telegram gebeurt is. Rare zet in mijn mening als wat jullie zeggen de insteek is.

[The Zep Man]

Is dat zo raar? Waarom denk je dat WhatsApp E2EE omarmde en nooit meer heeft losgelaten, ondanks dat het wordt aangeboden door een organisatie die bekend staat om diens datahonger?

Je wilt als commercieel bedrijf geen (privé)gesprekken modereren. Modereren kost geld. Verder kan je je afvragen of dat überhaupt humaan gedaan kan worden, gezien waar men soms mee geconfronteerd wordt. Complexe dataverwerking ("AI") is te beperkt. Wet- en regelgeving kan alsnog afdwingen dat een mens ernaar moet kijken.

Bij Telegram is E2EE optioneel. Als je dan verzoeken vanuit overheden naast je neer gaat leggen omdat je wel inzicht hebt in de data maar besluit om er niets mee te doen, dan zal je daarvan ook de gevolgen dragen als je besluit om naar landen te reizen waar je eerder "nee" aan verkocht.

[Reactie gewijzigd door The Zep Man op 18 september 2024 15:10]

[Creesch]

Ik kan het natuurlijk mis hebben, maar ik kan me anders niet zo heel goed voorstellen waarom ze het zo doen. Zeker niet na 10 jaar geen E2E encryptie en dan alleen voor audio en video.

Overigens is Telegram verre van de enige app die encryptie aanbiedt in communicatie. Een verschil dat juridisch wellicht belangrijk is dat encryptie bij Telegram optioneel is. Van wat ik heb meegekregen is dat het bij Telegram specifiek ging over modereren. Dit kan dus ook specifiek zijn gegaan over het gedeelte Telegram verkeer waar geen E2E encryptie wordt toegepast.

[The Zep Man]

Overigens is Telegram verre van de enige app die encryptie aanbiedt in communicatie. Een verschil dat juridisch wellicht belangrijk is dat encryptie bij Telegram optioneel is.

Encryptie is verplicht. E2EE is optioneel.

Van wat ik heb meegekregen is dat het bij Telegram specifiek ging over modereren. Dit kan dus ook specifiek zijn gegaan over het gedeelte Telegram verkeer waar geen E2E encryptie wordt toegepast.

Daar ging het over. Met afgedwongen E2EE kan je niet van buitenaf modereren.

[Reactie gewijzigd door The Zep Man op 18 september 2024 15:13]

[kuurtjes]

Goed zo. Ik heb ooit eens een technische writeup gelezen over hoe audio gesprekken aangepast werden op de server, terwijl Discord claimde dat ze "encrypted" waren en puur doorgestuurd werden. Dat was natuurlijk alleen van client naar server en omgekeerd.

[Seth_Chaos]

Er zijn een hoop diensten waar ik dit graag in terug zou zien. Maar het game chat tooltje dat ik gebruik was niet meteen de eerste dienst waar ik aan dacht. Ik was juist opzoek naar een betere service, waar ze niet iedere dag hun te dure abbo door de strot proberen te douwen. Misschien toch weer eens een Teamspeak servertje optuigen.

[Blacklight447]

Hoewel er nog vele andere privacy problemen zijn met discord, is dit een mooie stap. Daarbuiten gelaten of Discord hiermee te vertrouwen is of niet: hoe meer grote partij zoals discord (end 2 end) encryption by default toe passen, hoe meer dit toedraagt aan het normaliseren van encryptie.

[undefined418]

Zeer blij met deze verandering, vooral het encryptie model. Hopelijk komt het ook naar text channels / DMs. Dan kunnen we lekker bezig blijven met het archieveren van nederlands gesproken verloren media. Hehehe.

[Bor]

Dan kunnen we lekker bezig blijven met het archieveren van nederlands gesproken verloren media. Hehehe.

Zie hier de reden waarom bedrijven er niet om staan te springen om dit soort zaken te gaan implementeren en er een lobby tegen E2E encryptie ontstaat. De eerste reactie hier hint alweer op misbruik voor illegale content. Hiermee help je het veiliger krijgen van systemen echt niet maar voer je de tegenstanders in hun argumenten.

[The Zep Man]

Zie hier de reden waarom bedrijven er niet om staan te springen om dit soort zaken te gaan implementeren en er een lobby tegen E2E encryptie ontstaat.

De lobby tegen E2EE komt volgens mij niet echt vanuit bedrijven. Die zien zelf het nut van E2EE wel in, ook omdat het hen kan helpen doordat zij geen verantwoording over gespreksinhoud hoeven af te leggen. Lobby's tegen E2EE lijken eerder politiek gemotiveerd dan commercieel. Politiek maakt zich niet zo druk om auteursrechtenschending.

Verder lijkt het mij juist dat Discord wel staat te springen om dit te implementeren. Zoals genoemd in mijn andere reactie kan je niet verwachten dat je een gesprek modereert dat je niet kan zien. Discord is niet de enige die zo werkt. Zo heeft bijvoorbeeld VPN provider Mullvad aangetoond bij een inval dat die geen gevraagde klantdata kon overhandigen simpelweg omdat ze geen inzicht hebben in de gevraagde data.

Dit even onafhankelijk van de smakeloze reactie waar je op reageerde. Ik ben het met jou eens dat dergelijke reacties een verkeerd beeld geven/uitlokken.

[Reactie gewijzigd door The Zep Man op 18 september 2024 14:50]

[Creesch]

Fyi, ik heb een -1 gegeven op jouw reactie, net als 16 andere mensen. En een +2 op de reactie van Bor. Simpelweg omdat zijn punt heel valide is. Verder: forumtopic: Het kleine-mismoderatietopic deel XXX

[Reactie gewijzigd door Creesch op 18 september 2024 14:19]

[Dafader]

Kunnen mods zichzelf wel plussen?

[xenn99]

Discord legt op deze supportpagina uit hoe de nieuwe vorm van tweetrapsauthenticatie ingesteld kan worden.

Dit is toch geen tweetraps authenticatie? Aangezien het wachtwoord wordt vervangen door de biometrische login, niet toegevoegd.

[The Zep Man]

Dit is toch geen tweetraps authenticatie? Aangezien het wachtwoord wordt vervangen door de biometrische login, niet toegevoegd.

Je moet iets zijn (biometrie d.m.v. vingerafdruk, facial recognition, ...) en iets hebben (gekoppelde smartphone).

Ik tel twee factoren.

[Reactie gewijzigd door The Zep Man op 18 september 2024 15:30]

[xenn99]

Ik vind het een hellend vlak want beide lopen via hetzelfde kanaal (je smartphone).
Maar technisch zal je waarschijnlijk wel gelijk hebben.
Veiliger is het in ieder geval niet, je kunt beter gewoon een wachtwoord en een sms check doen.

[retc]

Hoe kan een wachtwoord veiliger zijn dan biometrisch?
Een wachtwoord kan door iedereen op iedere locatie ter wereld gebruikt worden. Zeker icm sms spoofing lijkt me het minder veilig

[Reactie gewijzigd door retc op 19 september 2024 07:44]

[xenn99]

Biometrische gegevens zijn onveranderlijk, als jouw biometrische gegevens uitlekken kan iemand anders daar ook mee inloggen.
Het grote risico van biometrisch is eigenlijk precies dezelfde als dat je hetzelfde wachtwoord op elke site gebruikt.

SMS spoofing is iets anders dan wat jij denk ik bedoelt, dat gaat namelijk over berichten waarvan de verzender nep is.
Ik neem aan dat wat jij bedoelt een MITM aanval is waarbij hackers de OTP codes direct afvangen.
Technisch is dit inderdaad mogelijk, maar dan heb je het wel over een zeer geavanceerde en persoonlijke aanval.

Beter is het gebruik van een mobiele authenticator app, ik dacht dat Discord alleen SMS ondersteunde voor MFA maar ik had verkeerd gekeken.

Maar zelfs dat is uiteindelijk geen garantie, als iemand maar graag genoeg wil zijn er altijd manieren. Geen enkele beveiliging is 100% betrouwbaar.