Oekraïne bant Telegram bij overheidsdiensten, leger en kritieke infrastructuur

Het Oekraïense coördinatiecentrum voor cybersecurity heeft Telegram verboden binnen overheidsdiensten, het leger en kritieke infrastructuren. Volgens het centrum zouden Russische inlichtingendiensten toegang hebben tot persoonlijke gegevens en gesprekken van gebruikers.

Het nationaal coördinatiecentrum schrijft in een persbericht dat Rusland Telegram gebruikt om cyberaanvallen uit te voeren, aan phishing te doen en malware te verspreiden. Het Russische leger zou ook geplande raketaanvallen via de chatdienst bijsturen. Volgens Kyrylo Budanov, het hoofd van de Oekraïense defensieve inlichtingendienst, kunnen de Russische geheime diensten ook berichten van Telegram-gebruikers inkijken, zelfs als die verwijderd zijn. Hoe Rusland dat zou doen, is niet duidelijk.

Ondanks het verbod zal Telegram nog steeds gebruikt worden als een communicatiekanaal voor de Oekraïense overheid. De communicatie wordt enkel gedaan door personen die er toelating voor hebben gekregen. Telegram wordt voor de gewone burgers dus niet verboden.

Reacties (81)

[jdh009]

Ik ben redelijk actief betrokken bij deze oorlog en beheer samen met anderen een osint frontliniekaart. Op deze kaart worden verschillende bronnen die eigen kaartmateriaal publiceren gecombineerd, waaronder pro-Oekraïense, pro-Russische en neutralere bronnen. Het doel is om de verschillen tussen deze perspectieven te analyseren en zo een beter begrip te krijgen van de 'daadwerkelijke' situatie op het slagveld. Deze kaart wordt vervolgens gebruikt door diverse middelgrote YouTube-kanalen om de ontwikkelingen in de oorlog te volgen en te rapporteren.

Een interessant aspect van dit werk is het verschil in interpretatie van gepubliceerde beelden, die vaak via officiële of gelieerde Telegram kanalen van zowel Russische als Oekraïense eenheden worden verspreid. Hierdoor zie je bijvoorbeeld hoe Russische propaganda functioneert: dorpen worden al in persberichten als veroverd geclaimd en dus ook op sommige kaarten, terwijl er tegelijkertijd beelden verschijnen die het tegendeel bewijzen (in ieder geval nog in de grayzone). Het directe contact dat wij hebben, vooral voor fundraisers via eigen middelen en via NAFO, met de eenheden gebeurt vrijwel altijd via Signal. In mijn netwerk wordt Telegram alleen gebruikt voor promotiedoeleinden, aangezien die eenheden weten dat het platform niet veilig is.

Ik ben heel benieuwd hoe dit verbod het informatiedeel richting de open-source community zal beïnvloeden. Promotiekanalen van diverse eenheden, die veelal via Telegram opereren, zouden hierdoor mogelijk beperkt kunnen worden. Of deze beperking positief is omdat ze nu niet veilig genoeg opereren, of negatief doordat ze moeten stoppen of inkomsten/aandacht mislopen is uiteindelijk de vraag. Aangezien Telegram dus vaak wordt gebruikt om beelden en updates over operaties te delen, vraag ik me af of er een verschuiving zal plaatsvinden naar andere, veiligere platforms zoals Signal of WhatsApp of meer op het (in dit opzichte onveilige) X, of dat er uitzonderingen blijven bestaan voor bepaalde promotionele activiteiten. Tegelijkertijd blijft het een uitdaging om te zien hoe dit de verspreiding van belangrijke informatie binnen de OSINT-community zal veranderen, aangezien Telegram een belangrijke bron is voor zowel Russische als Oekraïense updates

The Security Service of Ukraine (SBU) and the General Staff of the Ukrainian Armed Forces said that Telegram is actively used by Russia for cyberattacks, spreading phishing and malware, establishing user geolocation, and adjusting missile strikes against Ukrainian cities and villages.

De Oekraïense veiligheidsdienst (SBU) is zelf ook bijzonder actief op Telegram en gebruikt het platform om publieke aankondigingen te doen, waarschuwingen te verspreiden, en burgers te betrekken bij het verzamelen van inlichtingen. Burgers worden aangemoedigd om verdachte activiteiten of locaties van Russische troepen te melden via specifieke Telegram-kanalen. Gezien het hoge gebruik van Telegram in Oekraïne vraag ik me af of deze activiteiten een volledige hervorming zullen ondergaan of dat Telegram voor bepaalde doeleinden beschikbaar blijft, aangezien het platform een belangrijke rol speelt in het verzamelen van kritieke en vaak tijdgevoelige informatie.

Daarnaast maakt de SBU gebruik van bots om real-time informatie te verzamelen over Russische drone- en raketaanvallen en de bewegingen van het Russische militaire materieel. Een van deze bots, genaamd "e-vorog", werd tijdelijk geblokkeerd door Telegram, maar stelt Oekraïners in staat om de verblijfplaats van Russische troepen, artillerie en wapensystemen te rapporteren. Deze bot verschilt van de kanalen doordat hij specifiek gericht is op het verzamelen van inlichtingen via individuele meldingen. Na verificatie worden de door de bot verzamelde gegevens opgenomen in de militaire databases van Oekraïne, wat kan bijdragen aan de planning en uitvoering van operaties door de Oekraïense strijdkrachten.

Telegram wordt dus o.a. gebruikt voor:

• Publieke aankondigingen, waarschuwingen en meldingen van luchtalarmen
• Inlichtingenverzameling
• Fondsenwerving
• Real-time informatie-uitwisseling (Vanuit burger naar overheid)
• Promotie en communicatie/PR

Al met al ben ik heel benieuwd of dit advies zal leiden tot een volledig veranderde digitale omgeving voor informatieverzameling en -voorziening of dat het vooral achter de schermen effect heeft.

Note: Niets van bovenstaande is niet publiekelijk te vinden.

Aanvullende bronnen:
https://www.rferl.org/a/t...danov-durov/33127811.html
https://www.currenttime.t...at-telegram/33127753.html
https://www.facebook.com/...fMtB76muUmTfjaiiZrHQZ3tfl
https://thehackernews.com...ans-telegram-use-for.html
https://kyivindependent.c...-telegram-for-government/
https://therecord.media/t...-chatbots-used-by-ukraine

[Reactie gewijzigd door jdh009 op 22 september 2024 16:24]

[Gamebuster]

Self-hosted Signal lijkt me een veilige keuze Je kan Signal relatief makkelijk zelf hosten. De apps een ander kleurtje en wat icoontjes geven en poef, veilig communicatie-netwerk in eigen beheer.

(bron: Ervaring, ik heb voor een klant een Signal fork opgezet incl. aanpassen vd iOS/Android apps)

[Reactie gewijzigd door Gamebuster op 22 september 2024 09:49]

[Verwijderd]

Wat is hier de meerwaarde van? Het hele idee van Signal is de aanname dat alle netwerk infrastructuur tussen 2 eindpunten (inclusief de server) kwaadwillend is en dat de veiligheid enkel afhangt van de client applicatie en het apparaat waar deze op draait.

[nst6ldr]

Om te beginnen kan je de hele keten auditen in plaats van alleen de clients.

[Verwijderd]

Dan blijft mijn punt toch staan? De server code doet er niet toe. Een kwaadwillende kan de server overnemen en er compleet andere code opzetten maar de veiligheid en integriteit van jouw berichten blijft gewaarborgd. Mijn part host Facebook die server met hun eigen server implementatie.

[Ablaze]

Dan ga je ervan uit dat je eigen server minder veilig is dan die van een ander bedrijf als Signal.

Ik denk niet dat Oekraïne de servers van Signal kan auditen, dus voor een locale server zijn de risico's beter in te schatten.

[Verwijderd]

Ik ga er maar even vanuit dat je zit te geinen.

[nst6ldr]

In commerciële organisaties wel, voor overheden ligt dat anders omdat die te maken krijgen met 'nation state actors': aanvallers waarbij kosten noch moeite bespaard worden. Interne audits van overheden houden daarom rekening met zaken die (voor de gemiddelde tweaker) alle redelijkheid voorbij schieten zoals bijvoorbeeld een verplicht aantal meter ruimte tussen netwerkkabels, gefilterde stroomvoorziening en speciale isolatie in de muren om lekkage van signalen te beperken - puur omdat je als overheid kan rekenen op bizarre aanvallen waarvan je normaalgesproken alleen hoort in een labopstelling (zoals bij collega's in het verleden een keylogger die in een stopcontact zat).

In het geval van Signal valt er bijvoorbeeld best een punt te maken over metaanalyse van de data of de controle hebben over beschikbaarheid.

[Reactie gewijzigd door nst6ldr op 22 september 2024 12:00]

[Verwijderd]

Het enige relevante denkbare scenario is dat je een overheidsdienst bent van een land dat vijandig is tegenover de VS. Dan zou je je kunnen voorstellen dat de VS Amazon/Signal opdraagt de dienst te blokkeren.

Interne audits van overheden houden daarom rekening met zaken die (voor de gemiddelde tweaker) alle redelijkheid voorbij schieten zoals bijvoorbeeld een verplicht aantal meter ruimte tussen netwerkkabels, gefilterde stroomvoorziening [...]

Ik ga er voor het gemak even vanuit dat het met Amazon AWS data centra wat dat betreft wel snor zit. Maar zelfs dan, die applicatie draait gedistribueerd op een cluster. Het datacenter in Londen of Duitsland kan volledig afbranden zonder dat jij hier iets van merkt bij Signal.

[wooha]

Het punt van @nst6ldr over metaanalyse vind ik interessant.

Voorzover ik begrijp lopen tekstberichten bij Signal via servers. Ik weet niet of er bescherming is tegen het matchen van peers op basis van timing van in en uitgaande berichten. Eigenlijk hoop ik van wel.

Dan zou die matching zelfs eenvoudiger te maken zijn op een minder drukke private server dan op een veelgebruikte publieke server.

[Frame164]

In veel gevallen mag je ook alleen maar glas tussen racks hebben, geen koper. Alles om de kans op iedere vorm van afluisteren te minimaliseren (in dat geval worden dan uiteraard ook afgeschermde racks gebruikt. Dat krijg je, zoals je ook al zegt, kosten geen issue zijn voor het afluisteren of inbreken bij overheden. Bij bedrijven kijk je nog een beetje naar de waarde van de buit.

[willieverhoef]

Het gaat al snel fout als het internet niet is te vertrouwem. Het is zodra je de tussen de verbinding zit redelijk eenvoudig een MITM aanval uit te voeren. Dan kan je server nog zo veilig zijn. Maar je weet gewoon niet zeker of je wel contract heb met de juiste, of met de tussenlaag.

[Gamebuster]

Misschien kan je het uitbreiden met extra authenticatie o.b.v. overheid ID o.i.d. zodat phishing een stuk moeilijker wordt. En je hebt natuurlijk de hele keten in eigen beheer ipv bij een buitenlands bedrijf, wat me vrij cruciaal lijkt in een oorlog.

Deze communicatie is van levensbelang. Dat wil je niet aan de andere kant van de planeet hosten.

[Reactie gewijzigd door Gamebuster op 22 september 2024 10:25]

[Verwijderd]

Het in beheer hebben van de server kant is eigenlijk alleen belangrijk voor de beschikbaarheid van de service. Het ergste wat er kan gebeuren is dat je berichten niet afgeleverd kunnen worden. Voor overheidsdiensten en het leger is dat bijzonder relevant natuurlijk. Maar ik neem even aan dat jouw klant geen overheidsdienst is?

Dat wil je niet aan de andere kant van de planeet hosten.

Gelukkig staan er tientallen datacenters van AWS over de hele planeet. Ik denk niet dat je met je eigen oplossing op kunt tegen de beschikbaarheid van een AWS cluster.

[Gamebuster]

Maar ik neem even aan dat jouw klant geen overheidsdienst is?

Klant wilde het verkopen aan overheden

Gelukkig staan er tientallen datacenters van AWS over de hele planeet.

tientallen maar? Ik snap je punt, ik bedoel vooral dan dat je het dus niet in handen wil hebben bij een bedrijf aan de andere kant van de planeet, ook al staan hun servers naast je. Misschien ook wel? Geen idee. Ik zou in ieder geval niet 100% van AWS afhankelijk willen zijn als Oekraine. Straks heeft iemand weer een slechte dag en bedenken ze zich dat AWS niet gebruikt mag worden voor oorlogen, of heeft iemand iets tegen Oekraine en worden ze geblokkeerd zoals dit ook eerder gebeurde met Starlink. En ja, Starlink is geen Amazon, maar het is duidelijk dat je bij AWS volledig afhankelijk bent van de Amerikaanse politiek en de politieke voorkeuren van de significante personen.

[Reactie gewijzigd door Gamebuster op 22 september 2024 12:17]

[svenk91]

Als signal offline is, dat dan niet je leger zonder communicatiemiddel zit.

Voor de gemiddelde burger die dit voor chats met vrienden en familie gebruikt is een eigen server geen must. Voor ‘overheidsdiensten, leger en kritische infrastructuur’, waar dit artikel over gaat, kan ik mij wel voorstellen dat je iets in eigen beheer hebt (al is het enkel als fallback). Ook voor kritische processen bij bedrijven.

[Verwijderd]

Ja dat begrijp ik. Maar mijn reactie was op iemand die het zelf host voor "een klant" waarvan ik even aanneem dat die geen overheidsdienst is. Dan zie ik zo even snel het voordeel niet. Ook niet wat betreft de beschikbaarheid aangezien het niet veel beter wordt dan een gedistribueerde applicatie op een AWS cluster, verspreid over vele datacenters wereldwijd.

[Gamebuster]

Dat was het dus wel Het was bedoeld voor overheden

[lenwar]

De toegevoegde waarde is het adresboek.

De primaire uitdaging van vertrouwelijk communiceren op het internet is dat je identiteit moet garanderen zonder dat je elkaar ooit hebt hoeven ontmoeten.

Daar zijn systemen voor natuurlijk, maar die vereisen wel dat er ergens ‘vertrouwde’ zaken zijn.

Wij kennen elkaar niet. Als wij met elkaar willen communiceren, en dat wij 200% zeker willen zijn dat wij, wij, zijn zonder dat wij elkaar per se van te voren ontmoeten is dat gedoe.

Als wij eenmaal gegevens hebben uitgewisseld, dan maakt het allemaal niet meer uit inderdaad.

[slijkie]

Self-hosted Threema lijkt mij in hun situatie nog beter. Bij signal heb je nog steeds een twello gateway nodig voor sms, en nummers. Die nummers kan je makkelijk linken aan mensen (targets/doelwitten).

Threema krijgt elke gebruiker een ID, zoals vroeger met BBM, die je tevens kan resetten. Hogere anoniemiteit en beter voor mensen die als ‘doelwitten’ gemarkeerd kunnen worden.

[kaaas]

Je hebt tegenwoordig geen nr meer nodig voor signal. https://support.signal.or...ber-Privacy-and-Usernames

Mijn excuses zie de berichten hierna je hebt wel een nr nodig

[Reactie gewijzigd door kaaas op 22 september 2024 12:36]

[fenrirs]

Helaas heb je wel een nummer nodig. Heel onhandig voor server messaging. De server hangt nu als secondary device aan een telefoon, maar dat is niet ideaal.

We hebben ook matrix geprobeerd, maar dat kregen we ook niet stabiel.

[scholtnp]

Wat bedoel je met niet stabiel? Ik heb een eigen Matrix server draaien voor familie en vrienden sinds 2017, vrijwel zonder problemen. En met Synapse uit de Debian repositories heb ik geen problemen gezien.
Verdere details: ik had gelijk voor PostgreSQL als database gekozen en ook de grootte van bestanden wat gelimiteerd (gebruik Nextcloud voor gigabyte foto's en video's). Vergeet geen UPS, ook in Nederland valt soms eventjes de stroom uit. En ik gebruik geen container o.i.d. zodat de database echt failsafe naar de SSD schrijft.

[lenwar]

Het feit dat jij het stabiel hebt voor vrienden en familie, wil niet zeggen dat hij het stabiel krijgt voor zijn usecase.

Stel dat de EU een EU-Matrix server wil voor alle Europese ambtenaren. Dat zijn honderdduizenden gebruikers. Dat is compleet wat anders dan ‘vrienden en familie’.
Ik bedoel het niet lullig hè? Het is gewoon anders.

Als hij een usecase heeft voor een bedrijf met 2000 gebruikers en systemen is dat ook een andere usecase.

[scholtnp]

Dat snap ik. Daarom stel ik ook een vraag. Want het "waarom" dat voor hem niet stabiel is, kan ook voor mij interessante informatie zijn.
Verder is er ook een kanaal om vragen te stellen over de set-up: https://matrix.to/#/#synapse:matrix.org

[watabstract]

Jawel hoor.

https://support.signal.or...ame_phone_number_required

[lenwar]

Of SMS met een versleutelingslaag. (Dus dat de gebruikte app de boel versleuteld, maar dat het bericht zelf over SMS gaat.) Heeft natuurlijk wat beperkingen, maar is ook een optie.

[GertMenkel]

Oude telecomstandaarden (lees: 3G en ouder) zitten vol met ontwerpfouten danwel kwetsbaarheden danwel backdoors. Zelfs versleutelde SMS zou ik niet veilig achten voor militaire informatie. Iedereen met genoeg geld of invloed op een telecombedrijf (niet eens dat van een doelwit) kan sms'jes onderscheppen, telefoontjes omsturen, enzovoorts, allemaal dankzij de nasleep van SS7.

Aftappen moet met versleuteling geen probleem zijn maar selectief berichten wel of niet doorlaten vanaf de huiskamer aan de andere kant van de wereld is me een risico te groot.

[Superstoned]

Inderdaad dat zou een optie zijn. En Matrix bijv kan ook. Er zijn heel veel betere oplossingen dan Telegram wat ontzettend onveilig is en volledig door tenminste een (Rusland) maar waarschijnlijk meerdere (Frankrijk, China) overheden ingezien kan worden.

[segil]

heb je daar bewijs voor? De eigenaar is o.a. opgepakt omdat hij opsporingsinstanties geen toegang wilt geven tot z'n platform.

[De Vliegmieren]

Dat is denk ik meteen ook z'n punt. Eigenaar opgepakt, en als er daadwerkelijk risico op celstraf is dan maakt dat hem chantabel om bijv. te onderhandelen voor toegang.

[wooha]

Dat is inderdaad een gevolg van de onveiligheid, maar de bewering dat het volledig ingezien kan worden gaat verder dan dat. Er wordt specifiek naar drie landen verwezen waarbij er bij één een zekerheid wordt genoemd en bij twee een waarschijnlijkheid. Blijkbaar wordt kan niet hypothetisch bedoeld, maar als iets dat in de praktijk gebeurt of is gebeurd.

Een bewijs dat het daadwerkelijk gebeurt wordt niet gegeven. Ik ben daar ook benieuwd naar want het zou de beweringen van Durov/Telegram en het vertrouwen dat in hem gesteld wordt ondergraven.

Hoe dan ook zie ik geen reden om dat vertrouwen te geven als Telegram de moeite niet neemt om E2EE naar het niveau te brengen van andere chats. Tenzij ik geen alternatief zou hebben en dan zou ik voorzichtiger zijn met erg gevoelige informatie.

[De Vliegmieren]

Zonder kennis van wat er tussen Durov en de Franse autoriteiren over en weer speelt, denk ik dat wij buitenstaanders niet veel meer kunnen doen anders dan kijken of de Franse overheid de druk hoog houdt, of dat ze plots Durov laten gaan of met een aanklacht komen die geen stand gaat houden.

[GertMenkel]

Tenzij je secret chats gebruikt, zijn berichten op Telegram gewoon op de servers te lezen. Telegram weigert mee te werken met opsporingsdiensten, maar als er een overheid is die toegang heeft tot de servers, zijn bijna alle Telegramberichten in te lezen.

Dat is het verschil tussen Telegram en Signal: de één is veilig vanwege goede versleuteling, de ander is veilig omdat het bedrijf de politie negeert. Dat laatste werkt natuurlijk prima totdat de eerste arrestaties vallen.

Er zijn nog geen kwetsbaarheden gevonden in het moderne messagingalgoritme voor secret chats voor zover ik weet, maar heel MTProto zit cryptografisch wat raar in elkaar vergeleken met andere messenger. Ik heb professionals het horen beschrijven als "alsof iedere stap van de weg het wiel opnieuw is uitgevonden"; wel veilig na de nodige wijzigingen en patches, maar raar dat het ooit op die manier is aangepakt.

[The Zep Man]

heb je daar bewijs voor? De eigenaar

"Eigenaar"? Je bedoelt single point of failure.

Matrix is beter. Decentraal en gefederaliseerd, zonder een enkele eigenaar. Serveradmins kunnen natuurlijk ook beperken met welke andere servers federatieve communicatie mogelijk is. Daarnaast wordt E2EE ondersteund.

[Reactie gewijzigd door The Zep Man op 23 september 2024 09:05]

[Matthijs8]

Citaat uit het gelinkte persbericht van het artikel:

The Chief of the Defence Intelligence of Ukraine Kyrylo Budanov provided substantiated evidence that russian special services have access to personal correspondence of Telegram users, even deleted messages, as well as their personal data.

[Mic2000]

Vooral een ander kleurtje en wat icoontje's maken het veilig

[sovereignthrone]

Ja, Russen durven niet op roze of regenboog icoontjes te klikken

[snsgn]

Het nut hiervan kan bijvoorbeeld zijn om de app niet op te laten vallen op de telefoon van journalisten die in landen reizen met strenge regimes, waar je telefoon geconfisqueerd kan worden bij een controle door politie of aan de grens. Een app verborgen maken lijkt misschien slimmer, maar wanneer je gedwongen wordt om dit gedeelte te ontgrendelen, dan heeft dat geen zin. Dan is het wellicht slimmer om een app met de naam Calculator te hebben, die eigenlijk een chat-app betreft.

[mysterion1989]

@Gamebuster heb je ook toevallig links naar die fork en documantie toevallig ?

[Gamebuster]

Nee, dat is niet aan mij om te delen

[mysterion1989]

lol

[Gamebuster]

Waarom is dat grappig?

[m_snel]

Inderdaad het zou niet echt professioneel zijn, als je specifiek iets regelt en dan dat even deelt.

[Gamebuster]

Oh zo, ja dat klopt. Ik heb ook geen toegang meer, het is al even terug, ik ben er niet meer bij betrokken.

[wildhagen]

Lijkt me zeer begrijpelijk en logisch, als je weet dat je vijand het platform tegen je gebruikt moet je dat niet gaan faciliteren door ze (potentiele) informatie te leveren.

Koppel dat aan het feit dat Telegram standaard niet eens een end-to-end encryptie gebruikt, en het verbaast me dat men dit nu pas invoert, en dat dit niet meteen na de start van de oorlog al is gebeurd. Ook toen was immers al bekend dat Telegram op zijn minst niet onwelwillend tegenover Rusland stond.

Vraag is alleen, wat gaat men als alternatief gebruiken? WhatsApp, Signal, of toch een eigen systeem ontwerpen en bouwen?

[Murk]

Zelfs zonder inhoud van de berichten, kan de hoeveelheid berichtverkeer tussen bepaalde personen (naam & mobiel nummer; informatiedienst van een vijand kan wellicht m.b.v. andere bronnen herleiden welke er militaire posities bekleden) of groepen van waarde zijn om daar patronen (dan wel afwijkingen) in te herkennen. Dus het lijkt me volkomen logisch dat ze hier vanaf stappen.

[AibohphobiA BoB]

Koppel dat aan het feit dat Telegram niet eens een end-to-end encryptie gebruikt,

Dat is geen 'feit', dat is onzin. Je kunt het gewoon aanzetten en dan heb je E2EE.

[wildhagen]

Dat is alleen waar voor 1-op-1 chat, en niet voor groupschats (waar dus ook gevoelige informatie via verspreid kan worden):

If you want true end-to-end encryption on Telegram, you have to manually enable a feature called Secret Chats. This feature is only available for one-on-one conversations, not for group chats.

ZIe https://www.protectstar.com/en/blog/telegram-encryption

En ja, je kan het aanzetten voor 1-op-1 chats. Echter, jij weet net zo goed als ik dat veel mensen dat niet zullen weten en dus niet zullen aanzetten.

Dit is een zeer ernstige design flaw in Telegram, en in oorlogsgebied maakt dat het tot een enorm risico.

En hiermee is de security van Telegram als platform ondermaats als je het vergelijkt met alternatieven als WhatsApp, Signal etc, waar end-to-end encryptie standaard aan staat. Zeker in combinatie met het feit dat Telegram niet onwelwillend staat tegenover Rusland, en het platform dus door hen gebruikt wordt.

[Reactie gewijzigd door wildhagen op 22 september 2024 10:08]

[Guru Evi]

Maar als je in een groep zit moet je toch zowiezo je sleutels voor het kanaal delen met anderen, eenmaal je genoeg mensen (~3-5) hebt is er een grote kans dat iemand (dom genoeg of systeem gecompromitteerd) zal meewerken met de overheid, eenmaal je tientallen of honderden mensen hebt kun je verwachten dat er meerdere instellingen meeluisteren.

De ontwikkelaar(s) achter Signal zijn nog niet vervolgd geweest in het Westen, dus de vraag is wie/wat/waar meegewerkt wordt als ze ideologisch aangelegd zijn om de regering te volgen.

[Reactie gewijzigd door Guru Evi op 23 september 2024 03:48]

[wooha]

Je viel zo te lezen over het ontbreken van het woord “standaard” in zijn eerste post.

Het blijft onzin wat je in je eerste post vertelde

Dat maakt deze uitspraak ook onzin. Je vergeet te kwalificeren welk deel onzin was.

Prima dat je er op wil wijzen dat er beperkte mogelijkheden zijn voor E2EE, maar vergeet dan zelf niet op “beperkt” te wijzen en zeg zeker niet dat je precies hetzelfde zei nadat die omissie benoemd wordt.

[Coolstart]

Telegram staat nu niet bekend als veilig. Ik begrijp echt niet Ukraine dit nu pas doet. Dat is toch het eerste waar je met start? Veilige communicatie.

Er zijn ondertussen zoveel mogelijkheden om in no time zelf een veilige chat app te bouwen dat er geen excuus is.

[bantoo]

Zelfbouw is altijd onveilig. Veel succes met je super duper pro elite software als vervolgens je backend aangevallen wordt.

[Coolstart]

Zucht. Wat is dat nu voor iets. Op basis van welke ervaring spreek je? Ik hen al op meerdere projecten gewerkt in de medische sector waar ze versleutelde verbindingen hebben opgezet zonder gebruik te maken van diensten zoals whatsapp omdat die niet te controleren vallen. Dat was inclusief firewall, pentesting enz.

Ik neem aan dat de budgetten tijdens een oorlog 1000x hoger zijn en de nood om veilig te communiceren zonder dat de vijand ook hoger is.

Dus wat jij claimed lijkt mij buikgevoel en niet gebaseerd
op wat technisch mogelijk is deze tijden. Ik zie niet in waarom je een server niet zou kunnen beveiligen. Of dat nu uw eigen server is op een geheime locatie of een gehuurde server in een datacenter.

[lenwar]

Ik hen al op meerdere projecten gewerkt in de medische sector waar ze versleutelde……

Maar was dat “zelfbouw” (eigen code) of gewoon een aangekocht commercieel product dat geïmplementeerd is?
Daar zit natuurlijk een groot verschil in.

[Coolstart]

Tja, wie gaat er nu nog zijn eigen chat server van de grond op programmeren als er frameworks zijn die dat voor u kunnen? Als je met zelfbouw bedoelt dat je geen basis gebruikt en met low level code zelf een encryptieproptocol gaat bouwen. Beetje logisch niet?

Gewoon libsignal, daar zit Double Ratchet Algorithm, Prekeys, Curve25519, AES-256, HMAC, X3DH al ingebakken. Ze kunnnen ook Signal server draaien en hun eigen Signaml app opzetten. 100% secure.

Wat is er vandaag de dag dan nog zelfbouw?

[wooha]

Dat maakt het een stuk duidelijker en zet de alarmbellen uit. Ik hoopte al op zoiets gezien de sector.

Overigens kan ik niet zo snel een betere term bedenken voor deze situatie. Misschien zijn er altijd een paar woorden nodig om dit te beschrijven.

“Implementatie” is ook zo’n overloaded term trouwens. En nog wel meer.

Als je een criterium zoekt voor zelfbouw dan denk ik dat in ieder geval de domeinspecifieke functionaliteit zelf ontwikkeld moet zijn. Anders bouw je het ergens op of in.

[wooha]

Bij zelfbouw moet je van alles doen wat bij een bestaande oplossing al is gedaan. Daarom loop je bij zelfbouw grotere risico’s dan bij een passende bestaande oplossing die al kwalitatief beoordeeld is en zich bewezen heeft. Dat is zeker qua security algemeen geaccepteerd, vanwege de complexiteit, en ik verwacht dat je dat net zo ziet, gezien de sector waarover je schrijft.

Jullie zullen bijvoorbeeld niet een zelfgebouwd encryptie algoritme gebruiken. Dat valt dan onder de “tegenwoordige mogelijkheden“ die je noemt.

Er blijft natuurlijk een risico dat je een niet passende bestaande oplossing kiest. Overbodige functionaliteit geeft bijvoorbeeld weer onnodige extra risico’s.

Ook ontstaan er onvermijdelijk risico’s bij de integratie van de bestaande oplossing in een groter systeem.

Pasten er geen bestaande oplossingen in de door jou genoemde situatie? Was er een omliggend systeem dat een groot deel van de risico’s al afdekte? Was de functionaliteit beperkt?

Je hoeft natuurlijk niet te antwoorden en mag dat misschien niet eens, maar ik begrijp dat er alarmbellen afgaan bij de combinatie van zelfbouw en security. Daar hoort tegenwoordig een goede motivatie bij.

En ik ken persoonlijk de neiging om iets zelf te willen bouwen omdat het wel te doen lijkt.

[m_snel]

Uw reactie komt niet echt professioneel over als je over een medische dienst begint en in dezelfde zin Whatsapp gebruikt.

Geen idee waarom u opeens veel medestanders krijgt.

[kodak]

Je kan niet zowel stellen dat software zelf maken onveilig is terwijl een ander het net zo goed zelf maakt.

Je kan wel stellen dat je het niet zomaar veiliger maakt dan een ander, maar dat gaat net zo goed ook omgekeerd op. Daarbij is het probleem dat het vaak compleet onduidelijk is wat anderen presies doen en nalaten, zoals bij Telegram en tal van andere software en online diensten. Dus nee dan zijn eigen middelen niet zomaar onveilig.

Een belangrijk probleem is dat verantwoordelijken te makkelijk maar hopen dat andermans middelen acceptabel risico vormen. Gebruiken omdat het kan, gebruik met de illusie dat het waardevoller is, lijken belangrijker te zijn dan zekerheid over betrouwbaarheid en risico's. Dat is zelfs in gewone omstandigheden al jaren niet zomaar acceptabel. Dus kan er terecht afgevraagd worden waarom je dan in de risicovolle omstandigheden zelfs nu pas gaat verbieden.

[TWeaKLeGeND]

Eng he Internet? 😂

Maar nee, zo werkt het dus totaal niet.

[Arjan P]

@JayStout In de titel: Oekraïne bant Telegram bij overheidsdiensten
In het artikel: Ondanks het verbod zal Telegram nog steeds gebruikt worden als een communicatiekanaal voor de Oekraïense overheid.
Welke van de twee klopt?

[ErikT738]

Het kan allebei natuurlijk. Het gaat in de ban voor overheid naar overheid maar blijft in gebruik voor burger naar overheid (bijvoorbeeld).

[FrostyPeet]

Dat je als overheid of leger dichtgetimmerde hard- en software verplicht stelt lijkt mij nuttig.

Echter, mensen willen kletsen met anderen via hun favoriete app, dan is een eigen smartphone snel te gebruiken om de laatste roddels en kattenfoto's te delen.

Het rotte van smartphones is dat ze perfecte bakens zijn om op te mikken, en krijg je er eentje in handen van een dode dan is het een bron van informatie (immers een vingerafdruk of face id is snel gemaakt). Maar niemand laat ze thuis liggen want ze willen contact houden met hun naasten. Als straks de "celltowers in space" beschikbaar komen kun je mensen helemaal niet meer stoppen om te communiceren.

[STV]

Wow! Het wordt nu pas verboden? Bizar.

Rusland heeft ooit meerdere messagingapps verboden omdat ze weigerden informatie te delen. Telegram werd initieel verboden maar mocht daarna OPEENS weer wel. Signal blijft verboden. Wat gebeurt hier.

[krosis]

WhatsApp werkt ook nog gewoon in Rusland

[Sjr03p]

Vreemd verhaal !!! Immers, als Telegram zó onveilig is:

- Waarom is Oekraïne dan zó lang doorgegaan met het gebruik ervan??? 'Vreemde' en 'vijandige' communicatieplatforms is toch het eerste wat je als land blokkeert!?

- Waarom maken o.a. drugdealers en verspreiders van kinderporno dan nog steeds gebruik van Telegram, in plaats van veel veiligere (???) platforms als Whatsapp, Signal, Matrix, etc. ???

[Verwijderd]

Gelijk heb je, het is te veilig, daarom is ook Durov opgepakt. Dit nieuwsbericht is rookgordijn en heeft geen toegevoegde waarde.

[kondamin]

Lijkt me niet meer dan normaal dat overheden geen gebruikmaken van consumenten software/hardware en dat ze iets dicht getimmerd gebruiken

[Frame164]

Overheiden gebruiken dezelfde ICT als bedrijven en consumenten. Ze hebben echt geen speciale laptops of operating systems. Dus jouw reactie moet iets specifieker geschreven worden ;-)

[m_snel]

Dat ligt er maar aan wat je met overheid bedoelt. Zo ben ik wel eens bij gemeenten/ provincies geweest die niet ondersteunde platformen vervingen door platformen die binnen een half of een jaar ook niet meer ondersteund werden. Maar ook bij ministeries die gewoon voor liepen op menig commercieel bedrijf.

[betwetor]

Ik zou voor de zekerheid ook de walkietalkies en piepers wantrouwen.
Telegram had ik als Oekraïner in 2013 al gewantrouwd.
Als we hier al moeilijk doen over kasperski, terwijl die hun best doen transparant te zijn.
Telegram is altijd al vrij dubieus met hun non end to end encryption.

[m_snel]

U wilt toch niet beweren dat een land dat nog een oorlog voert zoals in de eerste wereldoorlog, opeens zo geavanceerd is dat ze op het niveau van de jaren tachtig zitten.
Nee Rusland liep altijd al decennia achter en valt gewoon door de mand