Google werkt aan app om encryptie in chats te verifiëren met QR-codes

Google heeft een app online gezet, waarmee gebruikers codes kunnen vergelijken voor het gebruik van end-to-endencryptie. Dat moet zekerheid geven dat gebruikers weten met wie ze aan het chatten zijn.

Google heeft zelf nog weinig gezegd over de app; Android Authority kreeg het apk-installatiebestand. De app heet System Key Verifier en met het scannen van onderlinge QR-codes kunnen gebruikers daarmee accounts koppelen aan een bepaald apparaat. Bij het wisselen naar een nieuwe telefoon moeten gebruikers voor de verificatie opnieuw elkaars code scannen.

Hoewel het verifiëren van de codes pas kan sinds Android 15, is de app compatibel met Android 10 en nieuwer. Appontwikkelaars moeten wel inbouwen dat System Key Verifier de codes mag verifiëren. Google Berichten zal dat in elk geval doen.

Een dergelijke functie zit volgens de site ook in iOS 17.2, waarbij iPhone-gebruikers elkaar kunnen verifiëren door een code aan elkaar door te geven. System Key Verifier kan dat ook, maar leunt standaard op QR-codes. Google zei eerder dat het een functie om keys te verifiëren volgend jaar wil uitbrengen.

Reacties (12)

[Skit3000]

Als je zulke geheime berichten door wilt geven dat je elkaar in persoon moet ontmoeten om elkanders identiteit te verifiëren, zou ik direct end-to-end encryptie van welk platform dan ook overslaan en in plaats daarvan een one-time pad op een usb-stick delen om die dan bij toekomstige communicatie te gebruiken.

[Martijn.C.V]

In mijn vriendengroep hebben we Signal, die biedt dezelfde functionaliteit al een tijdje. Op een avond waar ik iemand zie die ik nog niet geverifieerd heb check ik de codes wel eens. Kleine moeite, maar niet zoveel prio.

Ik leg ff uit wat we doen (ik ben de ITer, zij niet) en de meeste vinden t wel geinig. Het is behoorlijk laagdrempelig op deze manier en een leuke intro in security.

In praktijk zijn we absoluut niet boeiend genoeg, maar het is een leuk dingetje om eens te doen. "Nu kan ik niet meer stiekem van telefoon wisselen!". Ik gebruik het eerder als een lichte tool voor bewustwording en daar werkt het helemaal prima voor.

Edit: @Anoniem: 57411 geeft een terecht voorbeeld: Die babbeltruc van "hoi mam, ben ff mn telefoon kwijt, geef ff geld". In Signal (en dus met wat Google hier tracht) kun je zien of zoiets klopt.

[Reactie gewijzigd door Martijn.C.V op 14 november 2024 14:46]

[The Zep Man]

In mijn vriendengroep hebben we Signal, die bied dezelfde functionaliteit al een tijdje. Op een avond waar ik iemand zie die ik nog niet geverifieerd heb check ik de codes wel eens. Kleine moeite, maar niet zoveel prio.

Wat werkt totdat iemand een nieuwe smartphone heeft en niet fatsoenlijk Signal overzet van het ene toestel naar het ander.

Dat maakt deze vorm van verificatie niet echt nuttig. "Oh, ik heb een nieuwe smartphone" is een plausibel excuus met in het achterhoofd dat een gewone gebruiker echt niet zaken met de juiste voorzorgsmaatregelen over gaat zetten, want gebruiksvriendelijk is het niet.

[Reactie gewijzigd door The Zep Man op 14 november 2024 14:56]

[Martijn.C.V]

Ook als je het wel goed overzet veranderd je security code. En het is wel lastig hoor, een nieuwe Signal verkeerd opzetten, het is adhv je telefoonnummer... Die nooit meer iemand wisselt.

Het doel van de code is dat je door hebt dat er iets veranderd is en dat wordt dus correct weergegeven. Vrienden die van telefoon wisselen krijgen een nieuwe code, dus eerstvolgende keer dat ik ze zie kan ik zeggen "zozo, nieuwe telefoon?"

[The Zep Man]

Ook als je het wel goed overzet veranderd je security code.

Ik heb een Signal-installatie overgezet tussen meerdere generaties Android smartphones zonder dat mijn verificatiecodes zijn veranderd. Andere mensen kregen dus niet de opmerking dat iets was veranderd of opnieuw geverifieerd moet worden. Daar is gewoon een officiële procedure voor, maar die moet je wel correct uitvoeren.

[Reactie gewijzigd door The Zep Man op 14 november 2024 14:58]

[Anoniem: 57411]

In praktijk zijn we absoluut niet boeiend genoeg,

Iedereen is boeiend genoeg voor de crimineel. Voor bewijs daarvan verwijs ik naar die whatsapp (nu nog chat)babbeltruc waarbij bedriegers met behulp van, inderdaad, een gekaapt account de kennissen van de houder van dat account geld aftroggellen.

Dus: mocht iemand in die vriendengroep na een "telefoonwissel" plotseling "in geldnood zitten", wees gewaarschuwd!

[Reactie gewijzigd door Anoniem: 57411 op 14 november 2024 14:53]

[lenwar]

WhatsApp heeft die functie ook. Ik heb het persoonlijk nooit gebruikt, maar ik heb wel functie aan staan dat ik berichtje krijg als iemand z’n sleutel is veranderd.

(Dus als iemand een nieuwe installatie heeft gedaan)

[lenwar]

Het idee van een OTP is dat je het eenmalig gebruikt. Dat is dus niet praktisch voor een chat-mechanisme 😊 een dan moet je weer extra data gaan bewaren en onderhouden.

Niet onmogelijk, maar niet praktisch voor dagelijkse communicatie.

Ook voor een journalist of directeur/secretaresse-communicatie moet het ook gewoon makkelijk werken.

[Skit3000]

Je hebt gelijk, maar tegelijkertijd is de broncode van WhatsApp niet open. Je kunt dus niet controleren of deze end-to-end encryptie wel echt zo veilig is als zij claimen. Voor de meeste mensen en gesprekken zal het ook weinig uit maken, maar als je met staatsgeheimen te maken hebt zou ik er niet volledig op vertrouwen.

En je moet dezelfde OTP inderdaad niet twee keer gebruiken voor verschillende berichten. De meest doeltreffende manier om dit te voorkomen is door letterlijk de tekens die je hebt gebruikt direct te vernietigen.

[Reactie gewijzigd door Skit3000 op 14 november 2024 19:50]

[lenwar]

Als het wel open source is, kan ik het ook niet hoor. 😊 zo goed zijn mijn programmeerkunsten niet.
Onderdelen van WA zijn overigens wel open:
https://github.com/orgs/WhatsApp/repositories
(Al-dan-niet omdat het moet vanwege de gebruikte licenties van de upstream-onderdelen.)

Whatsapp wordt wel geauditeerd door bedrijven die hier in gespecialiseerd zijn. Daar heb ik persoonlijk meer vertrouwen in dan alleen een stempel ‘open source’.

Uiteraard worden andere proberen als Signal ook geauditeerd.

[Jim80]

Dit lijkt mij een weinig gebruikte functie te gaan worden. Ik ken werkelijk niemand in mijn contacten die iets geeft om e2e encryptie, laat staan om deze te verifiëren. Maar wel leuk dat het kan voor een kleine groep techneuten. Het gaat niet zozeer om de software te vertrouwen, maar wel om zeker te zijn dat je moeder die om 1000 euro vraagt nog steeds je moeder is

[Reactie gewijzigd door Jim80 op 15 november 2024 06:58]

[dimdek]

Ik lees dat Google weer een nieuwe truuk heeft bedacht om hun grip op Android te versterken. Straks wordt je waarschijnlijk door instanties 'verplicht' om via deze manier te communiceren en daarvoor heb je dan Google nodig. Zo kunnen je een nog beter beeld krijgen van wie met wie communiceert zonder dat er een heel communicatieplatform a-la Whatsapp hoeft te worden opgetuigd.