Op privacy gerichte chat-app Cryptocat verschijnt na afwijzing toch in App Store

De op privacy en beveiliging gerichte chat-app CryptoCat is na een eerdere afwijzing eind vorig jaar toch in de App Store verschenen. Dat heeft de ontwikkelaar bekendgemaakt. CryptoCat werkt verder alleen in desktopbrowsers en heeft nog geen andere mobiele versies.

Een versie voor Android komt er binnenkort aan, belooft de ontwikkelaar op zijn site. Inmiddels staat de iOS-versie in de App Store. De ontwikkelaar komt in zijn aankondiging niet meer terug op de eerdere afwijzing van de app, iets dat eind vorig jaar gebeurde. Een nda verhindert dat ontwikkelaars daarover mogen spreken.

CryptoCat is een applicatie die beveiligde chats mogelijk wil maken en is opensource. Ondanks dat vrijwilligers maanden terug de code hebben bestudeerd, is er kritiek op de iOS-versie. Forensisch onderzoeker Jonathan Zdziarski merkt op dat dankzij de autocorrectie-functie van het toetsenbord toetsaanslagen en informatie over het aantal woorden toegankelijk zijn in iOS. Bovendien zou in het configuratiebestand ook privacygevoelige data staan.

Sinds de onthullingen van klokkenluider Edward Snowden is er meer aandacht voor privacy bij communicatie. Veel Nederlanders installeerden bijvoorbeeld de Russische chat-app Telegram nadat Facebook bekendmaakte WhatsApp over te nemen.

Reacties (86)

Telegram is niet Russisch. Het heeft alleen een Russische directeur. Het hoofdkantoor zit in Berlijn.
WhatsApp is ook niet Oekrainsch, terwijl het een Oekraïense directeur heeft.

Tweakers, dit hebben jullie al meerdere malen gezegd. Stop er alstublieft mee.

Telegram is gemaakt door de ontwikkelaar van VKontakte, zeg maar de Russische Facebook. Dit is de site waar onder andere gay bashers en andere neonazi's groepen aanmaken die VKontakte weigert te verwijderen. Niet Russisch?

Nee. Wat ik net heb uitgelegd.

Misschien is dat waar, maar dat houdt niet weg dat het niet Russisch is.

In de journalistiek moet je wel goede informatie vertellen.

Ben zelf overgestapt naar TextSecure, ziet er tot nu toe goed uit. Telegram was even hot onder mijn contacten, maar niemand lijkt het écht te gebruiken.

Dit was ook bij mij, mijn klas gebruikte voor een dag telegram en daarna zijn ze vrolijk weer whatsapp gaan gebruiken.

Er gaan pas echt mensen overstappen als FB rare dingen gaat doen (ik denk wel dat ze dat gaan doen, ze moeten die 11,7 miljard euro ergens aan terugverdienen...

Ik ervaar de problemen nu al, de helft van mijn vrienden gebruikt Telegram, waarvan de andere helft laten we zeggen: 25% WhatsApp gebruikt om mij te berichten of iMessage..

Ik wordt er knetter gek van.. toch maar eens tijd om met z'n allen rond de tafel te gaan zitten en één chat oplossing te gebruiken. lol.

Als de mobiele providers slim waren geweest kwamen ze al met een goed alternatief. Dit was hun kans om de markt weer terug te pakken maar als ze nog een paar maanden wachten zal het waarschijnlijk definitief te laat zijn.

Tja maar een provider is juist geen goede partij lijkt me, aangezien zij je communicatie aftapbaar moeten houden. Ben dan ook zeer sceptisch over de door KPN aangeboden blackphone. Naar mijn idee is het beste open-source (zodat je bv. bovenstaande problemen te zien krijgt) en gefinancieerd door een niet commerciele partij. En dan ook het server gedeelte open source, wat bv. bij telegram vlgs mij nog niet zo is.

Of dit bijvoorbeeld, iemand ervaring daarmee?
http://www.slashgear.com/...from-nsa-prying-30299661/

[Reactie gewijzigd door Anoniem: 402720 op 5 maart 2014 09:11]

Tja, je hebt twee soorten privacy die hier in het geding zijn. De eerste is de NSA en consorten en de tweede zijn Facebook en consorten.

Over de NSA maak ik me wat minder druk ivm mijn verstuurde berichten. Mijn provider weet al op elk moment van de dag waar mijn telefoon zich bevindt, weet met wie ik bel, hoe lang en wanneer en kan die gesprekken ook nog eens af luisteren. Dat ze daarbij ook nog mijn app-berichtjes kunnen lezen (net als dat ze mijn sms al konden lezen) maakt me dan niet zo heel veel uit.

De commerciële partijen die mijn data gebruiken om een profiel over mij op te stellen, vind ik (let wel IK) ergerlijker.

Het is, volgens mij, een illusie om te denken dat je een app krijgt die beide soorten privacy gaat garanderen zonder hoge kosten. Uiteindelijk moet het allemaal ergens van betaald worden.....

Goed punt, al moet ik zeggen dat ik beide ergerlijk vind

En inderdaad garanties zijn natuurlijk lastig te geven, maar als het iig open source kan is je in ieder geval zien wie de beste poging doet.

En wat betreft de kosten, de software moet iig gratis kunnen zijn(zoals zoveel software), dan blijven dus de server kosten over. Het zal vrij moeilijk zijn om iedereen die nu gratis IM gebruikt te overtuigen om een abo te nemen van een paar euro per maand(voor de server kosten). Wat jammer is want dan zou het best kunnen werken denk ik.
Maar wat je zegt, kosten zijn een probleem...

Tja, je hebt twee soorten privacy die hier in het geding zijn. De eerste is de NSA en consorten en de tweede zijn Facebook en consorten.


Je vergeet de veel gevaarlijkere 3e: de crimineel.

Facebook en Google heb je grotendeels zelf in de hand. NSA en nog belangrijker onze eigen overheid is gelukkig nog steeds een kleine schaal.

Maar gewone criminelen en andere onverlaten die gegevens, accounts, etc willen krijgen is een veel groter en alledaags gevaar voor iedereen die op internet zit. Ik zou mij in eerste instantie druk maken om die zaken.

Providers zijn juist wel de goede partij. Die hebben met elkaar RCS-e/Joyn ontwikkeld dat als doel heeft om te werken binnen de hele mobiele community (OTT's hebben er geen belang bij om samen te gaan werken). Gebruik je Joyn, dan is het net als met een OTT app. Heeft de andere partij geen Joyn, dan wordt het bericht via SMS of MMS afgeleverd een vice versa. Ook interworking met andere chat communities is ondersteund, zolang de andere partij gestandaardiseerde interfaces gebruikt (zoals OMA SIMPLE of CPM).

Hiermee hoef je als gebruiker niet meer te weten of de andere partij toevallig dezelfde app als jij gebruikt. Het bericht wordt altijd afgeleverd.

wut ? RCS-e/Joyn is vooral een standaard van de telecom industrie, voor de telecom industrie. Het belangrijkste doel van die standaard is een afhankelijkheid creëren van diezelfde telecomindustrie zodat ze straks weer de hoofdprijs kunnen vragen voor een berichtje, net als bij SMS.

Wat we nodig hebben zijn open standaarden en protocollen, vrij van patenten.
En dit niet alleen voor de client-client en client-server communicatie, maar ook voor het koppelen van de diverse adresboeken van de diverse providers.

Op andere gebieden hebben we dergelijke oplossingen al lang (bijv. telefoonnummer systeem, e-mail adres systeem, dns systeem)

Als de mobiele providers slim waren geweest kwamen ze al met een goed alternatief.

Voor de binnenlandse markt. Maar ik spreek meer met mensen in het buitenland, dus schiet daar niets mee op.

Want daar zijn geen mobiele providers?

Ja, maar kan he daarmee tokkelen zonder kosten?

Ja precies, alleen zal er dan een betaalde ''optie'' zijn geweest, ben ik bang.

Als ze slim zijn, implementeren ze iets als WhatsApp en als je die encrypted editie wilt hebben betaal je 30 euro cent per maand meer ofzo weet ik veel.

En jij denkt dat mensen gaan betalen voor veiligheid? Dan heb je gewoon met een commercieel bedrijf te maken, niet 1 die het beste met je (gegevens) voor heeft

Nee dan doneer ik nog liever geld aan een Rus (Telegram)

Als er voor wordt betaald dan bestaat de kans toch juist minder dat men aan de haal gaat met je gegevens? Telecom providers vertrouw ik in zekere zin nog wel.

EN geloof mij, mensen betalen voor veiligheid. Kijk maar eens wat er jaarlijks aan ''beveiliging'' wordt uitgegeven en dan heb ik het niet alleen over consumenten beveiliging, zowel digitaal als fysiek.

Mag ik je vraag iets aanpassen?

Graag 1 protocol, zoiets als https en dan de keuze voor mijn eigen client app.
Als iets of iemand iets heeft laten liggen is het mijns inziens W3c.

Ja idd. GEwoon 1 centrale server waar alles doorheen getunneld wordt en vervolgens wordt verspreid aan de ontvangende partij. Volledig encrypted ofc. Maar zo'n data center kost wel wat centjes en wat zal het verdien model dan zijn

Nee hoor dat is niet nodig. Er zijn allang protocollen gestandaardiseerd die het mogelijk maken om interworking tussen verschillende chat apps mogelijk te maken. OMA SIMPLE bijvoorbeeld.

zeg maar een chat die ala email werkt
je kan van gmail naar live account toch ook verzenden dus als ze een beetje een aan standaard houden kan je met elkaar chatten.
trouwens een yahoo gebruiker kon ook met een msn gebruiker chaten dus in pressiepe kan het wel.
edit: -1 tweakers moet wat doen aan al die mensen die iedereen maar zitten te censureren. -.-

[Reactie gewijzigd door raro007 op 5 maart 2014 09:29]

Dan zal je een centrale server nodig hebben die berichten van chatclient a naar chatclient b vertaalt, en dus beide encryptiesleutels heeft, of in ieder geval het perfecte doel is voor mitm aanvallen, tenzij de chatclients dezelfde protocollen gebruiken, maar dat lijkt me niet...

IRC!?

Dat was mijn gedachte ook al ja... haha...

sms ?
niet heel erg encrypt maar t werkt nog steeds en iedereen heeft t

Telegram vind ik zelf ook erg fijn werken, ik mis toch echt alleen de mogelijkheid om afbeeldingen automatisch aan mijn gallerij toe te voegen.

Dat kan toch gewoon? Ik begrijp niet geheel wat je daarmee bedoelt. OP de iPhone gebeurt dit namelijk wel gewoon

Bij Android gebeurt dat blijkbaar niet. En zelf vind ik dat een gemis, omdat ik graag de juiste datum en tijd van ontvangen afbeeldingen wil hebben.

dus een Privacy chat met aardig grote bugs?

Ik ga dan liever voor Telegram.. Misschien stap ik over als ze het wel 100% veilig hebben.

Ik wacht op bittorrent chat

want, xmpp (jabber) zou al prima moeten werken, enige wat je nodig hebt is een gedistribueerd netwerk van 'jabber servers' dit samen met iets als diaspora bijv zou een prima alternatief voor FB/Whatsap kunnen zijn.

Het feit dat iOS je toetsaanslagen bijhoudt is geen "bug" maar een feature, bovendien een feature waar dit chatprogramma weinig aan kan verhelpen omdat je het klavier van iOS niet zomaar kunt veranderen.

Tja.

Als het word opgeslagen in het chat programma zelf en dat het daarna uitlekt noem ik een bug.. Maar het is een feature voor IOS, niet voor CryptoChat

Het wordt niet opgeslagen in de app.

Jawel en nadat je contact legt met de server worden de opgeslagen correcties door gestuurd naar de server, vevolgens word het daar terug ge-crypt en daar kan je uiteindelijk alles zien. maar dan moet je acces hebben tot, en dat is stap 2. probeer maar een server te hacken van een "Veilige en gecrypte" app.. hun houden ook rekening met wat er na het chatten gebeurd

Ah telegram, dat is toch die app waar je random berichtjes en telefoontjes krijgt van buitenlandse mensen die doen alsof je iets gewonnen heb.

Ik geloof dat het die app was met een zeer matige gedefinieerde privacy policy, van een semi non-profit organisatie uit het o zo vertrouwde Rusland.
Ohja, de brakke zelfverzonnen encryptie die alleen wordt toegepast in de verbinding tot de server en daarvandaan, zorgt ervoor dat je berichten plaintext kunnen worden opgeslagen op de servers.
Veel plezier ermee, alle overstappers.

Wat je zegt klopt volgens mij ook, behalve als je secret mode gebruikt in de applicatie, dan is het wel end-to-end veilig, mits je eventjes handmatig de encryptiesleutels vergelijkt

Dat het klopt is eenvoudig aan te tonen doordat nieuwe leden van een groepsgesprek met terugwerkende kracht een heel gesprek kunnen lezen. Telegram geeft aan dat het op de server wel encrypted is, maar dat kan niemand 100% bewijzen natuurlijk. Zelfs al doen ze dit, dan nog kunnen ze er zelf dus wel bij.

De vage privacy policy, laat me daar even een paar zinnen kopiëren:

Everything you delete is deleted forever. Except for cats.
We never delete your funny cat pictures, we love them too much

Da's gewoon een stukje tekst op hun site. De vraag is hoe rechtsgeldig dat in bijv. Rusland is, zo'n tekst, juridisch gezien... Je wordt naar -1 gemod maar je hebt wel goede punten.

Verder maakt het me niet eens uit dat het een Russische app is; het is gewoon wéér een app die mijn contactgegevens in handen krijgt. Hoe meer apps op hoe meer plekken dat rondzwerft.

Wat je zegt klopt volgens mij ook, behalve als je secret mode gebruikt in de applicatie, dan is het wel end-to-end veilig, mits je eventjes handmatig de encryptiesleutels vergelijkt

Precies, probleem is dat veel mensen nu als een kip zonder kop gaan kakelen over security waarbij de server niet vertrouwd wordt.

Allereerst is natuurlijk de vraag of de typische chat sessies die de gemiddelde tweaker heeft uberhaupt interessant genoeg is om encryptie te vereisen maar privacy is ook wat waard.

De vraag is echter tegen wie je je wilt beschermen. Veel chat-apps zijn gewoon geheel niet encrypted. Het laatste jaar is er een opkomst van encrypted varianten, waar de client-server route encrypted is. Je bent dan uitstekend beschermt tegen meeluisteraars in het café of op de luchthaven. Dat is verreweg het grootste 'gevaar' voor de meeste chatters.

Nu opeens beginnen echter mensen panisch te doen over het vetrouwen van de server. Laten we niet vergeten dat in relatieve zin, de kans dat een vreemde overheid je afluistert kleiner is dan je eigen overheid. Ook in Nederland! En dat die kansen nog steeds veel kleiner zijn dan de gevaren van criminelen of gewoon 'vreemden' die bij een cafe of luchthaven willen meeluisteren. Er wordt nu gedaan alsof chat-apps waar de server de sleutel heeft opeens volstrekt onveilig zijn.

Ja, als je peer-to-peer wilt zijn die niet veilig. Ook Blackberry's BBM op BES en andere encryptie-koningen zoals Skype en Viber zijn dan volstrekt ontoerijkend.

Telegram met zijn end-to-end encryptie methode lijkt een van de weinigen te zijn waar dat wel zo is, maar omdat het nieuw is zullen mensen die angst hebben voor overheden die meeluisteren er waarschijnlijk goed aan doen, ook dat links te laten liggen.

In dat geval is het beste devies nog steeds je eigen encryptie lokaal op je apparaat (via een 3e app), en de encrypted text via copy-plak in de chat plakken, en de ontvanger het omgekeerde te laten doen. Er zijn ook al talloze plugins beschikbaar voor talloze chat-apps die zulke dingen doen.

Maar persoonlijk maak ik me daar niet zo'n zorgen om

Er zullen ongetwijfeld gaten in de app zitten, maar dan nog verspreid je de informatie, waardoor niet 1 partij alles heeft. De Russische geheime dienst heeft zo ook een stukje van de taart.

Verder zijn privacy policies en juridische constructies net zo zinnig als de rechtspraak in een land. Voor Rusland heb ik daar weinig vertrouwen in, dus kan ik zo'n lolcat-exception wel waarderen. Geeft aan dat zij het juridische stuk ook niet geheel als waterdicht zien

Welke informatie verspreid ik dan? Misschien wil ik liever dat maar één partij informatie langs ziet gaan ipv dat ik de kans vergroot dat een deel van mijn informatie langs een malafide partij gaat. Het is goed mogelijk dat die kans groter is als je meerdere partijen gebruikt.

Het feit _dat_ je iets verzendt is al informatie, en gecombineerd met locatie ben je al een heel eind voor simpele toepassingen. Als jij vanaf de Wallen een berichtje stuurt naar je vrouw, ben je al potentieel chanteerbaar. Hoef ik niet eens te weten wat erin staat.

Je geeft alleen maar extra argumenten voor mijn punt: nu weet alleen Whatsapp waar ik ben.

Als je 5 chat-apps gebruikt dan hebben ze alle vijf jouw locatie...

maar als je meerdere apps gebruikt hebben ze alle 5 maar een klein stukje.
Ik heb liever dat mijn informatie versnipperd opgeslagen is dan dat 1 parij alles weet.

Je chats, als ze inderdaad worden opgeslagen, worden versnipperd opgeslagen, maar tenzij je per persoon meerdere methoden door elkaar gebruikt (bijv. met één persoon zowel Whatsapp, Telegram en Skype) zijn er wel volledige chats beschikbaar.

Je informatie, info over je locatie, device-ID's, IP's en je contactlijsten zijn sowieso 100% overal beschikbaar ipv bij zo min mogelijk apps.

Ze hebben allemaal dus volledige info, alleen niet de inhoudelijke chats zelf... da's het enige dat ze niet hebben. Je locatie etc. wel.

aan de andere kant, als facebook zowel weet dat je kinderen hebt, als dat men weet dat je aan sm doet met je vrouw, is er maar weinig fantasie nodig om je valstelijk te beschuldigen van .... je raad het al, en bewijs jij maar eens dat er nooit iets onzedelijks is gebeurd ...

ik heb dan lieverd dat een deel van de data bij een andere partij zit, die geen (en daar kan je bij de vs en de russen wel vanuit gaan) data deelt met die andere parij. zodat dergelijke combinaties van data veel minder waarschijnlijk zijn...

los van het feit en ik blijf het herhalen. telegram is een behoorlijk open protocol, en niets dan gebrek aan kennis weerhoud je er van om zelf een client te bouwen die een extra encryptie laag toevoegd. om zo een 'netwerk binnen het netwerk' op te zetten

Helaas nergens op gebaseerd? Ik ben nieuwsgierig naar jou bron van informatie.

Voor meer gedetailleerde beschrijvingen waarom telegram niet goed is:
http://unhandledexpressio...stand-back-we-know-maths/
http://www.thoughtcrime.org/blog/telegram-crypto-challenge/

Lees dan wel de commentaren, die eigenlijk vrijwel alle aangedragen argumenten weerleggen.

Enige wat overblijft na het lezen van alle argumenten is dat men wel degelijk bestaande inividuele encryptie-bouwstenen gebruikt, maar samenwerkend in een non-standaard wijze. Er zijn echter géén bekende veiligheidsproblemen met deze methode, maar omdat het anders is dan de gangbare methode, is er het risico dat er een nog niet bekend probleem is met deze gebruikte constructie. Zo'n risico is een stuk kleiner als je de gangbare methoden gebruikt, omdat er dan veel meer ogen naar gekeken hebben.

Let wel, ik vind de argumentatie van Telegram over waarom men een alternatieve wijze van encryptie gebruikt (performance) zwak, en vind het ook een minpunt. maar de term 'niet goed' of onveilig is op dit moment onjuist, want er is géén bekend probleem.

Deze twee tot inmiddels vervelends toe gekopieerde links zijn achterhaald.

[Reactie gewijzigd door Armin op 5 maart 2014 19:37]

Gelukkig is de laatste tijd wel gebleken dat ons "ver vertrouwen Amerika" ozo betrouwbaar is. Daarbij weet ik niet wat jij bespreekt via de chats maar ik kan me niet druk maken om de dingen die ik erop zet.

Ehm ja, research eerst even wat je zegt voordat je onzin post

De encryptie is net nieuw? Dus het is niet zelfverzonnen..

Even een linkje met weinig tekst maar alle antwoorden die jij zoekt:

http://www.mediabistro.co...-to-end-encryption_b43538

Ik heb het gelezen. Nog nooit maar ook nooit last van gehad?

Zover ben ik nog niet gekomen. Ik ben afgehaakt na 2 mislukte aanmeldingspogingen.

Alsof ik die met Whatsapp niet krijg.....heb al vaken een appie gehad van de Britse loterij dat ik 14 triljoen GBP heb gewonnen

Ik maak ook nergens een vergelijking met WhatsApp.
Het gaat me er meer om dat ik de Telegram hype niet helemaal snap, en al helemaal niet wat betreft het privacy geneuzel, want Telegram is echt niet veel veiliger dan WhatsApp.

Telegram is evenmin veilig hoor. Daar is ook behoorlijk wat kritiek op, o.a. over de encryptie schemas die ze gebruiken.

Telegram was een project, Daarom zijn er ook zoveel ...gram. NiGram, Telegram etc etc. Uit de misschien wel 5 teams was het team van Telegram het "beste". Maar Nigram en al die andere apps zijn bijna hetzelfde. De Encryptie wel teminste en het concept ook. De interface is misschien anders aan kleur of posities.

Voor mij, momenteel, is Telegram een koploper van de "Veilige Whatsapp".

Threema lijkt mij veiliger, maar helaas ken ik verder geen andere gebruikers ervan.

Ja ik gebruik ook threema, erg veilig en in mijn opinie net zo makkelijk in gebruik als whatsapp of telegram. Ik wou dat meer mensen deze app zouden gebruiken. Maarja hij kost bijna 2euro en schijnbaar is dit voor de meeste mensen te duur voor het veiligstellen van hun persoonsgegevens...:(

Plus dat ik het moeilijk kan installeren op mijn Windows Phone.
Het grote voordeel van whatsapp en ook van Telegram is dat het beschikbaar is voor alle smartphone bezitters. En niet alleen voor de grootste groep.

Heb je dat dan wel voor elkaar gekregen dan, installatie op je Windows Phone? Volgens de Threema site zijn ze niet van plan om een Winphone app te maken.....helaas...

Helaas niet dus, dat is ook mijn probleem. helaas inderdaad.

Gewoon de mensen met wie je chat persoonlijk informeren over de voordelen van Threema. Die e1,60 eenmalige kosten zijn voor de meeste mensen echt geen probleem. Een top app!

[Reactie gewijzigd door tinoz op 5 maart 2014 15:18]

Welke andere apps heb je geëvalueerd? TextSecure? ChatSecure?

Ehm ik heb iMessage gehad.. Dat was meer amerikaans.. Ik persoonlijk ken weinig mensen die het gebruiken maar het leek mij een leuke app.. Ik hem MiGram en bijna alle andere klonen getest.. WHatsapp ofcourse en Facebook message etc

Russische studenten hebben het gecodeerd.. De servers staan niet alleen in Rusland maar ook in andere wereld delen? Ja het is van origine Russisch maar whatsapp was ook "Amerikaans".. en dat vertrouwden voor dat Facebook het overkocht wel?

Die Russen hebben gewoon de encrypty sleutel. Die zouden ze kunnengeven aan een andere party en liggen je chat berichten nog op straat.

Veilige chat applicaties zijn applicaties die niet via een server worden verstuurd maar direct van en naar een device zonder tussen komst van een server..
en dan natuurlijk ook encrtypted waarbij jij zelf de sleutel hebt.

Nadeel maar ook voordeel van Telgram is, dat berichten centraal worden opgeslagen. zodat je PC maar ook je andere devices up to date zijn. Stoppen op je mobiel en verder gaan op je laptop

De berichten worden na 3 dagen verwijdert uit de server.. Natuurlijk kunnen ze dit gewoon zeggen en mensen gaan er vast niet van uit maar ik heb er deels wel vertrouwen in

En wie zegt dat die server veilig is, dat Poetin er geen backups van krijgt, of dat Miny Mouse of zelfs Donald Duck de sleutel niet heeft?

Zo lang je niet alles 100% zelf gecodeerd hebt en in de hand hebt, heb je nooit 100% zekerheid.

Volgens mij staat in Telegram voor iOS standaard de autocorrectie ook aan en speelt daar dus hetzelfde.
Bovendien: Als je overstapt als iets 100% veilig is, kun je lang wachten

ik heb geen ios, gelukkig vind ik

tevens ook geen autocorrectie aan. Geen idee of het dan wel veiliger is?

en met 100 % veilig bedoel ik; als een hacker denkt : "ik decrypt dit ff" en over 5 jaar is hij nog niet klaar, dan vind ik het "veilig"

Forensisch onderzoeker Jonathan Zdziarski merkt op dat dankzij de autocorrectie-functie van het toetsenbord toetsaanslagen en informatie over het aantal woorden toegankelijk zijn in iOS.

Dit is geen fout van de app, maar van de gebruiker. Als jij private wil chatten, is het stom om de autocorrect aan te zetten omdat by design de woorden die je typt worden bewaard in een buffer zodat de autocorrect kan leren van je taalgebruik. Zie ook de tweet van Zdziarski op twitter:

Uhm, because you didn't turn off auto-correct, Cryptocat causes all past typing to be cached by iOS in KB cache.

Deze lijkt een correctie op z'n eerdere tweet waar hij inderdaad een opmerking maakt over de cache en de app.

Hij heeft wel andere opmerkingen over de app zelf:

Cryptocat also intentionally stores your nick / room name and your private key, all forensically accessible.

Forensically accessible is neem ik aan als iemand jouw telefoon in handen krijgt en 'm weet te unlocken. Ik ga er voor het gemak vanuit dat deze vulnerabilities voor de meeste chat apps geldt, ook voor telegram...

Tja daar kun je van uit gaan ja maar ik denk dat de open gaten in de app straks gevuld worden. en ik denk dat Telegram dit al heeft gedaan.

Nou zie ik door de bomen het bos niet meer. Misschien een "interface" app maken zodat ik toch in 1 app met mn versplinterde-beveiligde-chat-contacten kan appen?

Joyn Dove. Het is alleen nog even wachten op de eerste implementatie daarvan.

Eindelijk iemand die wakker wordt. Ik roep dit al sinds de jaren 90 toen ik ICQ, MSN, Yahoo Messenger en Skype moest installeren om met iedereen te kunnen chatten. En sindsdien hebben we XMPP, OTR en Pidgin. Alleen gebruikt niemand het omdat iedereen weer achter de laatste hype aan loopt van bedrijven die niet gebaat zijn dat jij met iedereen veilig kan chatten. Ze zijn gebaat dat zoveel mogelijk mensen zich bij hun aanmelden en niet bij de concurrent. Er is geen enkele reden dat chat apps die op je desktop werken niet ook op je mobiel zouden kunnen werken (en vice versa).

betekent dit dat elke ontwikkelaar op ios niet meer mag vertellen waarom zijn app is afgewezen?

"De ontwikkelaar komt in zijn aankondiging niet meer terug op de eerdere afwijzing van de app, iets dat eind vorig jaar gebeurde. Een nda verhindert dat ontwikkelaars daarover mogen spreken."

Klinkt raar.. was dat iets als dat het te lastig afluisterbaar was en dat er nu verplicht een backdoor is ingebouwd voor toelating?.

+1 voor een protocol en meerdere apps!

Ik geef toch liever mijn info aan Putin dan aan Obama.