WhatsApp volledig op end-to-end-encryptie overgestapt
WhatsApp is volledig overgestapt op end-to-end-encryptie, zo hebben de oprichters vandaag laten weten. Dat houdt in dat alle manieren om via WhatsApp te communiceren alleen voor de afzender en ontvanger toegankelijk zijn. Het gaat dan om tekstberichten, telefoongesprekken, foto's en video's.
Om van de end-to-end-encryptie gebruik te maken is het wel nodig dat gebruikers de laatste versie installeren. Het maakt daarbij niet uit of het gaat om gesprekken tussen twee mensen of een gehele groep. WhatsApp zal alle berichten versleutelen. Het houdt ook in dat er niet meer aan gerechtelijke bevelen kan worden voldaan, aangezien ook WhatsApp-medewerkers de data over het eigen netwerk niet kunnen lezen, zo meldt Wired.
Voor de end-to-end-encryptie maakt WhatsApp gebruik van het Signal Protocol, ontwikkeld door Open Whisper Systems. Gebruikers zullen nu ook een melding zien dat hun gesprek end-to-end-versleuteld is. Ook is de encryptiestatus van elk chatgesprek via de voorkeuren op te vragen. Begin februari liet WhatsApp weten dat 1 miljard mensen de app inmiddels gebruiken.
Er zal wel weer een addertje onder het gras zitten.
Ik geloof niet dat de inhoud van het bericht zelf ooit echt interessant is geweest voor de inkomsten. De metadata blijft natuurlijk wel bekend; wie staat er in je contactenlijst, met wie zit je in een groep etc.
Oprichters of eigenaren? Aangezien WhatsApp was verkocht aan Facebook.
Los van adresboek sync is bellen via WhatsApp nu dus veiliger dan "traditioneel" bellen. Volgens de telecomwet moet de overheid gesprekken kunnen aftappen, hier hebben ze middelen voor en toegang toe.
Het end to end versleuteld bellen is dus in principe in strijd met de telecom wet?
Daarnaast ook echt heel goed dat ze Signal encryptie gebruiken, dit lijkt tot nu toe een heel betrouwbare encryptie methode.
Er zal wel weer een addertje onder het gras zitten.
Ja azijn er weer uit gezeken?
Het end to end versleuteld bellen is dus in principe in strijd met de telecom wet?
SKype is ook geencrypt, dus niks nieuws.
JdH
Het end to end versleuteld bellen is dus in principe in strijd met de telecom wet?
SKype is ook geencrypt, dus niks nieuws.
JdH
Alleen is Skype, bevestigd, gebackdoored
Uit een security-onderzoek van Sophos:
"Messages transmitted are encrypted from caller to caller. No intermediate node (router) has access to the meaning of these messages. This claim has been undermined in May 2013 by evidence that Microsoft (owner of Skype) has pinged unique URLs embedded in a Skype conversation;[4] this could only happen if Microsoft has access to the unencrypted form of these messages."
https://nakedsecurity.sophos.com/2013/05/22/microsofts-reading-skype-messages/
Er zal wel weer een addertje onder het gras zitten.
Ja azijn er weer uit gezeken?
Was vooral verbaasd en vol ongeloof hoe snel men zo'n bericht voor zoete koek slikt
en meteen vol overtuiging de wereld instuurt zonder enig gedegen onafhankelijk onderzoek.
Wat "Wired" en security.nl doen, is typisch weer het klakkeloos overnemen en rondbazuinen van een "wij van WC-eend" beoordeling van een produkt. (met het verschil dat security.nl gelukkig nog dit forum heeft)
Overigens irritant die enorme nietszeggende foto's in het bericht van "Wired" waar security.nl met een link aan refereert.
Dat maakt het laden van die webpage erg traag.
(kan je evt. in about:config vermijden door permissions.default.image = 1 even naar permissions.default.image = 2
te wijzigen in Firefox. Dan negeert de browser alle plaatjes, dus ook die enorme foto's. Laadt een stuk sneller)
Maar voor de beveiliging ben je ook afhankelijk van het gedrag van andere gebruikers en daar zit vooral de achilleshiel. Ga jij goed met je beveiliging om, dan kan een of meer van je contacten nog domme dingen doen of domweg niet weten hoe zich te beveiligen. Als je reageert op een Whatsapp advertentie op een nieuwssite bijvoorbeeld en dat nummer aan je contacten wordt toegevoegd. Ik zou het niet doen!
De grootste bedreiging bij app veiligheid is de bedreiging door de grote advertentiespelers en met name Google e.a..
Verscheidene apps mogen alleen in de PlayStore als ze de hoofdinkomstenbron van Google niet verstoren. Doe je als app ontwikkelaar mee aan admob, mag je ongetwijfeld mee doen. Het ad-netwerk van Google is echter in de hoofdinstellingen van Android wel op stil te zetten, maar blijft toch doorgaan met je gegevens te verzamelen (in feite een commerciële ontwerp-backdoor dus). Uitzetten kan alleen als je de zondige apps volledig verwijdert (de meeste zijn van Google volgens Adnetwork detector app, maar ook apps als Adblock browser en Avast Mobile Security apps bijvoorbeeld zijn geïnfecteerd met Admob adware, die constant je locatie en apparaat en mobiele netwerk informatie bijhouden en doorspelen naar wie ook weer (geen zicht op????), Whatsapp doet dit niet maar is van Facebook en de privacy gevaren van sociale media mogen toch genoegzaam bekend worden verondersteld. De hersenloze klikker klikt wel verder, dus veiliger zal het er niet op worden. De azijnfles kan dicht blijven, maar een beetje extra eindgebruiker beveiliging en opvoeding zou toch nog welkom zijn. Dat de ontwerper van Whatsapp voor end2end beveiliging heeft gekozen, siert de man alleen maar. Hulde!
Het valt de makers niet te prijzen wanneer zij doen voorkomen dat Whatapp vanwege end2end encryptie absoluut veilig is.
Zij kweken op die manier een vals gevoel van veiligheid bij leken en de "net-iets-meer-dan-leken".
En dus gaat iedereen vrolijk en vrij aan de Whatapp, en vertellen elkaar al hun geheimen.
Terwijl nog niemand zich heeft bekommerd om:
1. waar komen de sleutelparen vandaan, en zijn deze heel divers en geheel willekeurig?
2. Geen MITM en geen backdoor? (controle)
3. Metadata ook stevig achter slot en grendel?
4. hoe moeilijk is het om je privésleutel te bemachtigen?
5. willekeur van de seed en beveiliging van de handshake?
6. hoe sterk zijn transportprotocol en encryptieprotocol? (afgekeurd SSL3 met het zo goed als gekraakte RC4 is verleidelijk, omdat ook (oudere) telefoons met weinig processing power er mee kunnen werken, maar is niet veilig)
7. Is er sprake van forward secrecy ja of nee?
8. Waar is de opensource van in Whatsapp geïmplementeerde code, en is deze stevig geaudit door onafhankelijke experts?
Als dat ook helemaal in orde is, dan zal ik er eens over nadenken of ik Whatsapp veilig zal noemen.
(heeft niets met azijn te maken, maar met gezond realisme en "je niet laten bedotten")
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
