WhatsApp biedt gebruikers end-to-end versleutelde back-ups
WhatsApp biedt gebruikers voortaan de optie om hun back-ups end-to-end versleuteld op te slaan, zo heeft Facebook aangekondigd. Gebruikers konden hun back-ups al opslaan in Google Drive en Apple iCloud, maar de data was dan niet end-to-end versleuteld, waardoor de cloudprovider er toegang toe kon krijgen.
Met end-to-end versleutelde back-ups zijn zowel de back-ups als de benodigde encryptiesleutel niet meer toegankelijk voor de cloudprovider en WhatsApp. De end-to-end versleutelde back-ups worden versleuteld met een willekeurig gegenereerde encryptiesleutel. Gebruikers kunnen ervoor kiezen om deze encryptiesleutel handmatig of met een wachtwoord te beschermen. Bij de handmatige optie moet een 64-cijferige weergave van de encryptiesleutel worden genoteerd.
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen. Een HSM is speciale hardware voor het veilig opslaan van encryptiesleutels. Wanneer de gebruiker zijn back-up nodig heeft kan hij die via de encryptiesleutel of zijn wachtwoord ontsleutelen.
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen. Na een aantal mislukte pogingen wordt de encryptiesleutel permanent ontoegankelijk gemaakt. Volgens Facebook moet dit bescherming tegen bruteforce-aanvallen bieden waarmee zou kunnen worden geprobeerd om de encryptiesleutel te bemachtigen. WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid. Voor het afhandelen van de communicatie tussen de gebruiker en de Backup Key Vault wordt er gebruikgemaakt van ChatD, een service van WhatsApp. Facebook laat echter weten dat de inhoud van versleutelde berichten tussen de gebruiker en de Backup Key Vault niet voor deze dienst toegankelijk zijn.
Wanneer de gebruiker zijn back-up wil downloaden moet hij eerst zijn wachtwoord invoeren dat door de Backup Key Vault wordt geverifieerd. Vervolgens stuurt de Backup Key Vault de encryptiesleutel terug naar de gebruiker die daarmee de back-ups kan ontsleutelen. Maakt de gebruiker van de 64-cijferige encryptiesleutel gebruik, dan zal deze sleutel handmatig moeten worden ingevoerd. End-to-end versleutelde back-ups worden de komende weken onder gebruikers uitgerold.
Goede stap vooruit
maar los daarvan, de tekst in jullie bericht klopt niet met het plaatje
"Vervolgens stuurt de Backup Key Vault de encryptiesleutel terug naar de gebruiker die daarmee de back-ups kan ontsleutelen. "
Ik mag een biet zijn, maar de sleutel wordt alleen lokaal gegenereerd uit een wachtwoord en iets in de HSM en PBKDF2. Als de vault die aan mij moet sturen dan klopt er iets niet.
(..)
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen.
(..)
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen.
(..)
WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
(..)
Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid.(..)
Dus de versleutelde backup en de sleutel staan op servers in datacenters van WhatsApp .... de kat is al op het spek gebonden ...
Aangezien WhatsApp proprietaire software is kunnen we de claim niet controleren dat WhatsApp de sleutel "niet kent".
Dan is Signal toch een beter (open source, controleerbaar) alternatief.
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen. Na een aantal mislukte pogingen wordt de encryptiesleutel permanent ontoegankelijk gemaakt. Volgens Facebook moet dit bescherming tegen bruteforce-aanvallen bieden waarmee zou kunnen worden geprobeerd om de encryptiesleutel te bemachtigen. WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
Encryptie of versleuteling heeft al jaren mijn interesse, en ik experimenteer graag op micro niveau om met name de gebruiksvriendelijkheid en om meer inzicht te krijgen van wat er eigenlijk gebeurt. Ik gebruik geen sociale media, en ook geen WhatsApp, maar je hoeft daarvan ook niet veel van te begrijpen, om te zien, dat de gebruikers eigenlijk ziende blind willen blijven, om maar niet te hoeven te beseffen, dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. Ze zijn verslaafd aan het gemak van de apps, die hen volledig afschermt van wat er gebeurt, als ze deze gebruiken.
Vertel! Leg uit! Hoe zou de end-to-endversleuteling die Whatsapp biedt niet meer dan een illusie zijn? (Volgens mij is het namelijk 100% effectief)
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.
Geen dingen roeptoeteren waar je geen verstand van hebt. Deze comment staat vol met onzin. Ze hebben helemaal de sleutels niet en kunnen hier niet bij. Ga eerst maar eens het Signal protocol bestuderen voordat je dit soort onzin gaat verkopen.
(..)
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen.
(..)
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen.
(..)
WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
(..)
Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid.(..)
Dus de versleutelde backup en de sleutel staan op servers in datacenters van WhatsApp .... de kat is al op het spek gebonden ...
Aangezien WhatsApp proprietaire software is kunnen we de claim niet controleren dat WhatsApp de sleutel "niet kent".
Dan is Signal toch een beter (open source, controleerbaar) alternatief.
Ik heb het nog niet voldoende bekeken maar volgens mij klopt dit ook niet. Normaal gesproken zou je dan de decryptiesleutel/private key opslaan op de server in encrypted vorm bijv AES. De gebruiker kan die encrypted key ophalen en met zijn wachtwoord onteutelen. Daarmee kan vervolgens de backup worden uitgelezen.
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.
Leuk verzonnen maar feitelijk onjuist! (Waar haal je deze speculaties eigenlijk vandaan?) b.v. De WhatsApp documentatie stelt hierover:
WhatsApp's end-to-end encryption is used when you chat with another person using WhatsApp Messenger. End-to-end encryption ensures only you and the person you're communicating with can read or listen to what is sent, and nobody in between, not even WhatsApp. This is because with end-to-end encryption, your messages are secured with a lock, and only the recipient and you have the special key needed to unlock and read them. All of this happens automatically: no need to turn on any special settings to secure your messages.
Dat is toch kraakhelder, nietwaar? Controleer s.v.p. eventjes eerst je speculaties vooraf en voorkom dat je onzin post.
Dacht ik al. Whatsapp leert het nooit. Niet te vertrouwen, dus niet gebruiken. Of educatie, mensen sensibiliseren over het onderwerp privaciy in het digitale tijdperk. Dit is er niet.
Al zou ik voorstander zijn als whatsapp/facebook zou zorgen voor een gewoon ZIP file dat ik zelf kan downloaden.
En mij niet zou dwingen tot Google als opslag dienst.
P.s. De zip file dan gewoon op je Android storage opslaan, en zelf bewaren op een medium naar keuze.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
