Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

WhatsApp schaltet auf Ende-zu-Ende-Verschlüsselung

Trotz der übersichtlichen Update-Beschreibung (»Bug fixes«) führte die jüngste Aktualisierung der Messenger-App und Facebook-Tochter WhatsApp wichtige Neuerungen für die Sicherheit ein. Hierzu zählt insbesondere die Ende-zu-Ende-Verschlüsselung für sämtliche Kommunikationswege, also sowohl für bilaterale als auch für Gruppen-Chats, sowohl für schriftliche wie Audio-Kommunikation, sowohl für Freunde mit iOS als auch Android oder Windows Phone. Die einzige Voraussetzung lautet, dass alle Beteiligten die aktuelle Version der App installiert haben müssen. Dann erscheint im Chat-Verlauf die kurze Mitteilung, dass fortan alle Nachrichten und Anrufe verschlüsselt sind. In der Profilansicht des Kontakts ist jederzeit einzusehen, ob die Kommunikation mit ihm oder ihr verschlüsselt ist oder nicht.

e2e-Verschlüsselung
Ende-zu-Ende-Verschlüsselung sorgt dafür, dass Mitteilungen nur direkt von Sender und Empfänger gelesen werden können. Alle möglichen Zwischeninstanzen - auch WhatsApp selbst - sind ausgeschlossen. In den Worten des Konzerns: „Niemand kann in diese Nachricht schauen. Keine Hacker. Keine unterdrückenden Regimes. Nicht einmal wir.“ Apple bietet e2e-Verschlüsselung in iMessage seit dem Start des Dienstes im Jahr 2011 an - iMessage steht allerdings nur iOS-Nutzern zur Verfügung.

Mitteilung im Chat-Verlauf

Neue Sicherheitsoptionen in WhatsApp
Für die Verschlüsselung arbeitete WhatsApp mit Open Whisper Systems zusammen, die in einem Blogpost die Funktionsweise der neu implementierten Verschlüsselung beschreiben. Auf Wunsch können Kontakte nun auch gegenseitig ihre Identität bestätigen, wie das auch von vollverschlüsselten Konkurrenten wie Threema bekannt ist. Dafür tippt man im Chat-Fenster auf den Namen des Kommunikationspartners und dann auf das blaue Schloss neben dem Punkt »Verschlüsselung«. Hier erscheint dann ein QR-Code, den man von dem Kontakt einlesen lassen kann. Außerdem ist es in den Einstellungen ab sofort möglich, unter Account > Sicherheit einzustellen, dass man bei jeder Änderung der Sicherheitseinstellungen eines Kontaktes informiert wird.

Identitätsbestätigung

Angeheizte Kryptodebatte
Die Einführung der WhatsApp-Verschlüsselung kommt in einer Zeit der heißen Debatte über den Widerstreit zwischen Datenschutz und staatlichem Interesse an Kommunikationsdaten zur Strafverfolgung. Ausgelöst wurde diese Debatte durch das FBI, das von Apple richterlich die Hilfe beim Entsperren eines iPhone verlangte, das dem Terroristen von San Bernardino gehörte. Das FBI beklagt die Tendenz der IT-Firmen zum »Going Dark«, also der Möglichkeit zur geheimen Kommunikation. Deswegen denkt das US-Justizministerium schon über rechtliche Schritte nach, um WhatsApps Verschlüsselung aufweichen zu können.

Weiterführende Links:

Neues iPad mini

Beddit ist Geschichte, Apple entfernt Apps

Sonos-Qualitätsmisere: Viele Maßnahmen, damit "...

Vor 30 Jahren: Apple holt Sanierer – kann das s...

M4 Max: Noch beeindruckendere Benchmark-Ergebni...

Eskalationskurs: ARM kündigt Qualcomm die Desig...

Mac mini M4 im ersten Test: Was hält der kleine...

iOS 18: RCS auf dem iPhone nutzen – Kompatibili...

Kommentare

Torsten Goltz06.04.16 10:57

Nur blöd wenn man nicht verschlüsseln kann trotzdem beide Partner auf der aktuellen Version sind.

jensche06.04.16 11:07

Es wird automatisch verschlüsselt wenn alle seiten die aktuelle Whats app Version haben.

Das mit dem Abscannen und dem Code verwirrt mehr als es hilft.

tranquillity06.04.16 11:32

Wofür soll denn überhaupt das Scannen des QR-Codes gut sein? Die Verschlüsselung habe ich doch auch ohne.

subjore06.04.16 11:37

Bei all meinen Kontakten steht, dass nicht verschlüsselt wird, egal ob Android oder iOS. Ich bezweifle mal, dass alle seid 3 Tagen keine updates mehr installiert haben.

senf_306.04.16 11:56

subjore

Bei all meinen Kontakten steht, dass nicht verschlüsselt wird, egal ob Android oder iOS. Ich bezweifle mal, dass alle seid 3 Tagen keine updates mehr installiert haben.

Bei all meinen Kontakten wird aktive Verschlüsselung angezeigt. IPhone und Androiden. Lediglich die Postillions Messages werden nicht verschlüsselt

Eventus06.04.16 12:00

Netter Zug. Doch WA kommt aus Prinzip nicht infrage, solange es heimtückisch alle Kontakte von naiven Nutzern absaugt und somit Daten von Dritten, die nicht gefragt wurden, ob sie dem zustimmen!

Live long and prosper! 🖖

MetallSnake06.04.16 12:08

tranquillity

Wofür soll denn überhaupt das Scannen des QR-Codes gut sein? Die Verschlüsselung habe ich doch auch ohne.

Das dient der Sicherstellung dass es sich bei dem Gesprächspartner auch wirklich um die Person handelt für die sie sich ausgibt. Ansonsten könnte es ja sein, dass jemand anderes nun mit dir verschlüsselt Kommuniziert und die Nachrichten verschlüsselt an den tatsächlich gewünschten Gesprächspartner verschickt. So sähe es für euch beide so aus als würdet ihr sicher kommunizieren, in Wirklichkeit kann der Angreifer dazwischen aber alles mitlesen und auch manipulieren.

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

BlueVaraMike06.04.16 12:13

Leider wird die Verschlüsselung im Chat nur auf Android angezeigt.
Wenn ich auf Kontaktinfos des Chatpartners klicke, sehe ich am iPhone ein offenes Schloß.
Neustart der App und des iPhones hat keine Veränderung gebracht.

Do what you want, but harm no one!

MetallSnake06.04.16 12:29

BlueVaraMike

Klappt bei mir auch im iPhone, egal ob die andere Seite ein iPhone oder Android Gerät benutzt.
Vielleicht musst du oder die andere Seite nur die App updaten?

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

jensche06.04.16 12:30

Wie scannt nun das Gegenüber wenn es 3000km entfernt ist?

Wenn das Gegenüber in Scanreichweite ist, muss es ja nicht Whats app nutzen. Sondern kann einfach mit einem direkt sprechen.

Diese Code Geschichte verwirrt mehr als sie was bringt.
Nicht Techies, also 99.99999% der Leute können das nicht einordnen. viele in meinem Umkreis, Vater, Mutter, Freunde Fragen mich: "Muss ich nun zuerst den Code Scannen um die Verschlüsselung einzuschalten..."

Ties-Malte06.04.16 12:33

Torsten Goltz

Nur blöd wenn man nicht verschlüsseln kann trotzdem beide Partner auf der aktuellen Version sind.

Einmal WA beenden und neu starten, dann wird alles korrekt angezeigt.

tranquillity

Wofür soll denn überhaupt das Scannen des QR-Codes gut sein? Die Verschlüsselung habe ich doch auch ohne.

Ja, schon. Aber nicht die Kontrolle, ob dein Gegenüber auch wirklich dein Gegenüber ist.

Eventus

Netter Zug. Doch WA kommt aus Prinzip nicht infrage, solange es heimtückisch alle Kontakte von naiven Nutzern absaugt und somit Daten von Dritten, die nicht gefragt wurden, ob sie dem zustimmen!

Tut WA ja nicht. Es fragt nur ab, ob eine (ja Account-gebundene) Tel-Nummer im WA-Telefonbuch auftaucht (dazu der Zugriff auf deine Kontakte; die Nummer-Name-Zuordnung findet dann auf deinem iPhone statt). Sonst wüsstest du – analog zu Skype – ja nie (also nicht automatisch), ob diese inzwischen ebenfalls WA benutzen. Das Verfahren ist also nicht anders als die Abfrage bei Telegram oder Threema auch, nur dass Threema vorher fragt, ob du mit der Abfrage einverstanden bist (die meisten sind es), oder ob du User fragen und dann jeweils händisch zu deiner Liste hinzufügen möchtest.

jensche

Wie scannt nun das Gegenüber wenn es 3000km entfernt ist?

Kannst ja den QR-Code via Threema rüberschicken. ;D

The early bird catches the worm, but the second mouse gets the cheese.

MetallSnake06.04.16 12:38

jensche

Wie scannt nun das Gegenüber wenn es 3000km entfernt ist?

Mittels deiner bisherigen sicheren Kommunikationsmittel?

jensche

Wenn das Gegenüber in Scanreichweite ist, muss es ja nicht Whats app nutzen. Sondern kann einfach mit einem direkt sprechen.

Du sollst dann ja auch nur einmal den Kontakt bestätigen. Per WhatsApp kommunizieren kann man dann wenn man sich nicht mehr direkt gegenüber steht.

jensche

Diese Code Geschichte verwirrt mehr als sie was bringt.
Nicht Techies, also 99.99999% der Leute können das nicht einordnen. viele in meinem Umkreis, Vater, Mutter, Freunde Fragen mich: "Muss ich nun zuerst den Code Scannen um die Verschlüsselung einzuschalten..."

Ja, das ist ein generelles Problem, die Leute müssen eben aufgeklärt werden, aber die können sich das ja auch durchlesen, wird doch alles dort beschrieben. Wer es für unwichtig hält liest sich das eben nicht durch.

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

MetallSnake06.04.16 12:40

Ties-Malte

Die Nummer wird also an WA geschickt um zu prüfen ob WA die Nummer kennt, oder nicht? Wenn ja, werden also alle Nummern aus deinem Kontaktbuch an WA geschickt, und theoretisch wissen die dadurch wer wen im Adressbuch hat.

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

Ties-Malte06.04.16 12:49

MetallSnake

So verstehe ich das, ja. Und genauso handhaben es andere Chat-Programme auch, sonst wäre das automatische Hinzufügen neuer User ja nicht möglich. Wie die Nummern übertragen, gespeichert und verwertet werden, ist dann eine andere Frage, aber die stellt sich bzgl. aller Daten, also sowieso und mit jeder App.

The early bird catches the worm, but the second mouse gets the cheese.

MetallSnake06.04.16 13:10

Also hat Eventus doch recht mit seiner Behauptung?

WhatsApp benötigt zwingend Zugriff auf das Adressbuch, sonst will die App erst gar nicht. Threema und andere bieten das nur als Option an, wenn man das Adressbuch nicht synchronisiert funktioniert die App trotzdem.
Viele werden wohl trotzdem das Adressbuch synchronisieren, und da so ziemlich jeder in meinem Bekanntenkreis das auch gemacht hat, brachte meine Verweigerung auch nichts mehr und ich habs auch synchronisiert. Meine Daten haben die ja eh schon, und die von meinen Kontakten auch und denen ist es offensichtlich auch egal. Also was will man machen...

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

vMief06.04.16 13:19

Das beste habe ich heute mit meinem Kumpel herausgefunden. Bei mir (iOS) steht, dass Verschlüsselung aktiv sei. Bei ihm (Android) steht, es sei nicht aktiv, weil ich updaten müsse.
Durch eigene Erfahrung auch mit anderen Leuten kann ich sagen: e2e funktioniert nicht wirklixh gut.

Ties-Malte06.04.16 13:38

MetallSnake

Also hat Eventus doch recht mit seiner Behauptung?

Nicht in dem Sinne, dass das Adressbuch gescannt („abgesaugt“) würde. Ich finde den Unterschied schon nicht irrelevant (erstrecht, wenn manche kritisieren, was sie in anderen Apps dann i.d.R. ganz selbstverständlich nutzen.)

Man kann bei WA vieles kritisieren (ich nutze Threema ja auch nicht ohne Grund); aber das Laden des gesamten Adressbuches, wie Kritiker es gern behaupten (und wie die Zeit – und andere hier abschreibenden Medien – es seinerzeit suggerierte), fand m.W. nie statt.

vMief

Bei ihm steht, es sei nicht aktiv, weil ich updaten müsse.

Wie gesagt, WA einmal beenden und neu starten.

The early bird catches the worm, but the second mouse gets the cheese.

promac06.04.16 13:51

Ties-Malte

Man kann bei WA vieles kritisieren (ich nutze Threema ja auch nicht ohne Grund); aber das Laden des gesamten Adressbuches, wie Kritiker es gern behaupten (und wie die Zeit – und andere hier abschreibenden Medien – es seinerzeit suggerierte), fand m.W. nie statt.

Dann "verbiete" doch mal in den Sicherheitseinstellungen - WA den Zugriff auf die Kontakte >> funktioniert dann WA noch ???

MetallSnake06.04.16 13:53

Ties-Malte

Nicht in dem Sinne, dass das Adressbuch gescannt („abgesaugt“) würde. Ich finde den Unterschied schon nicht irrelevant.

Was ist denn der Unterschied? Zwischen absaugen und ...

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

matt.ludwig06.04.16 14:25

promac

Ties-Malte

Dann "verbiete" doch mal in den Sicherheitseinstellungen - WA den Zugriff auf die Kontakte >> funktioniert dann WA noch ???

Ja, tut es.

chessboard06.04.16 14:27

MetallSnake

Ties-Malte

Nicht in dem Sinne, dass das Adressbuch gescannt („abgesaugt“) würde. Ich finde den Unterschied schon nicht irrelevant.

Was ist denn der Unterschied? Zwischen absaugen und ...

Ich habe keine Ahnung, ob es wirklich so gehandhabt wird, aber denkbar ist, dass die App zu jeder Telefonnummer in den Kontakten beim WhatsApp-Server nachfragt, ob sie als WA-Nummer vorhanden ist. Ist das der Fall, wird sie in der App als möglicher Chatpartner vermerkt. Dann wäre nur die Telefonnummer beim WA-Server gelandet. Würden die Nummern von Leuten, die nicht bei WA mitmachen dann einfach verworfen, wäre das Vorgehen einigermaßen in Ordnung.

Denkbar wäre genauso, dass die App sämtliche Kontaktdaten, die es auf dem Smartphone findet, auf den WA-Server überträgt, der dann (serverseitig) dieses nun dort gespeicherte Telefonbuch mit den gespeicherten Telefonbüchern der anderen Nutzer abgleicht und dann der App die möglichen Chatpartner zurück übermittelt. In diesem Fall wären alle Kontaktdaten auf dem WA-Server gelandet und vor allem mit jedem neuen Kontakt immer schön auf den aktuellen Stand gebracht. (Sowas würde ich als "Absaugen" bezeichnen).

Ich sehe da schon unterschiedliche Grade des "Auspionierens". Kann zwar im Sinne von Datenschutz beides nicht mit einem Vorgehen wie bei Threema mithalten, aber Methode 1 wäre im Großen und Ganzen vertretbar — jeder Telekommunikationsanbieter weiß mindestens genauso gut über seine Nutzer Bescheid.

Raziel106.04.16 14:29

Am Ende bleibt halt immer noch die Frage, wie ein derart großer Service der von X Menschen verwendet wird und dementsprechende Kosten und Strukturen dahinter hat, völlig kostenlos angeboten werden kann...

Da sollte man auch bei solche News immer mal wieder darüber nachdenken...

MetallSnake06.04.16 15:16

chessboard

Ich glaube ich kann dir nicht ganz folgen.
Also im ersten Fall beschreibst du dass die Telefonnummern aus meinem Adressbuch an WA geschickt werden, und WA schickt dann die Nummern zurück die einen WA Account haben.

Im zweiten Fall beschreibst du dass die Telefonnummern aus meinem Adressbuch an WA geschickt werden, und (jetzt wirds verworren) die nicht prüfen welche Nummern einen WA Account haben, sondern irgendwie mit den Adressbüchern der anderen User abgleichen? Verstehe ich noch nicht so ganz weil am Ende das selbe hinaus kommt es einfach nur eine langsamere Variante ist.

In beiden Fällen werden die Nummern an WA geschickt und in beiden Fällen bekomme ich (also die App) die Info welche der Nummern einen WA-Account haben.

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

MetallSnake06.04.16 15:18

Raziel1

Es war mal kostenpflichtig, aber jetzt gehört WA ja zu FaceBook und die verdienen ihr Geld (unter anderem) durch Werbung.

Das Schöne an der KI ist, dass wir endlich einen Weg gefunden haben, wie die Wirtschaft weiter wachsen kann, nachdem sie jeden Einzelnen von uns getötet hat.

StefanE06.04.16 15:49

MetallSnake

chessboard

Ich verstehe es so, dass bei Methode 1 nur die Nummern an WhatsApp gehen. Bei Methode 2 wird das gesamte Adressbuch (also inkl. Namen, Adressen und Co) geschickt und somit ist eine eindeutige Zuordnung möglich.
Bei Methode 1 ist es nur so, dass die Telefonnummern und die dahinter bereits bei WhatsApp liegenden Daten verglichen werden.

Wer die Freiheit aufgibt, um Sicherheit zu gewinnen, wird am Ende beides verlieren!

Peter Eckel06.04.16 16:01

Ties-Malte

Und genauso handhaben es andere Chat-Programme auch, sonst wäre das automatische Hinzufügen neuer User ja nicht möglich.

Doch, ist es.

Es ist nicht notwendig, die Telefonnummern als solche zu übertragen. Ein Hash über die Telefonnummer reicht aus. So macht es z.B. Threema (behaupten sie jedenfalls).

Zur Erklärung: Eine Hashfunktion ist eine Funktion, die zu einem Eingabewert (eben z.B. einer Telefonnummer) einen Ausgabewert generiert, der zum einen stark von diesem Eingabewert abhängt (kleine Änderungen der Eingabe produzieren einen vollkommen anderen Hash), es zum anderen aber nicht erlaubt, den Eingabewert zu rekonstruieren. Die Kollisionswahrscheinlichkeit (also die Wahrscheinlichkeit, daß zwei verschiedene Eingaben den gleichen Hash erzeugen) ist extrem niedrig.

Beispiel: Meine Telefonnummer hat den folgenden SHA256-Hash:

db1703ae55022c73c45b379c6da80c023c99f0eea89bdb8e0795b93820c07d4f

Daraus ist die Nummer nach derzeitigem Stand der Kryptologie und Kryptanalyse nicht rekonstruierbar. Weil es aber in der Praxis keine Kollisionen gibt, kann man sehr genau feststellen, ob sie bereits in der Datenbank ist: Dort sind nämlich genau die Hashes der bereits bekannten Nummern gespeichert.

Und genau deswegen muß die Nummer mitnichten übertragen werden, um bereits vorhandene Kontakte zu finden.

Ceterum censeo librum facierum esse delendum.

Peter Eckel06.04.16 16:06

chessboard

Dann wäre nur die Telefonnummer beim WA-Server gelandet.

Nein, was beim Server landet ist viel wertvoller: Ein riesiger Graph von Bekanntschaftsbeziehungen.

chessboard

Würden die Nummern von Leuten, die nicht bei WA mitmachen dann einfach verworfen, wäre das Vorgehen einigermaßen in Ordnung.

Für wie groß hältst Du diese Wahrscheinlichkeit bei einer Facebook-Tochter?

Ceterum censeo librum facierum esse delendum.

Ties-Malte06.04.16 16:33

Peter Eckel

Danke für die Erklärung!

(Worauf ich nur hinaus wollte, ist, dass eben nicht jedes Adressbuch als ganzes hochgeladen, sondern „nur“ die bei WA hinterlege Nummer abgeglichen wird. Das ist eben doch ein quali- (und quanti)tativer Unterschied, auch wenn die Meta-Daten an sich natürlich einen ungeheuren Wert darstellen.)

Raziel1

Am Ende bleibt halt immer noch die Frage, wie ein derart großer Service […] völlig kostenlos angeboten werden kann…

Wie @MetallSnake ganz richtig sagst, war es bis vor kurzem kostenpflichtig. Nach Aufgabe dieser Option werde nach einem passenden Erlösmodell gesucht, ggf. mit kostenpflichtigen Optionen im Geschäftsbereich (Kundenkommunikation, e.t.c.).

The early bird catches the worm, but the second mouse gets the cheese.

Peter Eckel06.04.16 16:40

Ties-Malte

(Worauf ich nur hinaus wollte, ist, dass eben nicht jedes Adressbuch als ganzes hochgeladen, sondern „nur“ die bei WA hinterlege Nummer abgeglichen wird. Das ist eben doch ein quali- (und quanti)tativer Unterschied, auch wenn die Meta-Daten an sich natürlich einen ungeheuren Wert darstellen.)

... und genau das funktioniert nun leider wirklich nicht.

Wenn WA checken will, wer aus meinem Adreßbuch bereits dort eine registrierte Nummer hat, gibt es nur zwei Wege, das zu tun: Entweder muß WA alle Nummern (bzw., wenn sie das täten, eben deren Hashes) an mein Telefon schicken und dort abgleichen, oder eben umgekehrt alle Nummern (oder Hashes der Nummern) aus meinem Adreßbuch herunterladen. Ersteres ist kaum praktikabel

Wenn jeder nur seine eigene Nummer an WA übertrüge, könnte daraus eben nicht die Information generiert werden, wer von meinen Kontakten dort einen Account hat.

Genau deshalb muß bei verantwortlichem Umgang mit den Daten eben gehasht werden. Was zumindest nach meinem Informationsstand WA nicht tut, sondern eben alle Nummern hochlädt.

Ceterum censeo librum facierum esse delendum.

Ties-Malte06.04.16 17:00

Peter Eckel

Okay, Missverständnis: Für mich meint „ganzes Adressbuch“ immer auch Privat- und Geschäfts-Adressen, Accounts, etc., eben alle Infos, die User im Adressbuch so speichern. Und die werden eben nicht übertragen.

Dass die Mobilfunk-Nummern (oder günstigenfalls Hashes) in irgendeiner Form abgeglichen werden, ist klar. in welcher, weiß natürlich auch ich nicht.

The early bird catches the worm, but the second mouse gets the cheese.

Weitere News-Kommentare anzeigen

WhatsApp schaltet auf Ende-zu-Ende-Verschlüsselung

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.