Bericht: BKA liest heimlich WhatsApp mit

[Raz3r]

@Abramovic hier benimmt sich keiner wie ein Kind, wir tauschen uns aus. Höflich und respektvoll, ich denke, das kriegen wir alle hin.

Zurück zum Thema.

dass sas eine per Browser gestartet wird und das andere erst heruntergeladen und installiert werden muss.

Was hält denn einen Dritten davon ab, eine Desktop-Anwendung zu installieren und dann mitzulesen? Der Aufwand ist identisch.

Die Desktop-Anwendung von Signal unterscheidet sich dahingehend, dass hier kein Browser benutzt wird und alte Kommunikation nicht abgerufen wird, da keine Serverspeicherung stattfindet. Die Verbindung wird, analog zu WhatsApp, per QR-Code hergestellt.

Bei Signal bleibt die Verbindung im Übrigen auch bei Neustart oder Herunterfahren des Clients bestehen und muss auch nicht erneut verifiziert werden. Einzig wenn vom Client aus die Sitzung beendet oder vom Hauptgerät die Autorisierung gelöscht wird, wird die Verbindung getrennt.

 

[Abramovic]

Ihr beide kennt euch damit überhaupt nicht aus, ich hingegen weiß ganz genau, dass das mit Signal nicht passiert wäre. Telegram hingegen schon, um das gleich mal klarzustellen!

Ich wollte nur sehen, ob Ihr es irgendwie begründen könnt... du sagst "nö" und dann "ja Telegram aber auch net" und am Ende stimmst du Raz3r zu, obwohl du das genaue Gegenteil behauptet hast
Dann kommen nutzlose Kommentare wie "Klicks = Geld !11!!1!" hihihi hehehe
Es kann ja gut sein, das sich etwas geändert hat oder das es eine neue Lücke gibt, somit hätte ich etwas neues dazu gelernt...

Signal hat genau aus diesem Grund vor über 3 Jahren es ausgeschlossen. Die Gefahr das mitgelesen werden kann, ist zu groß.
Alle "Messenger mit einer vergleichbaren Web-Anbindung" nutzen das gleiche Verfahren, Signal nicht. Wie kannst das prüfen? Du suchst Tools, wie meet Franz und stellst dir die Frage, wieso Signal nicht angeboten wird. Eine Minute Google und der erste Treffer:

"Signal is not available as a web version - this is required for being available in Franz. I've been in talks with Signal and they made it clear that they are not planning to support web as a platform"
Support Signal Secure Messenger (Feature Proposal) · Issue #767 · meetfranz/franz

 

[Raz3r]

Ihr beide kennt euch damit überhaupt nicht aus, ich hingegen weiß ganz genau, dass das mit Signal nicht passiert wäre. Telegram hingegen schon, um das gleich mal klarzustellen!

Na zum Glück bist Du hier, um uns aufzuklären.

Du glaubst mir nicht? Stört mich nicht im Geringsten. Allerdings solltest Du keine Behauptungen aufstellen, die Du nicht belegen kannst.

Melde Dich bei Signal an, verbinde den Desktop-Client
Signal Messenger: Speak Freely
mit Deiner Signal-Anwendung auf dem Smartphone. Wenn Du das erledigt hast, treffen wir uns hier wieder und Du erklärst mir, warum Signal hier sicherer sein soll.

Und nur am Rande. Wenn Du in Telegram einen verschlüsselten Chat nutzt, kann dieser weder über den Desktop-Client noch die Web-Anbindung gelesen werden.

 

[Abramovic]

@Abramovic hier benimmt sich keiner wie ein Kind, wir tauschen uns aus. Höflich und respektvoll, ich denke, das kriegen wir alle hin.

Stimmt, hast Recht, ich entschuldige mich !!1!!111 187

Was hält denn einen Dritten davon ab, eine Desktop-Anwendung zu installieren und dann mitzulesen? Der Aufwand ist identisch.

Die Desktop-Anwendung von Signal unterscheidet sich dahingehend, dass hier kein Browser benutzt wird und alte Kommunikation nicht abgerufen wird, da keine Serverspeicherung stattfindet. Die Verbindung wird, analog zu WhatsApp, per QR-Code hergestellt.

Richtig...
Das fängt schon mit dem PIN an...

Dir muss bewusst sein, dass das Open Source ist. Jeder kann sich den Quellcode anschauen und Fehler suchen aber auch Änderungen in den Raum werfen, welche von mehrere Leuten überprüft werden.

Jetzt ist zum Beispiel der Punkt hier ein Thema und es wird besprochen, wie sicher man dagegen wäre (voll und ganz) und wie man diese Methode noch weiter ausbauen könnte, um noch mehr Sicherheit einzubauen. In anderen Worten... obwohl du noch nicht einmal betroffen bist, sitzen Leute jetzt da und überlegen sich, wie man die Methode doch nutzen könnte, um bei Signal mit zu lesen.

Selbst wenn du dich damit überhaupt nicht auskennst, wird dir schnell klar werden, wie viel besser/sicherer ist als das grüne Lager.

Beiträge automatisch zusammengeführt: 24.07.2020

Wenn Du das erledigt hast, treffen wir uns hier wieder und Du erklärst mir, warum Signal hier sicherer sein soll.

1. Signal soll nicht sicherer sein, es ist sicherer, weil
2. es mit Signal nicht möglich ist, mit WhatsApp und Telegram hingegen schon

Signal verwendet nicht das Verfahren, wie es unter WhatsApp genutzt wird, die Einrichtung ist aber genau gleich, wie unter WhatsApp. Deshalb bist du im Glauben es wäre genau gleich.

Warum kann meet Fritz Signal nicht anbieten, obwohl es ja das gleiche Verfahren sein soll? Weil es das eben nicht ist...

 

[Raz3r]

Ich streite mich nicht mit Dir, Du willst oder kannst es nicht verstehen.

Die Gefahr ist identisch. Die PIN ist zum Einen zwischenzeitlich wieder optional, zum Anderen wird jemand, der das Smartphone entsperren kann, dann ja sicherlich auch die PIN in Erfahrung bringen können, wenn sie denn vergeben wurde.

Bei beiden Messengern genügt es, Zugriff auf das entsperrte Smartphone zu haben, um dann dauerhaften und uneingeschränkten Zugriff auf die Nachrichten zu erhalten.

Und Funfact. Signal und WhatsApp verschlüsseln mit dem gleichen Protokoll. Soviel dazu.

 

[Abramovic]

"Signal is not available as a web version - this is required for being available in Franz. I've been in talks with Signal and they made it clear that they are not planning to support web as a platform"

Wieso schreibt das ein Entwickler, wenn es doch das gleiche Protokoll ist und es Signal für den Desktop gibt?

 

[Raz3r]

@Abramovic Du bringst so viel durcheinander was nichts miteinander zu tun hat.

Und warum bringst Du ständig Franz mit ins Spiel. Franz vereint die Web-Funktionalität der einzelnen Messenger in einer Oberfläche. Für Signal benötigt man einen Desktop-Client. Damit kann Franz nicht umgehen. So einfach ist das. Franz hat nichts mit Signal zu tun und ist deshalb für die Diskussion absolut unerheblich.

 

[Abramovic]

Ich bringe nichts durcheinander und das weißt du auch!

Franz verbindet alle Web-Dienste, welche eine Web-Version anbieten. Es ist nur ein Beispiel aber hier wird auch bestätigt, dass das nicht funktionieren kann, da es keine Web-Version gibt, für Signal. Deshalb findest du dort WhatsApp aber auch Telegram und weitere Dienste, welche eben diese Schwäche haben.
Signal kannst du so über den Browser nicht nutzen und auch nicht einbinden, es unterscheidet sich somit.

Zusätzlich erklärt der Entwickler dir, wieso es nicht möglich ist und das es auch in Zukunft nicht möglich sein wird. Das hat auch seinrn Grund. Mit dem Browser kommt eine dritte Partei ins Spiel...

Das du es auf dem Desktop nutzen kannst, bedeutet nicht, dass das ne Web-Version ist. Du kennst dich überhaupt nicht aus und selbst so einfache Dinge wie der Pin sind dir neu, da du Signal noch nicht einmal genutzt hast.

 

[Raz3r]

Vielleicht hat jemand anderes Muße, Dir das Ganze zu erklären. Ich bin raus.

 

[Abramovic]

Ja was willst du auch sagen...

 

[pleitegeier]

@Abramovic es spielt doch überhaupt keine Rolle ob es über einen Browser oder ein Programm läuft.
Das, was hier als Sicherheitsproblem verkauft werden will ist, dass man Chats mit lesen kann, wie auch immer.

Um dies zu ermöglichen muss man aber eben physischen Zugriff auf das entsperrte Smartphone haben, welches ausgespäht werden soll.

Signal mag hier minimal sicherer sein, weil man zusätzlich zum scannen des QR Codes, mit dem man Smartphone und Browser/PC Anwendung verbindet, optional noch eine Pin eingeben muss.
WhatsApp kann man übrigens auch generell zusätzlich per Fingerabdruck sperren

 

[Abramovic]

Genau das ist doch der Punkt und genau deshalb wurde abgelehnt so etwas einzuführen...

Im Grunde brauchen die nichts, da fast jeder Windows nutzt aber probier doch Signal einfach mal aus und mach dir ein Bild davon. Das mit dem Pin ist der größte Mist, welchen die vor ~2 Monaten eingeführt haben.

 

[pleitegeier]

Im Grunde brauchen die nichts

Bis auf physischen Zugriff auf dein Smartphone, welches zufällig in dem Moment auch noch entsperrt ist.
Das ist doch vollkommen abwegig.

Hab jetzt einfach mal spaßeshalber Signal installiert, sowohl auf dem Smartphone als auch auf dem pc.
Obwohl ich die Pin ebenfalls aktiviert habe lässt sich der PC ohne extra Pin Abfrage, nur durch scannen des QR Codes, verbinden.
Und als Krone dazu gibt das Smartphone nicht mal eine Meldung aus, dass gerade ein Gerät Zugriff auf die Chats hat. WhatsApp meldet dies jedes mal, außer man deaktiviert diese Benachrichtigung.

Sorry, du erzählst hier absoluten Unsinn.

 

[JustDroidIt]

Haben wir schon ein Sommerloch?

Ist hier nicht immer Sommerloch!?

 

[maik005]

@JustDroidIt
Wird Zeit für das Note 20

 

[Abramovic]

Einfach nur sprachlos...

 

[maik005]

@Abramovic
Genau so geht es mir auch.
Und nun könnte man das Thema auch schließen.
Es ist ja nun bekannt das Signal auch nicht wirklich sicherer ist, außer das es statt einem Browser eben die Signal Desktop App braucht.