Sichere Kommunikation - nutzt hier jemand Threema?

cuco

Moderator
Teammitglied
Themenstarter
Registriert
1 Dez. 2011
Beiträge
7.776
Mich würde mal interessieren, wie wichtig euch sichere Kommunikation auf dem Smartphone ist. Es gibt ja nun diverse Messaging-Apps für Smartphones. Aber entweder läuft sie
- so unsicher ab, dass man alle Daten mitlesen kann (Google-Dienste, WhatsApp, ...)
- oder ist viel zu umständlich für den Normaluser (PGP und andere Verfahren, bei denen der Schlüssel manuell ausgetauscht werden muss)
- oder sie ist plattformabhängig (Apple iMessage, whistle.im, ...)
- oder sie hat technisch bedingte Nachteile, die sie unpraktikabel machen (z.B. OTR basierte Lösungen zum Schlüsselaustausch, was nur funktioniert, wenn beide Endgeräte gleichzeitig online sind oder TextSecure/WhisperPush, was ausschließlich auf SMS beschränkt ist)

Da ich keiner von den Leuten bin, die sagen "Ich hab ja nichts zu verbergen, soll doch jeder mitlesen können", habe ich halt nach einer vernünftig verschlüsselten Lösung gesucht. Ich möchte schließlich nicht, dass nachher Bilder oder Nachrichten von mir sonstwo auftauchen, selbst wenn es nichts schlimmes ist. Ich gehe ja auch nicht nackt auf die Straße, weil ich ja "nichts zu verbergen habe" und ziehe mir trotzdem etwas an ;) Außerdem habe ich im Bekanntenkreis auch vor einer Weile erfahren müssen, was durch Generalüberwachung (die ja stattfindet, wie wir spätestens seit Snowden wissen sollten) alles passieren kann...

Aber Verfahren und Messenger wie WhatsApp, Mail, SMS und Co. kann nicht nur die NSA sondern mit mehr oder weniger geringem Aufwand auch jeder Privatmensch abhören und sich einen Spaß aus den abgefangenen Daten machen. Wiederum wird man nie jemanden dazu bekommen, großen Aufwand auf sich zu nehmen, wenn es doch so bequeme Lösungen wie WhatsApp gibt.

Ich bin deswegen inzwischen bei der App namens "Threema" gelandet, weil sie echte Ende-zu-Ende-Verschlüsselung bietet und man dabei auf (fast) keinen Komfort verzichten muss. Alle Nachrichten und Daten werden so übertragen, dass niemand (auch kein NSA, FBI, der Computernerd von nebenan oder der Hersteller der App) mitlesen kann. Durch asynchrone Verschlüsselung ist das auch sicher und der private Key verlässt dabei nie das Handy - der öffentliche Key muss dagegen nicht manuell verteilt werden, sondern wird über die Threema-Server mit den anderen Kontakten synchronisiert. Da die Server in der Schweiz stehen, gibt es auch keine Pflicht, Abhörschnittstellen oder ähnliches bereitzustellen. Würde aber eh wenig bringen, da man die Daten "unterwegs" nicht entschlüsseln kann. Ich bin absolut positiv begeistert davon und habe auch keine Lösung gefunden, die mithalten kann. Ziemlich genau so komfortabel wie WhatsApp, ähnliches Funktionsumfang - nur eben vernünftig verschlüsselt.

Nachteil ist aber natürlich, dass jeder Kontakt, mit dem man schreiben will, auch Threema haben muss. Und da WhatsApp bekanntlich viel mehr Leute erreicht und im ersten Jahr auch noch kostenlos ist, ist es verdammt schwer, die Leute dazu zu bringen, sich auch Threema zu holen.


Mich würde nun mal interessieren: Nutzt ihr sichere Messenger auf eurem Smartphone? Welchen und warum? Und wenn ihr keinen nutzt: Warum nicht?


Abschließend natürlich mein Tipp: Holt euch Threema :p Nur wenn es verbreitet ist, kann es funktionieren. Mein Kumpel, der mich dazu gebracht hat, hat schon 40 seiner Freunde auch bei Threema, ich hab inzwischen nach ca. 2,5 Monaten Benutzung auch knapp 20. Viele meiner Freunde dagegen haben aber wiederum halt auch nur 1-5... Aber: Irgendwer muss ja anfangen :D Die App ist für iOS und für Android ab 4.0 verfügbar und kostet gerade mal 1,79€ (iOS) bzw. 1,60€ (Android). Weniger als ein Bier oder ein Getränk in der Kneipe/Disco/Bar/... Kann man mal investieren ;)
Ich möchte dabei übrigens betonen: Ich habe nichts mit der Firma, die hinter Threema steckt, zu tun. Ich bekomme kein Geld für Werbung oder ähnliches. Ich bin einfach überzeugt von der Lösung und möchte mal wissen, wie ihr überhaupt allgemein zu sicherer Kommunikation steht.
 
Zuletzt bearbeitet:
Moin

Die wichtigste Info dazu.

Du hast damit alle Kontakte aus deinen Adressbüchern an einen amerikanischen Anbieter verkauft.

RomanX

Der Fairness halber: Die Daten hatten sie schon bevor Helios Whatsapp installiert hat, denn die meisten seiner Kontakte werden es nutzen und von denen hat Whatsapp dann natürlich schon die Kontaktlisten
 

Hab gehört, Telegram speichert den Private Key auf dem Server für die Multi-Device-Fähigkeit? Wenn das stimmt, wäre das "broken by design", ein Private Key DARF das Endgerät nicht verlassen bei Ende-zu-Ende-Verschlüsselung oder man kann sich das Sicherheitsfeature auch gleich schenken...
Ich hab aber weder Bestätigungen noch Dementierungen gelesen... Weiß da jemand genaueres?
 
Ich wusste nicht das es eine derartige Pflicht in Deutschland gibt, man möge mich aber bitte korrigieren. Zumal die Software wieder auf Geräten läuft die evtl. die o.g. Schnittstelle besitzen (könnten), oder anderweitig kompromittiert werden.

Aber natürlich. Jede Uni, jeder Provider, jeder Diensteanbieter, jeder Online Dienste mit mehr als 10.000 Anwendern ist verpflichtet eine Black-Box zu installieren (und SELBST zu bezahlen by the way), die auf richterliche Anordnung hin den Datentraffic einzelner User mitschneidet.

Google "SINA Box" und TKÜV.
 
Hab gehört, Telegram speichert den Private Key auf dem Server für die Multi-Device-Fähigkeit? Wenn das stimmt, wäre das "broken by design", ein Private Key DARF das Endgerät nicht verlassen bei Ende-zu-Ende-Verschlüsselung oder man kann sich das Sicherheitsfeature auch gleich schenken...
Ich hab aber weder Bestätigungen noch Dementierungen gelesen... Weiß da jemand genaueres?
Laut FAQ ist das nur bei den normalen Chats der Fall - bei den "Private Chats" aber nicht:
"Q: Why not just make all chats ‘secret’?
A: The important thing to remember is that all Telegram messages are always securely encrypted. The difference between messages in Secret Chats and ordinary Telegram messages is in the encryption type: client-client in case of Secret Chats, client-server/server-client for ordinary chats. This enables your ordinary Telegram messages to be both secure and available in the cloud so that you can access them from any of your devices — which is very useful at times."
https://telegram.org/faq#q-why-not-just-make-all-chats-secret

Meines Erachtens ist Telegram besser als Threema da es:
- Open-Source ist (und somit wirklich Plattformunabhängig, im Gegensatz zu Threema, das gibt es z.B. nicht für Windows Phone)
- Kostenlos ist
- Fast die volle WhatsApp Funktionaltität bietet
 
Zuletzt bearbeitet:
Aber natürlich. Jede Uni, jeder Provider, jeder Diensteanbieter, jeder Online Dienste mit mehr als 10.000 Anwendern ist verpflichtet eine Black-Box zu installieren (und SELBST zu bezahlen by the way), die auf richterliche Anordnung hin den Datentraffic einzelner User mitschneidet.
Die Information scheint falsch zu sein.
Die SINA-Box schneidet wohl nicht den Datenverkehr mit, ja ist nicht mal an das Netz des Providers angeschlossen. Vielmehr muss der Provider auf Anordnung die Daten des jeweiligen Kunden auf die SINA-Box übertragen. Es wird also nur der Transportweg (sonst wohl CD/DVD) verkürzt, nicht aber das Netz des Providers kompromittiert.
Posteo.de hat das mal ausgeführt: Posteo zur Mär von der "Abhör-Schnittstelle"



[/I]A: The important thing to remember is that all Telegram messages are always securely encrypted. The difference between messages in Secret Chats and ordinary Telegram messages is in the encryption type: client-client in case of Secret Chats, client-server/server-client for ordinary chats. This enables your ordinary Telegram messages to be both secure and available in the cloud so that you can access them from any of your devices — which is very useful at times."

Ich habe das Gefühl, daß hier bewußt zwei grundverschiedene Dinge verglichen werden, um einen falschen EIndruck von Sicherheit zu erwecken.
Das eine ist die End-zu-End-Verschlüsselung der Secure Chats.
Das andere ist die Transportverschlüsselung zwischen Client und Server. Bei dieser liegen die Daten dann aber anscheinend/möglicherweise unverschlüsselt auf dem Server.

Das eine verbirgt die Unterhaltung vor jedem, der nicht auf einen der beiden beteiligten Clients Zugriff hat, also Dritte, aber auch den Provider.
Das andere verbirgt die Unterhaltung vor Dritten, aber nicht vor dem Provider.


//edit: Tuppfehlerteufel ausgetrieben
 
Zuletzt bearbeitet:
Laut FAQ ist das nur bei den normalen Chats der Fall - bei den "Private Chats" aber nicht.

Meines Erachtens ist Telegram besser als Threema da es:
- Open-Source ist (und somit wirklich Plattformunabhängig, im Gegensatz zu Threema, das gibt es z.B. nicht für Windows Phone)
- Kostenlos ist
- Fast die volle WhatsApp Funktionaltität bietet

Die Frage ist, ob es dann nicht der gleiche Schlüssel ist. Ich hoffe nicht. Aber so wie ich verstehe, wird also Standardmäßig nur eine Transportverschlüsselung genutzt, bei der die Nachrichten auf dem Server im Klartext vorliegen? Und nur auf Wunsch wird Ende-zu-Ende verschlüsselt? Dann wäre es auch nicht viel besser als WhatsApp... Sonst siegt die Bequemlichkeit der User.

Open Source ist ein echter Vorteil. Auch wenn sich die korrekte Verschlüsselung bei Threema nachweisen lässt.

Kostenlos halte ich immer für fraglich. Wirklich kostenlos ist nie etwas. Bei solchen Sachen ist leider meist der User die Währung, in dem man seine Daten zu Geld macht. Die Infrastruktur bezahlt sich nicht von allein... Auf den ersten Blick ein Vorteil aber ich bin da immer skeptisch.

"Die volle WhatsApp-Funktionalität"? Was ist denn die volle Funktionalität? Wo fängt das an und wo hört es auf?
 
Ich hab jetzt auch mal Threema installiert und werde es mal testen, schade dass bisher nur zwei meiner Kontakte das auch nutzen :(
 
Kommt bestimmt :) bei jeder Alternative muss irgendwer anfangen. Und sowohl die Downloadcharts der letzten Tage (Platz 1 bei Apple, Platz 4 bei Google) und dadurch aufmerksam gewordene Medien als auch nun die WhatsApp/Facebookgeschichte sorgen für ne Werbung, die man nie hätte bezahlen können.
 
Ich habe3 das Gefühl, daß hier bewußt zwei grundverschiedene Dinge verglichen werden, um einen falschen EIndruck von Sicherheit zu erwecken.
Das eine ist die End-zu-End-Verschlüsselung der Secure Chats.
Das andere ist die Transportverschlüsselung zwischen Client und Server. Bei dieser liegen die Daten dann aber anscheinend/möglicherweise unverschlüsselt auf dem Server.
Ja, ganz richtig. Nur der Secure-Chat ist End-to-End verschlüsselt und auf Wunsch aktivierbar.

Die Frage ist, ob es dann nicht der gleiche Schlüssel ist. Ich hoffe nicht. Aber so wie ich verstehe, wird also Standardmäßig nur eine Transportverschlüsselung genutzt, bei der die Nachrichten auf dem Server im Klartext vorliegen? Und nur auf Wunsch wird Ende-zu-Ende verschlüsselt? Dann wäre es auch nicht viel besser als WhatsApp... Sonst siegt die Bequemlichkeit der User.
Richtig, auf Wunsch.

Also ich finde es schon besser als Whats-App, da hat man diese Möglichkeit ja gar nicht. Wer wirklich Wert darauf legt dass alles verschlüsselt ist, und sich dafür auch extra eine solche Lösung holt statt WhatsApp, Facebook und Konsorten, der wir sich wohl nicht zu bequem sein auf den Button "Create secret chat" zu drücken (den Chat kann man übrigens auch selbst wieder komplett löschen)

Kostenlos halte ich immer für fraglich. Wirklich kostenlos ist nie etwas. Bei solchen Sachen ist leider meist der User die Währung, in dem man seine Daten zu Geld macht. Die Infrastruktur bezahlt sich nicht von allein... Auf den ersten Blick ein Vorteil aber ich bin da immer skeptisch.
Laut eigener Aussage sind sie "Non-Profit". Ob das stimmt wird man sehen.

"Die volle WhatsApp-Funktionalität"? Was ist denn die volle Funktionalität? Wo fängt das an und wo hört es auf?
Weil es in der Benutzerführung sich etwa genau wie WhatsApp anfühlt, und z.B. kann man bei Gruppenchats auch nachträglich Leute hinzufügen, oder dass die Chats auf mehreren Geräten abrufbar sind (anders als Threema), wenn man nicht den Secret Chat nutzt.
 
Existieren ja zwei Version von Telegram. Die "Normal" und eine "Unofficial". Wo liegt da der Unterschied?
 
Die normalen Versionen sind von Telegram selbst. Die "unofficial" Versionen sind von unabhängigen Softwareentwicklern auf Basis der offenen Telegram API.

Deswegen gibt es von Telegram auch z.B. Desktop Clients.
 
Also die größten Chancen sehe ich im Moment auch bei Threema, weil es eben in den Downloadcharts relativ weit oben ist.

Die Frage ist ob es irgendeinen größeren Nachteil gibt den ich vllt. gerade nicht sehe; Verbreitung unter Kontakten mal ausgenommen.
 
Moin

Threema bietet ATM das beste Sicherheitskonzept. Da können die anderen Alternativen noch nicht mithalten.

Nachteile sind IMHO:
- proprietäre Software (auch wenn die offene Standards verwenden)
- Ein Mann Unternehmen (AFAIK)

Einen gravierenden Nachteil, der mich davon abhalten könnte, die Software zu nutzen sehe ich momentan nicht.

RomanX
 
Für die asymmetrische Ende-zu-Ende-Verschlüsselung mit elliptischen Kurven wird die NaCl-Cryptography-Library verwendet. http://nacl.cr.yp.to/
Details darüber gibt es hier: http://cr.yp.to/highspeed/naclcrypto-20090310.pdf
Trotz der Closed-Source-Implementierung von Threema kann man prüfen, dass sie NaCl wirklich einsetzen: https://threema.ch/validation/
Quelle: siehe hier: https://threema.ch/de/faq.html "Was macht Threema sicher?"
Wenn man im WLAN hängt, müsste man einem managebaren Switch und Wireshark auch die Pakete abfangen können. Dann könnte man auch noch überprüfen, ob die Threema-Validierungsfunktion in der App beim exportieren der Pakete nicht schummelt. Das letzte bisschen wird man aber immer vertrauen müssen - schließlich kann man nie kontrollieren, ob die App nicht doch eine Hintertür hat, die sie unter gewissen Bedingungen versteckt (z.B. nur ausführt, wenn man im UMTS hängt, da dann kein Wireshark läuft) usw. Aber am Ende muss man dann doch einen Tick vertrauen. Selbst wenn der Quellcode öffentlich wäre, kann man nicht prüfen, ob das Kompilat, welches man im Playstore/Appstore runterlädt wirklich dem aus dem offenen Quelltext entspricht.
 
Danke für die Infos, cuco.

Puhhh, wäre mir jetzt schier mein Nuggel aus dem Mund gefallen. Habe so "sinngemäss" gelesen: "Asymmetrische Verschlüsselung auf elliptischer Basis mittels Natriumchlorid (NaCl)-Bibliothek" :D.

Nun gut... und obwohl ich doch schon diverse Kontakte habe, benutzt niemand davon Threema. Muss mich dann wohl noch ein bisschen gedulden, bis ich einen Kontakt zum Testen gefunden habe.


LG Uwe


P.S.: Elliptische Verschlüsselungen basieren mathematisch auf dem "Modularitätssatz (ehemals Taniyama-Shimura-Vermutung)", welcher wiederum ein Spezialfall der "Serre-Vermutung" (Galoisdarstellungen & Modulformen) ist. Führte u.a. zur Lösung des "Grossen Fermats".
 
Zuletzt bearbeitet:
  • ok1.de
  • ok2.de
  • thinkstore24.de
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben