Wie kann es sein? Handynummer nun gehasht oder nicht?

Stelle deine Frage öffentlich an die Threema-Forum-Community - über 4.600 Mitglieder helfen dir weiter. > Frage stellen <
  • Der Threema Transparenzbericht listet, wenig überraschend, erschreckendes auf. Er spiegelt den ständig wachsenden Datenhunger der Kriminellen (vulgo Regierungen) wieder. Um so wichtiger ist es Tools wie Threema zu haben und zu verwenden. Nun frage ich mich, wie kann es sein daß Threema angibt Mobilfunknummern (sofern verknüpft) nur gehasht zu übertragen. Genau so wie eMail Adressen. Im Transparenzbericht wird angegeben das eMail Adressen nur gehasht heraus gegeben werden können, Mobilfunknummern werden ohne Zusatz gehasht erwähnt! Wieso?
    https://threema.ch/de/transparencyreport

    https://threema.ch/de/faq/addressbook_data
    -------------------------------------------
    "Wenn Sie die Synchronisation verwenden, werden E-Mail-Adressen und Telefonnummern aus dem Adressbuch nur einwegverschlüsselt («gehasht») und zusätzlich mit SSL gesichert an unsere Server übertragen. Die Server halten diese Hashes nur kurzzeitig im Arbeitsspeicher, um die Liste der übereinstimmenden IDs zu ermitteln, und löschen sie sofort wieder. Zu keinem Zeitpunkt werden die Hashes oder die Ergebnisse des Abgleichs auf einen Datenträger geschrieben.

    Bitte beachten Sie: aufgrund der relativ wenigen möglichen Zahlenkombinationen von Telefonnummern können Hashes davon theoretisch per Brute-Force-Attacke (= Durchprobieren aller Möglichkeiten) entschlüsselt werden. Dies ist prinzipbedingt und kann nicht anders gelöst werden (die Verwendung von Salts wie beim Hashing von Passwörtern funktioniert für so einen Datenabgleich nicht). Wir behandeln daher die Telefonnummern-Hashes mit der selben Vorsicht, als wenn es rohe/ungehashte Telefonnummern wären."


    vs.:
    "Sofern die rechtlichen Voraussetzungen vollständig erfüllt sind, können wir folgende Angaben zu einer gegebenen Threema-ID liefern:

    Handynummer, sofern durch den Nutzer verknüpft
    E-Mail-Adresse (Hash), sofern durch den Nutzer verknüpft
    Push-Token, sofern der Nutzer einen Push-Dienst verwendet"

    "no space left on device" "kein Weltraum links vom Gerät"


  • Der Threema Transparenzbericht listet, wenig überraschend, erschreckendes auf. Er spiegelt den ständig wachsenden Datenhunger der Kriminellen (vulgo Regierungen) wieder.

    Naja nun komm, 11 Threema-IDs dieses Jahr. Wie viele Millionen Nutzer hat Threema? Ach ja, vor einiger Zeit waren es ~3 Millionen aktive.
    Was ich interessant finde, ist allerdings das ja durchschnittlich pro Abfrage rund 5 Threema-IDs betroffen waren. Warum?
    Und noch etwas: Was ist mit der einen Abfrage passiert, die formal korrekt war aber keine Datenlieferung nach sich zog…?

    Warum Telefonnummern nicht gehasht vorliegen, wurde auch schon bei Einführung des Transparenzberichtes erklärt. Kurz gesagt: Es macht wenig Sinn.
    Allerdings sind damit auch nur Telefonnummern gemeint, die mit einer Threema-ID verknüpft wurden. Die anderen Telefonnummern (beim Abgleich des Adressbuchs), werden wie immer nur gehasht übertragen und dann mit der Telefonnummer auf dem Server verglichen.

  • Danke für die Antwort und den Link! Ich sähe es lieber wenn meine Rufnummer trotzdem gehasht wäre und ich dann eben KEINE Rufnummer bei der Übertragung der ID angezeigt bekomme. Mal ehrlich, wie oft passiert das. Und wenn ich Bequemlichkeit der Sicherheit vorzöge; dann würde ich Whatsapp nutzen. Und NICHT Threema. Hier sollte nachgebessert werden!

    "no space left on device" "kein Weltraum links vom Gerät"

  • Das Rekonstruieren der Telefonnummer aus einem Hash ohne Salt ist so trivial einfach und schnell, dass diese auch durch die dümmste Cyberbehörde (:tränenlachen:) innerhalb von Sekunden rekonstruierbar ist. Ich zitiere dbrgn: Das gehashte Speichern von Telefonnummern ist Security by Obscurity.

    (Um Verwirrung zu vermeiden: Ich arbeite bei Threema, spreche hier aber für mich.)


  • Und noch etwas: Was ist mit der einen Abfrage passiert, die formal korrekt war aber keine Datenlieferung nach sich zog…?

    Ich nehme mal an dass die eine Telefonnummer mitgeliefert haben die dann keinen Threemaaccount hatte.

    Jeder Tag könnte Threema Web für iOS Tag sein.

    Jeder Tag ist Threema Web für iOS Tag.

    Jeder Tag könnte Threema Multidevice Tag sein.

    Jeder Tag ist Threema Multidevice Tag.

    Nur mit Threema Safe schläft man ruhig.