"Timing Attacks on WhatsApp, Signal, and Threema can Reveal User Location"

Stelle deine Frage öffentlich an die Threema-Forum-Community - über 4.800 Mitglieder helfen dir weiter. > Frage stellen <

    Timing Attacks on WhatsApp, Signal, and Threema can Reveal User Location | RestorePrivacy


    @Jarem Forster
    @f09fa681

    Was sagt Threema zu dieser Meldung?

    EDIT:
    Steht mittlerweile unten auf der Seite

    "

    UPDATE 2: Threema provided RestorePrivacy with the following statement on October 21st:

    We have already considered different workarounds and conducted various tests, including ones where the client randomly delays delivery notifications slightly to render these kinds of timing analyses useless. (App updates containing this improvement should become available soon.)

    Please note, however, that the practical exploitability of these timing analyses is debatable: Users typically don’t have their messenger app open all the time, and push notifications that wake up the app in the background already add a considerable delay of up to several seconds.
    "

    Zitat von Robby

    UPDATE 2: Threema provided RestorePrivacy with the following statement on October 21st:

    We have already considered different workarounds and conducted various tests, including ones where the client randomly delays delivery notifications slightly to render these kinds of timing analyses useless. (App updates containing this improvement should become available soon.)

    Please note, however, that the practical exploitability of these timing analyses is debatable: Users typically don’t have their messenger app open all the time, and push notifications that wake up the app in the background already add a considerable delay of up to several seconds.
    "

    Wir haben bereits verschiedene Workarounds (Behelfslösungen) erwogen und verschiedene Tests durchgeführt, darunter solche, bei denen der Kunde (ist damit der Messenger-Nutzer gemeint?) Zustellbestätigungen willkürlich etwas verzögert, um diese Art von Zeit-Analysen wertlos zu machen. (App-Updates mit dieser Verbesserung sollten bald erhältlich sein.)

    Bitte beachten Sie zudem, dass der praktische Nutzen dieser Zeit-Analysen fraglich: Nutzer haben ihre Messenger-App gewöhnlich nicht ständig geöffnet, und Push-Benachrichtigungen, die die App im Hintergrund wachrufen, fügen bereits eine maßgebliche Verzögerung von bis zu mehreren Sekunden hinzu.

    Die Info bekam ich vom Support

    --------

    Vielen Dank für Ihre Anfrage. Es ist aus verschiedenen Gründen höchst zweifelhaft, dass

    solche «Timing-Analysen» in der Praxis durchgeführt werden können.

    Nutzer erhalten nicht nur dann Nachrichten, wenn ihre Messaging-App geöffnet ist. Und

    sobald sich die App im Hintergrund befindet, wird sie durch Push-Benachrichtigungen

    aufgeweckt, wenn eingehende Nachrichten eintreffen: Dadurch verzögert sich die Rücksendung

    des Zustellungsstatus unvorhersehbar.

    Ausserdem wäre es höchstens dann möglich, den Standort einer Person zu erraten, wenn der

    Angreifer von vornherein mit Sicherheit weiss, dass sich die Zielperson an einem Ort aus

    einer vordefinierten und sehr kurzen Liste an möglichen Orten aufhält (nicht aber an einem

    beliebigen Ort). Aus dem Blauen heraus den Standort eines Threema-Nutzers zu ermitteln,

    ist aber selbstverständlich nicht möglich.

    Wir haben dennoch mehrere Umgehungsmöglichkeiten in Betracht gezogen und verschiedene

    Tests durchgeführt, darunter auch solche, bei welchen Zustellungsbenachrichtigungen nach

    dem Zufallsprinzip ein wenig verzögert werden, um Timing-Analysen ins Leere laufen zu

    lassen. App-Updates, welche diese Verbesserung beinhalten, sollten demnächst verfügbar

    werden.

    -------

    Meine Nachfrage auf die Antwort:

    Hallo Threema-Support,

    Vielen Dank für die umfassende Antwort. Meine Anfrage bezog sich aber darauf, ob die Timing -Analyse auch dann funktioniert wenn ich "Unbekannte blockieren" aktiv habe. Demnach dürfte der Unbekannte mir gar keine Nachricht senden können um sie danach zu analysieren.

    ----------

    Antwort vom Support


    Besten Dank für Ihre Rückmeldung.

    Unsere Antwort sollte in erster Linie darlegen, dass ohnehin keine ernstzunehmende Gefahr

    von solchen Timing-Analysen ausgeht (zumal sie höchstens in der Theorie oder in einem

    akademischen Versuchsszenario durchführbar sind) und somit grundsätzlich keine

    Gegenmassnahmen ihrerseits erforderlich sind.

    (Ein potenzieller Angreifer müsste bereits etliche Male über Ihren tatsächlichen Standort

    Kenntnis gehabt und Ihnen jeweils mehrere Nachrichten geschickt haben, um zu

    Referenzwerten zu gelangen. Dabei müsste die App bei Ihnen stets offen und im Vordergrund

    gewesen sein, da andernfalls Push-Benachrichtigungen die Werte verwässern und unbrauchbar

    machen würden. Weiter müsste der Angreifer mit absoluter Sicherheit wissen, dass Sie sich

    zum gegebenen Zeitpunkt an einem von z.B. drei bereits bekannten und zuvor getesteten

    Orten befinden, und erst dann könnte er erraten, um welchen Ort es sich tatsächlich

    handelt. Wenn allerdings von vornherein bekannt ist, dass Sie sich an einem von drei

    möglichen Orten aufhalten, liegt die Wahrscheinlichkeit, den richtigen Standort zu

    erraten, von vornherein bei rund 33%.)

    Um aber auf Ihre Frage zurückzukommen: Ja, wenn Sie die «Unbekannte blockieren»-Option

    aktivieren, wäre es _für Unbekannte_ ohnehin nicht mehr möglich, auf die besagte Weise von

    Timing-Analysen Gebrauch zu machen.

    ----------

    Da ich generell Unbekannte blockiere betrifft mich das Thema nicht, zumal ich keinem meiner Kontakte die Fähigkeit der Timing-Analyse zutraue.

    Es scheint heutzutage eine allgemeine Seuche zu sein, dass Wissenschaftler absolut unspektakuläre Erkenntnisse sinnlos aufblasen, um Medienaufmerksamkeit zu erhalten. So auch hier.

    Nein, du kannst nicht geortet werden.

    Es ist eine banale Tatsache, dass die Zustellung von Nachrichten je nach Netzwerk kürzer oder länger dauert. Wenn du dich häufig an den gleichen zwei Standorten befindest, kann man aufgrund der leicht unterschiedlichen Verzögerung zwischen Absenden und Zustellung feststellen, ob du dich an Standort A oder B befindest.

    Das Ganze hat aber viele Haken:

    - Der Stalker muss für die zwei Standorte zuerst genügend Referenzwerte ermittelt haben, indem er viele Nachrichten schickt, bei denen er weiß, wo du dich befindest, und einen Durchschnitt errechnet.

    - Es gibt natürlich Millionen von anderen Standorten, welche die gleiche Zustelldauer haben. Mit dieser Methode kann man also nicht feststellen, ob du dich beispielsweise an Standort B befindest oder an Standort C, der ungefähr die gleiche Verzögerung aufweist.

    - Im gleichen Mobilnetz in der gleichen Stadt wirst du bei der Zustelldauer keinen nennenswerten Unterschiede feststellen können

    - Das Routing im Internet kann sich immer wieder ändern, sodass die Referenzwerte nur kurzfristig Gültigkeit haben

    - Die Methode funktioniert nur, wenn die App immer geöffnet und aktiv ist. Ist sie im Hintergrund, wird sie durch einen Push-Dienst aufgeweckt, was zu zusätzlichen Verzögerungen führt, welche eine hinreichend genaue Messung verunmöglichen.

    Die Erkenntnisse sind also allenfalls von akademischem Interesse. Zuverlässig den Standort einer Person ermitteln kannst du damit nicht.

    Schau mal meinen Beitrag hier:

    Beitrag

    RE: "Timing Attacks on WhatsApp, Signal, and Threema can Reveal User Location"

    Die Info bekam ich vom Support

    --------

    Vielen Dank für Ihre Anfrage. Es ist aus verschiedenen Gründen höchst zweifelhaft, dass

    solche «Timing-Analysen» in der Praxis durchgeführt werden können.

    Nutzer erhalten nicht nur dann Nachrichten, wenn ihre Messaging-App geöffnet ist. Und

    sobald sich die App im Hintergrund befindet, wird sie durch Push-Benachrichtigungen

    aufgeweckt, wenn eingehende Nachrichten eintreffen: Dadurch verzögert sich die Rücksendung

    des Zustellungsstatus unvorhersehbar.

    Ausserdem…
    Moehli
    10. November 2022 um 14:45
    Zitat von Claus

    Es scheint heutzutage eine allgemeine Seuche zu sein, dass Wissenschaftler absolut unspektakuläre Erkenntnisse sinnlos aufblasen, um Medienaufmerksamkeit zu erhalten. So auch hier.

    Nein, du kannst nicht geortet werden.


    Die Erkenntnisse sind also allenfalls von akademischem Interesse. Zuverlässig den Standort einer Person ermitteln kannst du damit nicht.

    Genau so sehe ich das auch!

    Bei uns sagt man dazu : Das ist ein Schuss in den Ofen !!! 8o

    Wie Threema darauf bereits treffend geantwortet hatte: Man muss die Standorte schon kennen, dann (!) kann man unter Umständen anhand der Laufzeit des Signals vermuten, wo der Threema-Nutzer nun gerade ist …

    – Mit den ganzen genannten Unwägbarkeiten wird daraus ein Schuss in den Ofen, wie man auch in Deutschland dazu sagen würde. ^^

    Ciao
    Snoopy

    Threema-Nutzer seit 23.12.2020 (immer mit gleicher Threema-ID!) 8)
    Kein Backup? – Kein Mitleid! 8o

    Beste und kürzeste Zusammenfassung zu der Meldung bisher:

    Eva Wolfangel (@evawolfangel@chaos.social)
    Clickbait. Im Text dann so: Geht eigentlich doch nicht. Naja das Land konnten die mit einigen wenigen ausgewählten Ländern mit lediglich 75 Prozent Genauigkeit…
    chaos.social