Threema MLS & Kompatibilität

Stelle deine Frage öffentlich an die Threema-Forum-Community - über 4.800 Mitglieder helfen dir weiter. > Frage stellen <
  • Hey alle zusammen, vorweg: Ich weiß, das Thema wird ein heißes Eisen sein und viele werden mir vermutlich auch widersprechen. Ich halte es aber für notwendig, dass diese Thema diskutiert werden kann, da dieses besonders für die Zukunft relevant werden wird.

    Okay, dann ohne viele weitere Vorworte direkt zum Thema: MLS[1]

    , "MLS, was ist das?", fragen sich jetzt vielleicht einige. Nun, das lässt sich schnell erklären, allerdings braucht es etwas Vorgeschichte. Es fängt mit dem sogenannten "Digital Marktes Act" [2] von der EU an, von diesem haben bestimmt einige schon etwas gehört. Dieser sagt unter anderem aus, dass bestimmte Unternehmen ihre Messenger untereinander kompatible machen müssen. Wichtig: Threema ist *nicht* davon betroffen und muss sich nicht öffnen! Allerdings viele andere sehr bekannte Messenger, unter anderem iMessage, WhatsApp etc. Und hier kommt MLS ins spiel, MLS ist ein Protokoll, welches es zwar schon etwas länger gibt, aber erst letztens finalisiert wurde. Dieses wurde inzwischen offiziell von Google[3] adoptiert für ihren Messenger, und es sieht zumindest danach aus, als wenn sich MLS als neuer Messenger übergreifender Standard durchsetzen würde.

    "Soweit so gut, aber Threema ist ja eigentlich erst einmal fein raus, oder?"

    Mag man meinen, ich würde aber behaupten: Dass sobald die meisten Messenger, die vermutlich von >90 % den Leuten genutzt werden, diesen Standard umsetzen - müssen - werden noch weniger denn je sich für einen Messenger entscheiden, welcher eine Insel ist. Losgelöst von all ihren Kontakten. Geschweige den dafür sogar noch Geld bezahlen.

    Natürlich wird es immer noch welche geben, die Threema für das, was es ist wertschätzen, aber diese Gruppe wird sehr gering sein. Wie z. B. soll ich meine Geschwister, Eltern oder gar Großeltern dazu bringen, sich eine zusätzliche Messenger zu kaufen und zu installieren, wenn sie doch mit all ihren anderen Kontakten einfach über *(hier beliebigen Messenger mit MLS einfügen)* schreiben können, und das sogar E2EE mit PFS etc. Es wird also so laufen, dass ich, der Threema nutzen will, dann derjenige ist, mit mehreren Messengern auf meinem Handy.

    "Aber die Metadaten!",

    höre ich schon. Natürlich, das ist ja gerade einer der tollen dinge an Threema: Es werden kaum Daten gespeichert, aber wie erklärt man, dass den Otto normal Verbrauchern?

    "Komprimiert das nicht letztendlich Sicherheit von Threema?"

    Kommt darauf an, denken ich. Persönlich finde ich: Threema sollte nicht ihr neues Ibex Protokoll verwerfen und komplett umsteigen. Ich denke viel mehr ein Kompromiss muss gefunden werden, um Threema weiterhin attraktiv zu halten. Warum nicht also beide Protokolle unterstützen? Für die, die wert auf wenig Meta daten legen und absolute Privatsphäre möchte, nutzt das Ibex Protokoll um mit seinen Threema kontakten zu schreiben. Und für die von uns, die ihren Großeltern schreiben wollen, die aber z. B. nur WhatsApp haben, können dann MLS verwenden. Beides kann koexistieren und muss sich einander nicht ausschließen. Zur Sicherheit macht man dann noch eine sehr große Warnung davor, bevor man MLS verwendet à la: "Du bist dabei eine Nachricht außerhalb von Threema zu versenden. Auch wenn dies unterstützt wird, empfehlen wir dies nicht, da wir nicht für die Sicherheit der Metadaten und ähnlichen garantieren können!" und dann passt das. Jeder weiß nun, dass es zwar geht, aber nicht so sicher ist wie Threema zu Threema.

    Meine persönliche Sicht:

    Mit dem neuen Material You Redesign ist Threema schon mal um einiges schöner als die anderen Messenger aktuell auf dem Markt, und mit dem kommenden Multi Device hat Threema auch einen riesengroßen Vorsprung gegenüber anderen Messengern. Gerade darum wäre es sehr schade, wenn dieser Vorsprung jetzt ggf. verspielt wird, weil man sich lieber als Insel von allen anderen Messengern abschottet.

    Es muss keine bestehenden Funktionen ersetzen oder gar verschlechtern, jedoch viel mehr erweitern. Mehr Funktionen sich doch fast immer, was Gutes würde ich behaupten?

    Jetzt würde mich aber auch eure Meinung interessieren! Wie seht ihr das? Sollte Threema sich etwas "öffnen" um im neuen Messenger Markt Konkurrenzfähig zu bleiben oder wäre es euch vielleicht sogar lieber, wenn Threema das ganzen bewusst ablehnt, um eine Insel, ggf. eine Insel der Zuflucht, zu bleiben?

    [1] https://en.wikipedia.org/wiki/Messaging_Layer_Security

    [2] https://en.wikipedia.org/wiki/Digital_Services_Act

    [3] https://www.theverge.com/2023/7/20/2380…upport-announce

  • Hi!

    Es stimmt, dass MLS von zahlreichen Akteuren mit dem Hintergrund der messengerübergreifenden Kompatibilität spezifiziert wurde, es ist aber in erster Linie ein Standard für effiziente E2EE innerhalb einer Gruppe. Zitat aus der Charter der MLS Working Group des IETF: "It is not a goal of this group to enable interoperability/federation between messaging applications beyond the key establishment, authentication, and confidentiality services."

    Es dabei zu belassen wäre jetzt aber zu einfach. Die Gruppe auf die du dich eigentlich beziehen möchtest ist die More Instant Messaging Interoperability Gruppe des IETF, welche tatsächlich das Ziel hat, einen interoperablen Standard für Messenger zu schaffen. Ich beschreibe mal meine Position zu dem Thema:

    Es ist äusserst fraglich, ob ein interoperabler Messenger-Standard nicht eher den im DMA genannten Gatekeepern dienlich ist, als es ihnen schadet. Siehe Email, was mittlerweile von grossen Anbietern dominiert wird, weil es heute de facto fast unmöglich ist, einen eigenen Mailserver zu betreiben (mit dem man Mails tatsächlich senden und empfangen kann und diese auch jeweils ankommen). Es ist zudem fraglich, wie die Weiterentwicklung eines interoperablen Messaging Standards aussehen würde und was für ein Wasserkopf da entstehen würde. Siehe Email, dessen Weiterentwicklung quasi komplett eingefroren ist. Siehe als Vorahnung auch MLS, was ungefähr 5 Jahre in Entwicklung war.

    Im Übrigen scheint es als Konsequenz aus dem DMA auch erstmal eher in die Richtung zu gehen, dass alle jeweils gegenseitig ihre Protokolle unterstützen können sollen. Lies: Effektiv werden alle von den Gatekeepern durch ihre Marktmacht dazu gezwungen, ihr Protokoll zu implementieren und die Gatekeeper werden es einfach nur vorgeben. Das bedeutet, der grosse Haufen Arbeit geht an die kleinen Projekte, welche jetzt ein (vermutlich auch noch gigantisches, legacy-geplagtes) Protokoll implementieren müssten. Woher sollen die die Ressourcen dafür nehmen? In ein bestehendes Projekt integrieren, dessen komplettes API-Design, Datenbank, etc. eng mit dem darunterliegenden Protokoll gekoppelt ist? Messenger sind heutzutage wahnsinnig komplexe Softwareprojekte. Da reden wir von Jahren an Implementationsarbeit in denen es dann wieder heisst, Threema würde still stehen, wie das zeitweise bei Multi-Device der Fall war!

    Erst später kommt dann eventuell der eine Messenger-Standard, den dann gerechterweise alle implementieren müssten (ausser jene, die mit ihrem Protokoll lobbyieren gehen ;)), was natürlich auch wieder die kleinen Projekte am Härtesten trifft, weil Ressourcen. Und dann siehe meine obigen Bedenken für die Zukunft.

    Threema grenzt sich bewusst für besseren Datenschutz und Sicherheit ab und ich kann einfach keinen Vorteil für Threema erkennen, interoperabel zu werden. Es gibt sicher auch noch etliche weitere Aspekte, allein schon bzgl. DSGVO.

    Software Engineer bei Threema, hier als Individuum.

  • Vielen Dank für deine ausgiebige Antwort, Lenny !

    Ja, stimmt, du hast recht, da habe ich etwas durcheinander gebracht mit (mimi) und (mls) 😅

    Aber mein Punkt ist ja zum Glück trotzdem herübergekommen

    Ich verstehe, soweit was die Sorge rund um DMA ist und muss ehrlich sagen so habe ich das noch nicht betrachtet. Das ist natürlich ein ernsthaftes Risiko, was passieren könnte. Dennoch muss ich einen Punkt noch mal ansprechen, da dieser eventuell etwas übersehen wurde: Persönlich würde ich natürlich nicht wollen, dass Threema ausschließlich einen neuen Standard unterstützen würde. Es sollte nur eine Addition sein, eine zusätzliche Option, um auch mit seinen Kontakten außerhalb schreiben zu können, ohne sich eine ggf. Tracking verseuchte App herunterladen zu müssen.

    Vergleichbar, wie Signal, welches früher SMS und E2EE angeboten hat. Diese Option kann mit einem Warnhinweis versehen sein, um klarzumachen das es Einschränkungen (Feature aber auch sicherheitsmäßig gib) und man für alle Threema Funktionen doch mit Threema Kontakten schreiben soll.

    Mein bester Vergleich aktuell wäre: ProtonMail. Es ist sicherer als normale E-Mails, wenn man mit ProtonMail Kontakten schreibt, aber es steht einem auch jederzeit frei den "normalen" E-Mail Standard, ohne E2EE, zu verwenden, um allen außerhalb zu schreiben. Nutzer von ProtonMail haben weiterhin Funktionen wie zero-access encryption, aber sind nicht auf nur ProtonMail kontakte beschränkt.

  • Dennoch muss ich einen Punkt noch mal ansprechen, da dieser eventuell etwas übersehen wurde: Persönlich würde ich natürlich nicht wollen, dass Threema ausschließlich einen neuen Standard unterstützen würde. Es sollte nur eine Addition sein, eine zusätzliche Option, um auch mit seinen Kontakten außerhalb schreiben zu können

    Lass mich an der Stelle einfach direkt einhaken: Was du als "nur eine Addition" beschreibst, ist ein gigantischer Haufen Arbeit, mindestens so gross wie Multi-Device und zwar für jedes weitere Messaging-Protokoll und dann mindestens noch Kopfschmerzen für die Datenschutzerklärung obendrauf. Threema möchte sicher auch kein WhatsApp-Light ohne Tracking sein, um die Ignoranz eines Teiles der Menschheit zu enablen, die WhatsApp nutzt und das Konzept Datenschutz erst dann versteht, wenn es zu spät ist. Dafür wird es aber mit Sicherheit andere Apps geben, welche diese Möglichkeit nutzen.

    Software Engineer bei Threema, hier als Individuum.

  • Alles klar, Dank dir für die Zeit die du dir genommen hast fürs antworten!

    Auch wenn ich selbst noch etwas unsicher bin diesbezüglich, respektiere ich Entscheidungen und hoffe meine Sorgen treten so nicht ein. So das ich dabn weiterhin meine Kontake Stück für Stück zu threema bringen kann ^^

  • Alles klar, Dank dir für die Zeit die du dir genommen hast fürs antworten!

    Auch wenn ich selbst noch etwas unsicher bin diesbezüglich, respektiere ich Entscheidungen und hoffe meine Sorgen treten so nicht ein. So das ich dabn weiterhin meine Kontake Stück für Stück zu threema bringen kann ^^

    Bitte bedenke auch, dass Threema wesentlich sicherer ist als die meisten anderen Messenger und Multi-Device (was sich viele wünschen und ungeduldig werden) wegen Ibex (Perfect Forward Secrecy) wirklich wahnsinnig schwierig zu implementieren ist.

    Denn es muss dabei verhindert werden, dass durch Nutzung eines zweiten Geräts die E2E-Verschlüsselung gebrochen wird.

    Darum kümmern sich andere Anbieter weniger oder sogar absichtlich nicht, weil manche das sogar als Backdoor für Behörden nutzen/anbieten (müssen).

    Merke: WA (und ähnliche Messenger) haben angeblich E2E-Verschlüsselung, können aber nach Belieben den Schlüssel austauschen und die Warnung des Nutzers kann nicht nur vom Nutzer abgeschaltet werden, sondern auch vom Admin!

    Was macht also der WA-Admin, bevor er auf Druck der Behörden oder auf Wunsch eines Werbetreibenden Daten abschöpft?

    – Richtig, er schaltet die Warnung für Schlüsseländerung ab und los geht das muntere Datenabschöpfen, ohne dass der Kunde etwas merkt!

    Wollen wir das in Threema? Nein! Also keine Verknüpfung zu solch fragwürdigen Diensteanbietern!

    Ciao
    Snoopy

    Threema-Nutzer seit 23.12.2020 (immer mit gleicher Threema-ID!) 8)
    Kein Backup? – Kein Mitleid! 8o

  • aber nach Belieben den Schlüssel austauschen

    Ist in etwa so: Du stehst Zuhause an der Haustür und merkst du hast deinen Schlüssel verloren.
    Wie kommst du rein?
    Ganz einfach du tauscht das Schloss an der Tür mit einem das auf einen anderen Schlüssel passt. So einfach/sinnlos ist das bei WA

    Einmal editiert, zuletzt von Robby (11. August 2023 um 14:29)