Beiträge von dbrgn

Zitat von JonnyDee

Meines Wissens nach erlauben die nur ein paar Versuche um auf die Daten in einer "Secure Enclave" auf deren Server zuzugreifen, danach wird der Zugriff für eine gewisse Zeit gesperrt (waren es 14 Tage?). Einfach alle Kombinationen schnell mal ausprobieren (bei einer 4-stelligen PIN sind es ja lächerlich wenige) geht also nicht.

Ich selbst weiß aber trotzdem noch nicht, was ich von dem ganzen halten soll...

Und genau hierfür wird auf Intel SGX gesetzt. Eine Technologie die in Vergangenheit immer wieder mal geknackt wurde, zuletzt eben vor wenigen Wochen: https://twitter.com/matthew_d_…tatus/1270406251063762944

Zum Argument "die User müssen halt selber entgegen der 4-Ziffer-PIN-Empfehlung ein sicheres Passwort wählen": https://twitter.com/matthew_d_…tatus/1270414910531547141

SGX ist das Einzige, was verhindert, dass das Signal-Online-Profil (inkl. den ganzen Kontakten aus dem Adressbuch) von jemandem mit Serverzugriff brute-forced wird. Was bei einem 4-Ziffer-PIN lächerlich schnell passieren kann.

Im Signal-Forum gibt's dazu auch schon rege Diskussionen: https://community.signalusers.…g-stored-in-cloud/14057/1

Hier die Diskussion zur SGX-Vulnerability: https://community.signalusers.…iscovery-vulnerable/14892

Von einem Statement seitens Signal zur SGX-Sicherheitslücke wüsste ich derzeit nichts.

Wie die Profilbilder bei Threema implementiert sind, steht unter Anderem im Cryptography Whitepaper:

Zitat

It is possible for a user to select a photo to be used as his/her “profile picture”. The user can choose within the app whether he/she wants to share the profile picture with all their contacts, with only those contacts selected from a list, or with nobody. If he/she chose to share the profile picture and sends a message to one of the designated recipients, the newly set profile picture is encrypted with a random symmetric key within the app, and then uploaded to the media server like a regular image message (see “Media Access Protocol” on page 8). A reference to the encrypted picture on the media server, along with the symmetric key, is subsequently sent as an end-to-end encrypted message in the background whenever the user sends a regular message to one of the designated contacts who has not received the current profile picture yet. As the media server deletes files after two weeks, the profile picture is uploaded again once a week (if necessary), using a new symmetric key each time.

Für grösstmögliche Privatsphäre wird dein Profilbild also nicht wie bei Whatsapp irgendwo öffentlich auf einen Server geladen (wo es von jeder Person mit Kenntnis deiner Telefonnummer angeschaut werden kann), sondern es wird den Kontakten direkt als verschlüsselte "Steuernachricht" gesendet, wenn man mit diesen kommuniziert.

Die App des Absenders entscheidet also, ob ein Profilbild mit der Nachricht mitgesendet wird. Damit das Profilbild jedoch nicht mit jeder Nachricht mitgesendet werden muss, wird dieses nur bei Änderungen oder mindestens alle 1-2 Wochen gesendet.

Die Apps deiner Gesprächspartner haben von deiner Backup-Wiederherstellung natürlich nichts mitgekriegt, und gehen davon aus, dass du das aktuelle Profilbild noch hast (weil dieses in den letzten 1-2 Wochen bereits gesendet wurde). Deshalb wird es nicht erneut gesendet.

Kurz zusammengefasst: Nach spätestens 2 Wochen solltest du die Profilbilder alle wieder sehen. Als Abkürzung kann das Profilbild von deinen Kontakten auch explizit nochmal gesendet werden, mithilfe der von Mogli geposteten Anleitung.

Das ist übrigens auch im FAQ-Eintrag so beschrieben:

Zitat

Sie haben ein Threema Safe-Backup wiederhergestellt. Innerhalb von zwei Wochen werden die Profilbilder Ihrer Kontakte wieder erscheinen.

Zwei Beispiele für Videoanruf-Metadaten sind übrigens:

• Orientierung des Gerätes (damit kann man zB bei Vorhandensein einer Überwachungskamera in einem Café den Netzwerk-Traffic einer IP mit einer Person korrelieren)
• Sprach-Lautstärke (damit kann man zB in einem Nebenraum rein durch die Sprech-Lautstärke, ohne dass man das Gesprochene verstehen kann, ein Gespräch mit dem Netzwerk-Traffic einer IP korrelieren)

Bei WebRTC werden diese Header-Metadaten standardmässig nicht verschlüsselt. Man kann die Verschlüsselung dieser Metadaten zwar aktivieren, allerdings scheint offensichtlich niemand sonst diese Funktion zu nutzen, denn sie war jahrelang kaputt (und wurde jetzt durch lgrahl gefixt)...

Einen kleinen Videocall-App-Prototypen zu bauen geht sehr schnell (wenige Tage). Videocalls sauber und sicher zu implementieren braucht aber seine Zeit. Threema ist es wichtig, dass neue Funktionen korrekt und mit höchstmöglicher Privacy implementiert werden, deshalb werden auch nie konkrete Daten/Roadmaps veröffentlicht. It's ready when it's ready (and secure)

Zitat von schuschu

Ich kann die Sicherheit von Intel SGX (darauf basiert das ganze doch oder?) gar nicht einschätzen. Aber ein vierstelliger Pin scheint mir doch etwas arg kurz zu sein.

Überraschung:

https://twitter.com/matthew_d_…tatus/1270406251063762944

https://twitter.com/matthew_d_…tatus/1270414910531547141

Zitat von Tristan

Das Datum könnte ich mir technisch vielleicht noch erklären. Viel lustiger finde ich ja die Information zur gewählten Sounddatei.

Bei Apple APNs muss bei klassischen Push-Notifications der Server entscheiden, welcher Benachrichtigungston verwendet wird: https://developer.apple.com/do…ing_a_remote_notification

Seit es Silent Pushes gibt, hat sich das geändert. Das Feld wird daher früher oder später aus der Datenbank verschwinden, sobald die alten iOS-Versionen (ohne Silent Push) nicht mehr unterstützt sind.

Zoom nutzt eigene, optimierte Codecs. Deshalb wollen sie auch nicht, dass man die Webversion benutzt, da sie dort weniger Kontrolle über die Video-Infrastruktur haben. Es gibt aber eine Browser-Extension um die Nutzung der Webversion zu forcieren: https://addons.mozilla.org/en-…ox/addon/zoom-redirector/

Ich war diesen Monat an einer virtuellen Konferenz sowie an einem Workshop mit je über 250 Teilnehmern per Zoom dabei und das hat über Stunden zuverlässig ohne Ausfälle funktioniert. Vermutlich sind sie deshalb populär. User Tracking trotz Paid App geht jedoch gar nicht.

Zitat von Mjayjoe

Jitsi ist aber soviel ich weiss nicht e2e im Gegensatz zu Jami.

E2E ist halt schwierig bei Videokonferenzen. Entweder macht man's im Peer-to-Peer-Modus (mit E2EE), aber dann muss man bei einem Call mit 10 Personen 9 Streams ((n-1)*2) senden und empfangen. Viele Internetleitungen machen das nicht mit.

Die Alternative ist ein Medienserver, dann sendet man 1 Videostream und empfängt 9 Streams (n). Der Medienserver kann auch bei schlechter Verbindung die Qualität drosseln, sowie die Formate an die Zielgeräte anpassen. Allerdings kann er dann auf den Inhalt zugreifen (d.h. nur noch Transportverschlüsselung, kein E2E mehr). Ob es irgendwelche crazy Crypto gibt die das Transcoden von Videos ermöglicht ohne den Inhalt zu kennen, weiss ich nicht. Ist meines Wissens zumindest nicht verbreitet.

In einer Organisation / Firma ist eine der besten Lösungen wohl das Aufsetzen einer eigenen Jitsi-Instanz. Das müsste eigentlich auch für die meisten Schulen möglich sein.

(Edit: Mehr Details hier https://github.com/jitsi/jitsi-meet/issues/409)

Zitat von Claus

Sind die nicht insolvent?

https://de.wikipedia.org/wiki/Ginlo -> Anfang 2020 hat die ginlo.net GmbH das Projekt übernommen und arbeitet an einer erneuten Veröffentlichung.

Zitat von lgrahl

Es geht technisch mit starken Usability-Einschränkungen. Es ist aber ganz einfach unerwünscht.

Das stimmt nur sehr begrenzt. Eventuell geht es über die Business API, wenn man sich dafür ein WhatsApp-Firmenprofil anlegt. Wenn WhatsApp aber bemerkt, dass man mit einem Bot / automatisierter Software auf sein privates WhatsApp-Konto zugreift, wird dieses sofort gesperrt. Scripting von WhatsApp Accounts wird aktiv bekämpft.

(Ist auch logisch, WhatsApp will die User in ihrem Walled Garden halten...)

Zitat von schuschu

Handynummer wäre mir egal.

Handynummer ist nicht nur datenschutztechnisch ein Problem, sondern auch weil der "Account" an den neuen Telefonnummer-Besitzer übergeht, wenn man mal ohne Nummernportierung den Handyanbieter wechselt. (Wechselt man zB den Wohnsitz in ein anderes Land, ist eine Portierung gar nicht möglich.) In der Schweiz wird die Nummer schon nach ~3 Monaten neu vergeben. Plötzlich chattet man mit einem sicheren Messenger, aber mit der falschen Person...

Zitat von Schnecke987

It says Google play and I looked through my old google play acct and it is not listed. Not in any of them.

If it's not listed, then you must have bought it using a different Google account.

This is a limitation of Google Play, there's nothing Threema can do about it because app purchases are always linked with a specific Google Account (and to my knowledge cannot be transferred to a different Google account). Google Play only offers updates if you're logged in with the same Google account that originally bought the app.

Nur aus Neugier, wenn ihr Threema im Dark Mode benutzt weil es angenehmer ist für die Augen, wieso benutzt ihr dann den Rest des Betriebssystems nicht ebenfalls im Dark Mode?

Zitat von Miaz

Wie springe ich direkt an den Anfang eines Chats - also ohne jeweiliges Nachladen der einzelnen älteren Abschnitte?

Diese Funktion gibt's zumindest bei Android nicht. Jetzt sind wir aber arg offtopic.

Zitat von Tristan

Ist zwar total off-topic, aber ich verstehe ehrlich gesagt nicht im geringsten, wieso Leute Ihre Chat-Historie aufheben wollen.

Führt ihr auch Protokoll, wenn ihr euch mit jemandem unterhaltet oder ein Telefongespräch führt? Nichts anderes ist ein solcher Char doch im Prinzip und damit von Natur aus volatil.

Insofern finde ich das Feature in Signal eigentlich ganz klasse, von vorne herein nur eine begrenzte Lebenszeit für Nachrichten festzulegen.

Ich glaube das ist Typsache. Es gibt die "Sammler", die jede Nachricht 10 Jahre lang aufbewahren wollen, dann gibt's die "Cleaner" die jeden Chat sofort wieder löschen, damit die Chat-History leer bleibt.

Ich bewahre auch gerne Chats länger auf (meine History geht bis 2014), wäre aber auch nicht sonderlich traurig wenn ich ein Chat-Backup verlieren würde. In der Realität schaut man sich alte Chats ja meistens doch nie an.

Je nach Gerät gibt's mit hoher Wahrscheinlichkeit irgend ein Custom-ROM mit Android 4.3 oder 4.4, das du installieren könntest.

Claus hat recht, Android 4.0 unterstützt keine modernen Verschlüsselungs-Algorithmen (TLSv1.2+) mehr, das wird auch mit einer alten Threema-Version nicht mehr laufen wenn der Server die Verbindung ablehnt. Aus gutem Grund.

Wende dich an den Support (am einfachsten direkt über Threema: https://threema.id/*SUPPORT), dann kriegst du eine Gutschrift für den Threema-Shop! Die App musst du leider vermutlich neu installieren. (Mach vorher ein Datenbackup, damit du keine Daten verlierst!)

Hallo Klaus. Was für ein Passwort meinst du denn? Bei Threema gibt es keine Online-Accounts, deshalb auch kein Login.

Falls du Threema Safe meinst: Einfach deaktivieren und wieder aktivieren, dann kannst du das Passwort erneut wählen.

Was ist denn genau dein Ziel? Was willst du implementieren?

Das Python SDK für Threema Gateway ist primär das: Ein Software Development Kit. Es ist dafür da, dass Software-Entwickler eine eigene Lösung basierend auf der Gateway-API entwickeln. Es bietet dafür primär Primitiven, d.h. Funktionen zur Ver- und Entschlüsselung von Nachrichten sowie Hilfstools zur Kommunikation mit dem Server. Es ist keine Fertiglösung, sondern kann verwendet werden um eine solche zu bauen.

Falsche Zeitzone konfiguriert?

Grundsätzlich ist das schon lange bekannt: https://de.wikipedia.org/wiki/…erung_durch_Geheimdienste Neu sind wohl primär schriftliche Belege.

Zitat von Claus

Nun geraten alle in Panik, die schon lange keine Updates mehr gemacht haben oder die App bei Amazon erworben haben, wo Threema nicht mehr vertreten ist.

Korrekt. Zudem gibt es Leute die sich nach der Installation von Threema mit einem anderen Google-Account eingeloggt haben. Da dieser neue Account keinen "Threema-Kauf" im Profil hat, kann der Play Store danach die App nicht mehr aktualisieren (zeigt aber leider auch keinen entsprechenden Hinweis an und auch keine Möglichkeit, die App erneut zu kaufen).

Eine weitere Möglichkeit, wie man sich die Updates kaputtmachen kann, ist indem man sein Gerät rootet und dann mit Apps wie "Titanium Backup" die APK-Dateien exportiert und später wiederherstellt, ohne die Verlinkung zum Play Store wiederherzustellen. Dann gibt's ebenfalls keine automatischen Updates mehr.