Beiträge von f09fa681

Stelle deine Frage öffentlich an die Threema-Forum-Community - über 4.800 Mitglieder helfen dir weiter. > Frage stellen <

    Darf ich dir einen gut gemeinten Rat geben: Blockiere keine IP-Adressen oder Ports. Du wirst nur Ärger damit haben und der Schutz ist äusserst fragwürdig, da man von innen trotzdem alles mit ein wenig Kenntnis aus dem Netzwerk raustunneln kann.

    Was versprichst du dir durch diese Massnahmen?

    Wichtig ist v.A., dass man bei verzögerten Nachrichten differenziert zwischen:

    1. Probleme mit unterdrückten / zu spät empfangenen Push-Nachrichten
    2. Probleme mit zu spät empfangenen Nachrichten, weil die App im Hintergrund geschlossen wird

    Beides lässt sich in den meisten Fällen mit dem Aktivieren von Threema Push lösen. 1. weil Threema Push mit Push eigentlich nichts zu tun hat und 2. weil Threema Push eine permanente Notification erzeugt, die das Schliessen der App verhindert.

    Grundsätzlich muss ich sagen, dass der FCM Push Service selbst auf Google-Phones so furchtbar unzuverlässig ist, dass ich allgemein Threema Push empfehlen würde, wenn es wirklich keine Verzögerung geben soll.

    Nein, das ist es eben nicht. Ich will keine PC App und den Murks den WhatsApp schon vor Jahren gemacht hat. Ich will ECHTES MultiDevice! Das was derzeit als Beta läuft ermöglicht es mir immer noch nicht meine Threema ID vom Hauptgerät (iOS) auf dem Android-Tablet mit der Threema App zu nutzen.

    Multi-Device für Desktop und iOS sind einfach nur der erste Schritt der Entwicklung auf dem Weg zu "vollwertigem" Multi-Device, was genau das ermöglicht, wonach du fragst.

    Ich hab keinen Schimmer, was das mit Threema Gateway zu tun haben soll.

    Das ist ja nicht zwingend so, ggf. wird hier die Semantik von "Weiter" überinterpretiert. Knackpunkt ist folgender: Hat man keine Bestätigungstaste, so müsste die Korrektheit der PIN im Hintergrund mit jeder Eingabe überprüft werden. Findet hier eine teure Schlüsselableitung statt, bedeutet das, dass nach jeder Eingabe eine Verzögerung durch die Berechnung stattfindet. Unabhängig davon ändert sich die Sicherheit mit und ohne Bestätigungstaste aber nur unwesentlich.

    Übrigens: Man kann auch eine Mindestanzahl Stellen haben und trotzdem nicht die Länge der PIN verraten. So ist es z.B. üblich, dass Bankkarten in der Schweiz sechsstellige PINs haben, statt vierstellige PINs wie in Deutschland üblich. Kein Kartenterminal verrät aber die Länge der PINs. Das Minimum ist einfach 4 Stellen.

    (Gute) FAQ verhindern effektiv Ressourcenverbrennung (wg. e.g. wiederholenden, gleichthematischen Supportanfragen), sind aber auch in der / für die Kundenbeziehung sehr bedeutsam. Die Threema FAQ sind dahingehend schon echt patent. Wenn Threema etwas zur "OS-Frage" sagen wollen würde, würden dadurch sowohl die interessierten Kunden, als auch die FAQ hinzugewinnen. Ich erwarte das aber nicht, weil wohl 99% der Kunden eine neue Funktionalität nehmen, wenn sie da ist, aber sich nicht wie wir hier mit dem befassen, was kommen soll, kann und wir gerne hätten.

    Verstehe nicht so recht, was du mir damit sagen willst. Ich bin hier privat unterwegs. Da sich die Priorisierung der Apps, wenn auch relativ unwahrscheinlich, jederzeit ändern könnte, wird es sicher nicht in den FAQs landen. Nebenbei: Threema muss sich dazu ja auch nicht offiziell äussern. Es war mein persönliches Begehren, den Mythos zu entkräften.

    Dann verstehe ich nicht, warum du mich zitierst, weil ich ja nirgendwo behaupte, dass es sich um eine bewusste Entscheidung handeln würde.

    Du sprachst von einem "strukturellen Problem" und "punktuelle Dinge fallen kaum ins Gewicht" klang nach "moving the goalposts", erschien mir dann aber beim weiteren Überlegen nicht fair. Es ist korrekt, dass Andere vermutet haben, es gäbe eine Priorisierung der Betriebssysteme. Ich hätte das Zitat einfach rausnehmen sollen. :)

    Dass die Android Version mehr Features hat und/ oder diese früher bekommt, fällt mir dann jedoch schwer als Fantasterei abzutun, wie du es machst #nofront. Das wird auch hier im Forum häufig diskutiert und halte ich für absolut objektivierbar. Die Archiv-Funktion hat unter iOS wesentlich länger gedauert, es gibt noch keine Gruppenanrufe und die Verteilerlisten stehen am iPhone seit mehreren Jahren (!) aus. Sobald es die iOS Systemebene betrifft, wie bei ThreemaWeb, ist es von außen natürlich leichter nachvollziehbar, warum es länger dauert. iOS hat nun mal weit mehr Restriktionen als Android. Verteilerlisten etwa tangieren diese Ebene aber gar nicht.

    Dass ich behaupten würde, iOS hätte gleich viele Features wie Android, ist nicht korrekt. Ich habe lediglich gesagt, dass grundsätzlich keine Plattform nachteilig behandelt wird. Und die iOS Systemebene, wie du sagst, ist weit häufiger ein Faktor als von aussen womöglich wahrgenommen wird. Threema Web ist hier nur die Spitze des Eisbergs. Darüber hinaus sind die beiden Apps grundverschieden aufgebaut und haben somit auch ihre individuellen Vor- und Nachteile im Design. Allein diese beiden Aspekte verschleiern für die meisten NutzerInnen bereits vollständig die Nachvollziehbarkeit, warum ein Feature X nur auf Android existiert oder auf Android früher erscheint (oder eben andersherum).

    Edit: Möchte hier aber noch anhängen, dass Multi-Device zu einer Angleichung der Designs der jeweiligen App-Backends und dessen unterstützten Features führt. Das darf definitiv nicht als Versprechen verstanden werden, aber allein schon protokolltechnisch bedingt wird Featureparität (die ja generell erstrebenswert ist) zunehmen.

    Es bleibt abzuwarten, ob dann iOS mit der Final auch wirklich schneller bedient wird. Zumal es sich ingesamt um ein strukturelles Problem handelt, dass die gesamte 10-jährige Geschichte von Threema durchzieht. Punktuelle Dinge fallen da kaum ins Gewicht.

    Mein letzter Versuch, diesen Mythos zu entkräften.

    Es gibt etliche Gründe, warum es so interpretiert werden kann (meistens ziemlich subjektiv und simplifiziert), dass eine Plattform der Anderen vorgezogen wird. Fakt ist, dass grundsätzlich weder Android noch iOS bewusst vor- oder nachteilig behandelt wird. Es ist immer den Umständen geschuldet. Mit Multi-Device wurde extrem viel Code der iOS App auf links gedreht, wovon man als NutzerIn einfach nichts sieht. Für die Android App steht das noch aus. Nehmen wir mal Threema Web als Beispiel für viele andere Fälle, in denen es stark unterschiedliche technische Restriktionen durch die Plattformen gibt, welche die Entwicklung auf einer Plattform erschweren. Dummerweise ist es so, dass Apple einem da tendenziell mehr Steine in den Weg legt.

    Ob man nicht lieber gleichzeitige Feature-Releases anstreben sollte, ist ein anderes (in einigen Fällen komplexes) Thema, auch wenn ich prinzipiell dafür bin.

    Ich arbeite ja bei Threema, also: Take this with a grain of salt.

    Ich wäre über eine starke Versachlichung der Debatte sehr froh gewesen... und zwar von allen Seiten. Natürlich ist es auch wirklich sehr, sehr schwer, mehrere Zielgruppen (WissenschaftlerInnen, NutzerInnen und Medienschaffende) in einem Text gleichzeitig zu bedienen, ohne dabei anzuecken. Meiner Meinung nach hätte Threema aber in dem Statement ruhig noch einen Ticken sachlicher sein dürfen, vollkommen egal wie wirklich bemerkenswert unausgewogen aus den Reihen der Wissenschaft argumentiert wurde. Denn für die absolute Mehrheit innerhalb der Zielgruppen ist dieser Streit erst einmal nicht nachvollziehbar und auch irrelevant, macht aber einen schlechten ersten Eindruck. Das wäre nicht nötig gewesen.

    Ich möchte die Autoren des Papers aber auch nicht in Schutz nehmen. Ich pflege enge Beziehungen zu Leuten aus der Infosec-Community und zumindest die Leute mit denen ich gesprochen habe, halten die Einschätzungen für unangemessen und den Ton für bemerkenswert unprofessionell. Und dem kann ich mich nur anschliessen, bias hin oder her.

    Der Kommentar im Signal Forum ist (leider) grösstenteils FUD. Bzgl. NSFileProtectionCompleteUntilFirstUserAuthentication vs. NSFileProtectionComplete kenne ich mich nicht aus.

    Korrekt ist:

    • Invisible Salamanders sind derzeit nicht Teil des Threat Models. Es ist aber IMO auch kein interessanter Angriff. Die Zeit wird zeigen, ob die Crypto-Community das als "must have" sieht. (Worum geht es hier: Man kann z.B. an alle TeilnehmerInnen einer Gruppe eine Nachricht senden und diese hat überall einen anderen Inhalt.)
    • Das Crypto Whitepaper war nicht an allen Stellen bzgl. PFS up to date, insbesondere Replay Detection was vorher mit Speichern der Nonces gemacht wurde.

    Die anderen Punkte sind FUD:

    • Unklar was es für ein Problem mit den Secret Keys für File Messages geben soll. AES bringt wieder ganz andere Probleme mit sich.
    • Key Rotation ist im Code bzw. im Protokoll ausreichend beschrieben.
    • BLAKE2b kann als KDF verwendet werden. Es braucht kein HKDF.
    • Threema nutzt kein off-the-shelf WebRTC und hat teils sogar deutlich tiefgreifendere Hardening-Patches für WebRTC als Signal.
    • Telefonnummern sind optional in Threema. Ob die Pflicht zur Telefonnummernutzung mit Secure Enclaves basierend auf gebrochenem Intel SGX besser sind, wage ich zu bezweifeln.
    Threema Web ist für mich -als jemand der vorwiegend am Desktop-PC arbietet - und das "echte" (physische) Smartphone / Tablet selten nutzt - praktisch unbrauchbar.

    Das liegt nicht an der Technologie, sondern an der Unzuverlässigkeit von Push-Diensten. Würde das reibungslos funktionieren, würdest du dein Smartphone/Tablet irgendwo ablegen und einfach vergessen, dass es existiert. Auch die Sache mit dem hohen Energieverbrauch (unter Android) hätte man technisch signifikant verbessern können. Dazu kam es einfach nie.

    Auch fehlen wichtige Funktionen wie Anrufe und Screensharing. Hier müsste man Alternativen wie Jami verwenden.

    Das ist kein Argument gegen die Technologie, da es technisch kein Problem gewesen wäre, diese Features einzubauen. Ich wiederhole mich: Dazu kam es einfach nie.

    Bin ehrlich gesagt froh, dass Desktop 2.x kommt und hoffe, dass dann auch Anrufe mit virtueller Webcam möglich sind. Erst dann lohnt es sich vom Emulator auf Desktop 2.x zu wechseln.

    Ich bin auch froh, aber aus anderen Gründen. Technologisch war und ist Threema Web anderen Lösungen weit voraus. Dass du Threema Web im Kopf mit Problemen verknüpft, verstehe ich, aber man muss hier differenzieren zwischen technologischer Basis, der Implementation obendrauf und den Steinen die einem von Google und Apple in den Weg gelegt werden. Irgendwann schreibe ich vielleicht mal einen Nachruf...

    Da wurde die Wichtigkeit von MultiDevice schlichtweg unterschätzt, wie ich finde.

    Es war mit der Technologie hinter Threema Web schlicht und einfach nicht notwendig, Multi-Device zu bauen. Dann kam Apple mit einem Ultimatum um die Ecke. Betrachtet man Datensparsamkeit, Metadaten und Komplexität, ist Threema Web klar die überlegene Technologie ggü. Multi-Device. Und jetzt kannst du dir grob überschlagen, wie viel Ressourcen allein dafür im Mülleimer landen.

    Threema existiert bereits längere Zeit als Signal und hat 26 Angestellte, Threema 40 Angestellte. Wie dieses hinterherhinken zustande kommt, ist mir eigentlich ein Rätsel, da die Vorteile auf der Seite Threemas liegen.

    Würde behaupten, das ist eine Milchmädchenrechnung. Zum Einen ist Threema erst seit kurzem so gross und zum Anderen stellt sich die Frage bzgl. Anzahl EntwicklerInnen unter den Angestellten.

    Desweiteren hat Signal kein Work, kein Broadcast, kein Gateway, kein OnPrem was weitere Ressourcen schluckt.