Threema-Forum.de
Webauftritt aktualisiert inkl. Transparenzbericht - Druckversion

+- Threema-Forum.de (https://threema-forum.de)
+-- Forum: Threema, News & Hilfe (https://threema-forum.de/forum-3.html)
+--- Forum: News (https://threema-forum.de/forum-10.html)
+--- Thema: Webauftritt aktualisiert inkl. Transparenzbericht (/thread-2531.html)

Seiten: 1 2 3 4 5


RE: Webauftritt aktualisiert inkl. Transparenzbericht - DerBär - 26.10.2016.

Die gucken ja oft um Terrorismus zu bekämpfen Zwincker


RE: Webauftritt aktualisiert inkl. Transparenzbericht - Kenny_Butters - 27.10.2016.

@andyg

Das ist tatsächlich hier die Preisfrage. Warum kann Threema überhaupt die Telefonnumer weitergeben? Ich hatte das immer für einen Vorteil von Threema gehalten. Wenn ID und Telefonnumer gleich sind, ist das natürlich ein leichtes, aber so sollte das nicht so einfach möglich sein. Hoffentlich bezieht Threema dazu Stellung. Ich kann natürlich Threema vollständig ohne Telefonnumer nutzen, aber das ist eher ein esoterisches Szenario. Kaum jemand wird das tun. Genauso gut könnten man argumentieren, dass man sich bei anderen Messengern auch mit einer Wegwerfnummer anmelden kann.


RE: Webauftritt aktualisiert inkl. Transparenzbericht - threemat - 27.10.2016.

(27.10.2016., 00:29)Kenny_Butters schrieb: ...Ich kann natürlich Threema vollständig ohne Telefonnumer nutzen, aber das ist eher ein esoterisches Szenario. Kaum jemand wird das tun.

Ich tue dies von Beginn an und das ist alles andere als esoterisch. So kann ich entscheiden, bei wem ich in der Messengerliste auftauchen will und bei wem nicht. Eine Art erster grober Filter!

Umgedreht auch nicht zu verachten. Nicht jeder mit dem ich mal temporär per Messenger schreiben könnte braucht dann dazu zwingend meine Handynr.

Das würde mich z.B. bei Whatsapp, Signal etc. am meisten stören, das jeder Knallkopp der irgendwoher meine Handynr. hat, mir dann auch noch per Messenger schreiben kann.

Nein Danke!


RE: Webauftritt aktualisiert inkl. Transparenzbericht - Miaz - 27.10.2016.

100% Zustimmung


RE: Webauftritt aktualisiert inkl. Transparenzbericht - Mr. Meyhet - 27.10.2016.

(26.10.2016., 12:19)Miaz schrieb: Wetten, dass Du das hier niemals erfahren wirst...

Wobei ich dafür auch Verständnis habe. Ich verstehe sogar die einzelnen Anfragen der Behörden. Was mich generell an der Überwachung stört ist unkontrollierte Massenüberwachung. Ohne hier eine Diskussion darüber lostreten zu wollen: Aufgrund der Sicherheitsentwicklung der letzten Jahre sind inzwischen solche Einzelabfragen für mich ok. Da Threema ja scheinbar klare Konzepte dafür hat, wie damit umgegangen wird, sehe ich das dort relativ entspannt. Selbst wenn Behörden auf die Massenüberwachung aufspringen dient Threema mit diesem Konzept als Filter und hinterfragt offensichtlich (danke dafür !!)


RE: Webauftritt aktualisiert inkl. Transparenzbericht - Miaz - 27.10.2016.

Hallo @"Mr. Meyhet":
da Du mich hier extra zitiert hast...dann eben doch auch hier im Klartext, was ich anderer Stelle schon so ähnlich geschrieben hatte:

Du hast mit Deiner Bemerkung IMHO recht - und ich habe prinzipiell auch nichts dagegen, wenn im plausiblen Einzelfall nach genauer Prüfung von Threema eine Info an Behörden gegeben wird (wenn das auch nach den einschlägigen Veröffentlichungen nicht viel sein kann...)
Der Threema-Support könnte sich meiner Meinung nach hier im Forum aber schon etwas mehr bei Problemen oder Vorschlägen zu Wort melden... Schließlich setzen viele Leute hier im Forum den eigenen Gehirnschmalz zur Verbesserung des Produkts Threema oder zur Hilfestellung für andere User ein. Und das kostenlos.
Bei den o.g. "heißen" Themen wird man aber erfahrungsgemäß keine Meinungsäußerung oder offizielle Info von Threema erwarten können. Die dürfen sich ja auch nicht zu weit aus dem Fenster lehnen, um nicht in die falsche Ecke gestellt zu werden... Und genau so war meine etwas flapsige Antwort in Deinem Zitat gemeint.


RE: Webauftritt aktualisiert inkl. Transparenzbericht - CasinoBuster - 27.10.2016.

Diese Rechtshilfeersuchen (oder wie das heißt) gibt es ja bei jedem Messenger. Klar mit mehr oder weniger Daten/Auskunftsfreudigen Betriebern oder eher weniger auskunftsfreudig...

Das Einzigste, was mich noch wirklich interessiert ist das Thema Telefonnummer... wie läuft das nun genau?

Warum liegt diese anscheinend im Klartext vor? Warum wird die nicht verschlüsselt/gehasht/was auch immer? Woran liegt das? Hat das technische Gründe? usw.


RE: Webauftritt aktualisiert inkl. Transparenzbericht - Mr. Meyhet - 27.10.2016.

(27.10.2016., 08:59)Miaz schrieb: Und genau so war meine etwas flapsige Antwort in Deinem Zitat gemeint.
Und so hatte ich's auch verstanden Zwincker
Wollte nur meinen Senf auch mal dazugeben. Lächeln


RE: Webauftritt aktualisiert inkl. Transparenzbericht - dbrgn - 27.10.2016.

(27.10.2016., 09:34)CasinoBuster schrieb: Warum liegt diese anscheinend im Klartext vor? Warum wird die nicht verschlüsselt/gehasht/was auch immer? Woran liegt das? Hat das technische Gründe? usw.

Hashen von Telefonnummern ist relativ nutzlos, egal in welchem System. Wenn es beispielsweise um eine Schweizer Mobiltelefonnummer geht, gibt es ca. 40 Millionen Möglichkeiten (076 xxx xx xx - 079 xxx xx xx).

Hier ist ein unoptimiertes Programm in der relativ langsamen Programmiersprache Python, welches 40 Millionen mal einen SHA256 Hashwert berechnet:

Code:
import hashlib

numbers = map(lambda x: str(x).encode('utf8'), range((10**7) * 4))
for number in numbers:
    m = hashlib.sha256()
    m.update(number)
    m.digest()

Die Ausführung dauert auf meinem System 50 Sekunden. Die Resultate kann man in einer Datenbank (oder einer Textdatei) speichern, und schon hat man eine Tabelle, in der man jeden Hash einer Telefonnummer zuordnen kann...

Mit einer systemnahen Programmiersprache sowie parallelisierter Ausführung auf GPUs dauert selbst das Berechnen aller Hashwerte aller Telefonnummern aus dem deutschsprachigen Raum allerhöchstens ein paar Minuten...

Das gehashte Speichern von Telefonnummern ist Security by Obscurity.

Als Vergleich: Beim Hashen von Passwörtern mit 10 Stellen bestehend aus Buchstaben und Zahlen gibt es bereits 839'299'365'868'340'224 (839 Billiarden) Möglichkeiten. Die Kombinatorik bei E-Mail-Adressen verhält sich ähnlich.


Webauftritt aktualisiert inkl. Transparenzbericht - andyg - 27.10.2016.

Ich habe keine Einwände gegen (begründete) Einzelabfragen.
Mich interessiert nur, wieso Threema die ungehashte (!) Telefonnummer zu einer ID überhaupt liefern kann, wo doch der Adressbuch-Abgleich nur in gehashter (!) Form geschehen soll? Oder andersherum: wieso speichert Threema die Telefonnummer im Klartext offenbar doch dauerhaft, die beim Verknüpfen einer ID zwangsläufig einmalig in Threema offenbart werden muss? [1] Eine technische Notwendigkeit für die Speicherung kann ich nicht erkennen. Ist es vielleicht eine gesetzliche Auflage? Und wenn ja, welche Auflagen zur Speicherung von Daten gibt es vielleicht noch?
Im Gegensatz übrigens zur Email-Adresse, die Threema offenbar nur gehasht liefert.

[EDIT]
Zu [1]: das Threema-Whitepaper hält sich sehr bedeckt darüber, wie Threema mit der Klartext-Email bzw. -Telefonnummer eines Nutzers umgeht, nachdem die Verifikation abgeschlossen wurde, also nachdem die Bestätigungs-SMS bzw. -Email empfangen wurde. Insbesondere ist dem Abschnitt "Linking" auf der vorletzten Seite nicht zu entnehmen, dass die Klartext-Daten gelöscht würde...
Zum Whitepaper: https://threema.ch/press-files/cryptography_whitepaper.pdf


RE: Webauftritt aktualisiert inkl. Transparenzbericht - CasinoBuster - 27.10.2016.

Zitat:Als Vergleich: Beim Hashen von Passwörtern mit 10 Stellen bestehend aus Buchstaben und Zahlen gibt es bereits 839'299'365'868'340'224 (839 Billiarden) Möglichkeiten. Die Kombinatorik bei E-Mail-Adressen verhält sich ähnlich.

Was wiederum bedeutet, dass kurze E-Mail-Adressen das gleiche Problem wie die Rufnummern haben. Es muss mindestens 1 @ und 1 Punkt drin sein. Sicherlich kann man bei Android von 90% @gmail.com ausgehen. Auch werden die meisten E-Mail-Adressen klein geschrieben. Somit bleiben eigentlich nur sinnvoll die Zeichen vor dem @. Das wären dann ca. 36 Kominationen pro Zeichen. Somit wäre eine E-Mail-Adresse wie ich125@gmail.com mit 6 Stellen zu knacken in 36^6=2,1 Milliarden Möglichkeiten.

SHA256 sind 64 Bytes bei 2,1 Milliarden E-Mail-Adressen wären das insgesamt 129,7 Gbyte an Hash-Daten. Keine Ahnung ob das für Knacker/Hacker viel ist oder nicht...

Nachtrag: 40 Mio. Rufnummern wären dem nach bei SHA-256 2,38 GByte an Hash-Daten.


RE: Webauftritt aktualisiert inkl. Transparenzbericht - lgrahl - 27.10.2016.

(27.10.2016., 16:27)dbrgn schrieb: Hashen von Telefonnummern ist relativ nutzlos, egal in welchem System. Wenn es beispielsweise um eine Schweizer Mobiltelefonnummer geht, gibt es ca. 40 Millionen Möglichkeiten (076 xxx xx xx - 079 xxx xx xx).

Hatte das schon mal in einem anderen Thread angemerkt: Das Problem müsste man mit scrypt zumindest etwas entschärfen können, right?


RE: Webauftritt aktualisiert inkl. Transparenzbericht - rugk - 27.10.2016.

(27.10.2016., 19:45)lgrahl schrieb: Das Problem müsste man mit scrypt zumindest etwas entschärfen können, right?

Könnte man, aber durch die geringe Anzahl von Möglichkeiten würde es wohl auch nicht so viel helfen. dennoch kannst du dies doch mal Threema vorschlagen.
Wenn möglich sollte man aber eher den Gewinner aus dieser Competition nehmen (ARGON2): https://password-hashing.net/
Und den gleichen natürlich auch für E-Mail-Adressen (wo er noch mehr Sinn macht).
Aber abgesehen davon zu:
(27.10.2016., 16:27)dbrgn schrieb: Die Resultate kann man in einer Datenbank (oder einer Textdatei) speichern, und schon hat man eine Tabelle, in der man jeden Hash einer Telefonnummer zuordnen kann...
Da Threema einen HMAC verwendet, müsstest du dein Skript nur auch noch anpassen um eine passende Textdatei (aka Rainbow-Table) für Threemas Telefonnummern zu erstellen, aber sonst geht es so, ja.

(27.10.2016., 16:27)dbrgn schrieb: Das gehashte Speichern von Telefonnummern ist Security by Obscurity.

Das kommuniziert Threema aber auch so (und zwar schon von Anfang an):

Zitat:Bitte beachten Sie: aufgrund der relativ wenigen möglichen Zahlenkombinationen von Telefonnummern können Hashes davon theoretisch per Brute-Force-Attacke (= Durchprobieren aller Möglichkeiten) entschlüsselt werden. Dies ist prinzipbedingt und kann nicht anders gelöst werden (die Verwendung von Salts wie beim Hashing von Passwörtern funktioniert für so einen Datenabgleich nicht). Wir behandeln daher die Telefonnummern-Hashes mit der selben Vorsicht, als wenn es rohe/ungehashte Telefonnummern wären.
https://threema.ch/de/faq/addressbook_data

Mich würde dennoch interessieren, warum die Telefonnummern nicht gehasht gespeichert werden (Oder werden sie es doch und das ist ein Fehler im Transparenzbericht?). Zumal das ständige Neuhashen der Nummern auf dem Threema-Server bei einem Adressbuchabgleich ja nicht gerade förderlich für die Performance wäre.
Hat da eventuell schon mal jemand beim Threema Support nachgefragt?


RE: Webauftritt aktualisiert inkl. Transparenzbericht - dbrgn - 27.10.2016.

(27.10.2016., 19:45)lgrahl schrieb: Das Problem müsste man mit scrypt zumindest etwas entschärfen können, right?
Hashing-Algorithmen mit hohen CPU-/Memory-Kosten würden dann aber wohl den Adressbuchabgleich massiv verlangsamen (und ergo den Energieverbrauch beim Sync erhöhen). Ich kenne Leute mit 500+ Kontakten...


RE: Webauftritt aktualisiert inkl. Transparenzbericht - TheDeckie - 28.10.2016.

Nach dem Argument, dürften die Mail Adressen ja auch nicht gehashed werden. Die werden ja genau so abgeglichen und die sind teilweise noch länger.