Hallo Gast! Bitte registriere dich um Beiträge schreiben zu können und Zugang zu allen Bereichen zu bekommen. Hier registrieren

Auch ohne Registrierung direkt eine Support-Anfrage stellen: Zum Support-Fomular


Webauftritt aktualisiert inkl. Transparenzbericht
#31
(28.10.2016., 10:19)TheDeckie schrieb: Nach dem Argument, dürften die Mail Adressen ja auch nicht gehashed werden. Die werden ja genau so abgeglichen und die sind teilweise noch länger.

Nein, reguläre Hash-Algorithmen wie SHA256 sind ja relativ schnell. Algorithmen für Passwörter wie z.B. PBKDF2 oder bcrypt sind explizit gemacht, dass sie sehr langsam sind. Bei einem Login für eine Hash-Berechnung 1 Sekunde warten ist kein grosses Problem. Aber wenn das Smartphone eines Users 30 Sekunden bei voller CPU-Auslastung braucht, um das Adressbuch zu hashen, dann vermutlich schon.
Zitieren
#32
(27.10.2016., 22:34)dbrgn schrieb: Hashing-Algorithmen mit hohen CPU-/Memory-Kosten würden dann aber wohl den Adressbuchabgleich massiv verlangsamen (und ergo den Energieverbrauch beim Sync erhöhen). Ich kenne Leute mit 500+ Kontakten...

Ja, das ist mir gestern auch noch aufgefallen. Das schwächste Glied ist hier durch die geringe Rechenleistung der Smartphones gegeben.

(28.10.2016., 10:19)TheDeckie schrieb: Nach dem Argument, dürften die Mail Adressen ja auch nicht gehashed werden. Die werden ja genau so abgeglichen und die sind teilweise noch länger.

Die Länge der plaintexts ist hierbei eher nebensächlich. Ich weiß nicht genau wie scrypt funktioniert, aber in der Regel erhöht man die Anzahl der Iterationen, indem man den resultierende Hash einfach nochmal in die Hash-Funktion wirft und das sehr oft.
Zitieren
#33
Ich wollte darauf hinaus, dass das Hashen bei Nummern und Mail Adressen ja keinen Unterschied machen sollte. Beider werden durch Threema Verifiziert, beide werden die gleiche Hash-Dauer benötigen und beide werden beim Adressbuch-Abgleich benötigt.
Mir erschließt sich daher kein Grund für den unterschiedlichen Umgang mit den Daten.
Zitieren
#34
Nachdem jetzt viel und interessant über Hashing diskutiert wurde, wollte ich nochmal auf die ursprüngliche Frage zurückkommen: woher hat Threema die Klartext-Telefonnummer, die sie herausgeben?


- Andy
Zitieren
#35
(28.10.2016., 16:39)andyg schrieb: Nachdem jetzt viel und interessant über Hashing diskutiert wurde, wollte ich nochmal auf die ursprüngliche Frage zurückkommen: woher hat Threema die Klartext-Telefonnummer, die sie herausgeben?


- Andy

Wenn das jemand wüsste, dann hätte er/sie es wohl schon geschrieben.

Hast Du mal bei Threema angefragt?
Zitieren
#36
Ich habe nochmals genau gelesen und darüber gedacht. 


Zitat:Sofern die rechtlichen Voraussetzungen vollständig erfüllt sind, können wir folgende Angaben zu einer gegebenen Threema-ID liefern:
  • Handynummer, sofern durch den Nutzer verknüpft

Können heißt ja nicht zwingend wird oder muss geliefert werden.

Sofern verknüpft:
Gibt es nicht die Möglichkeit am Anfang beim Einrichten der ID sich eine Bestätigungs-SMS schicken zu lasssen? Da müsste ja die Nummer im Klartext da sein, sonst könnte Threema ja keine SMS schicken?
Zitieren
#37
Diese Bestätigung erfolgt aber auch für die verknüpfte E-Mail Adresse, wenn ich mich recht erinnere.
Da diese aber scheinbar gehashed hinterlegt ist, kann das glaube ich nicht der Grund sein.
Zitieren
#38
Hm, wenn beide Angaben für die Verifikation einmalig im Klartext vorliegen müssen, ist die Frage wohl, ob es sich lohnt, die E-Mailadresse und die Telefonnummer überhaupt nachträglich zu hashen. Bei der E-Mail-Adresse würde ich klar ja sagen (was ja so wie's aussieht auch so gehandhabt wird). Bei der Telefonnummer würde ich - wie in einem meiner letzten Posts erwähnt - verneinen. Wenn es nichts bringt, ist es Security by Obscurity.
Zitieren
#39
Dennoch hätte ich erwartet, dass die Klartext-Telefonnummer nicht dauerhaft gespeichert wird - einfach, um das Zero-Knowledge-Prinzip zu erfüllen (bzw. so nahe wie möglich zu kommen) [1]. Im Gegensatz zur gehashten Telefonnummer ist die Klartext-Nummer auch nicht zum Betrieb erforderlich, sondern nur zur einmaligen Verifikation.

[1] unter https://threema.ch/de/faq/data wird auch der Eindruck vermittelt, dass so wenig Daten wie möglich gespeichert werden, und insbesondere nur solche, die zur asynchronen verschlüsselten Kommunikation (und Kontakt-Discovery) erforderlich sind. Die Klartext-Telefonnummer gehört m. E. nicht dazu und wird dort auch gar nicht als permanent gespeichertes Datum erwähnt.

- Andy

Was passiert eigentlich, wenn ich die Verknüpfung nachträglich aufhebe? Werden dann die gehashte Emailadresse und die Klartext-Telefonnummern derart gelöscht, dass sie nicht mehr geliefert werden können? Oder werden die nur als gelöscht markiert, können aber doch noch geliefert werden? Vermute aber, dass sich das nicht zufriedenstellend klären lässt...


- Andy
Zitieren
#40
Hier noch ein Puzzle-Teil (Quelle: https://threema.ch/de/privacy):
Zitat:E-Mail-Adressen und Telefonnummern, die für die Verknüpfung verwendet wurden, werden nur zum Zweck der Synchronisation gespeichert und nicht an Dritte weitergegeben. Sie werden auch nicht für Werbezwecke verwendet. Der Benutzer kann seine Verknüpfungen jederzeit wieder löschen. Von verknüpften E-Mail-Adressen [Anm.: gilt also nicht für die Telefonnummer] wird nur ein Hash gespeichert.

Im Umkehrschluss und im Zusammenhang mit dem Transparenzbericht muss man das wohl so verstehen, dass Threema wohl tatsächlich die Telefonnummer im Klartext speichert. Auch wenn Telefonnummern-Hashes vergleichsweise leicht zu knacken sind, finde ich das nicht wirklich begrüßenswert und eher enttäuschend, da ich das von Threema nicht erwartet hätte und ich das Gefühl habe, nur eher zufällig darüber gestolpert zu sein anstatt offen darüber informiert worden zu sein. Zumal im selben Zitat auch einleitend steht, dass "Telefonnummern, die für die Verknüpfung verwendet wurden, [...] nur zum Zweck der Synchronisation gespeichert [werden]" - dafür ist die Klartext-Telefonnummer sicher nicht erforderlich.
Muss man jetzt auch bei Threema immer argwöhnisch zwischen den Zeilen lesen und kann sich nicht auf offen und ehrliche kommunizierte Bedingungen verlassen?


- Andy
Zitieren
#41
Ich hab gerade mal eine Anfrage an Threema gestellt. Ob sie in diesem Fall auch antworten, bleibt abzuwarten.

EDIT: Keine Antwort bislang.
Zitieren
#42
Anscheinend antwortet der Support nicht. Sehr enttäuschend.
Zitieren
#43
Geduld, heute ist Feiertag, gestern war ein Fenstertag
Zitieren
#44
Ich wusste nicht, dass in der Schweiz heute Feiertag ist. Fenstertag war mir auch neu, hier heißt das Brückentag. Hat das irgendwas mit Fenster putzen zu tun? Zwincker
Zitieren
#45
Wart' mal ne Woche. Ein Tag - tze. Zwincker
Zitieren