WhatsApp nasadil end-to-end šifrování z TextSecure

WhatsApp, proprietární aplikace rychlých zpráv pro chytré telefony, která má více než 70 milionů aktivních uživatelů (z celkového počtu 700 milionů registrovaných), zavedla silné šifrování end-to-end. Vyvinul a nasadil je pro ni Moxie Marlinspike, známý bezpečnostní expert a aktivista, který stojí za TextSecure a WhisperPush (implementací TextSecure protokolu v CyanogenModu). Jedná se o implementaci Axolotl Ratchet (vylepšené OTR).

19.11.2014 10:22 | xm | Zajímavý článek

Komentáře

[x]

Tohle je v te souvislosti mnohem dulezitejsi WhatsApp dotace pro FreeBSD ve vysi 1M $

[x]

Last week, I donated one million dollars to the FreeBSD Foundation, which supports the open source operating system that has helped millions of programmers pursue their passions and bring their ideas to life.

I’m actually one of those people. I started using FreeBSD in the late 90s, when I didn’t have much money and was living in government housing. In a way, FreeBSD helped lift me out of poverty – one of the main reasons I got a job at Yahoo! is because they were using FreeBSD, and it was my operating system of choice. Years later, when Brian and I set out to build WhatsApp, we used FreeBSD to keep our servers running. We still do.

I’m announcing this donation to shine a light on the good work being done by the FreeBSD Foundation, with the hope that others will also help move this project forward. We’ll all benefit if FreeBSD can continue to give people the same opportunity it gave me – if it can lift more immigrant kids out of poverty, and help more startups build something successful, and even transformative.

[petrfm]

TAK a ted si vas kupim... VSECKY. Asi se pomalu a jiste vratim k postovni obalce a prupisce

[kralyk z abclinuxu]

It's the largest-ever deployment of end-to-end crypto, and assuming they didn't add any back-doors or make critical errors (...)

Hmm... To by chtělo nějak otestovat

[petrfm]

Tak ono je hlavne uplne srandovni, ze pridavaji nejake sifrovani do aplikace, kdyz hostujici system je deravy jak reseto a plny backdooru primo od jeho tvurcu. Takze je to takova sifrovana komunikace pro masy, asi jako demokracie a svoboda v USA.

[petrfm]

Je to vlastne dobre jenom k tomu, ze kdyz se pripojim z restaurace pres open wifi, nemelo by to jit odposlouchavat od vedlejsiho stolu. To je ale asi tak vsechno. Na tohle maji ti chytrejsi vpnku

[kralyk z abclinuxu]

Tak ono je hlavne uplne srandovni, ze pridavaji nejake sifrovani do aplikace, kdyz hostujici system je deravy jak reseto a plny backdooru primo od jeho tvurcu.

Pojem "end-to-end" ti nic neříká?

[R]

Pokym nie je ta aplikacia open source, tak to nema ziadny vyznam.

[kralyk z abclinuxu]

Právě proto jsem napsal, že by to chtělo nějak otestovat Ale na serverech by to záviset nemělo, tam je spíš problém s metadaty...

[petrfm]

A co ti jako pomuze end-to end sifrovani, hm? Na cem ten whatsapp bezi? Na androidu? Ios? Windows? Pak je nejake end to end sifrovani jenom takova sranda, protoze stejne je k veskere komunikaci pristup v hostujicim systemu. Tim nemyslim servery whatsapp, ale obecne ten kram, ktery uzivatel drzi v ruce. Jediny smysl by melo sifrovani, ktere emuluje klavesnici a naopak, cte data a zobrazuje je na vlastnim LCD. Jinak je veskere sifrovani jenom dalsi vymyvacka mozku pro pubertaky a lidi neznale toho, jak vlastne pocitace a aplikace v OS funguji.

[petrfm]

Proste rozdil mezi plaintextem a timhle "sifrovanim" je jenom v tom, ze si tvoje zpravy necte 11 lidi, ale jenom 10.

[xm]

Android je opensource, nikdo vás nenutí používat originální buildy od výrobců (s potenciálními backdoory), můžete si udělat build vlastní (či použít nějaký komunitní, třeba CyanogenMod, ale samozřejmě pokud si ho zkompilujete sám, tak máte větší jistotu). Pokud nad to nenainstalujete Google Play, máte systém který není o nic méně bezpečný než standardní Linux, FreeBSD, atd. Nikdo vás nenutí instalovat aplikace z Google play, jsou tu i free (as in freedom) alternativy jako F-Droid či si aplikace můžete kompilovat sám.

Samozřejmě v takovém případě by byl nesmysl používat proprietární WhatsApp, od toho je tu opensource TextSecure. End-to-end šifrování ve WhatsApp má ovšem _obrovský_ význam v tom, že od této chvíle desítky milionů lidí používají silné end-to-end šifrování a organizace jako NSA a spol. se díky tomu už nemohou spoléhat na hromadné pasivní šmírování. Musí už používat cílené aktivní útoky, které nelze provozovat ve velkém a jsou odhalitelné.

[petrfm]

To je docela dobry prispevek. Uz dlouho premyslim nad cyanogenmodem, ale mel jsem za to, ze android jako takovy je sice opensource, ale dalvik, jako takovy, ktery je vlastne behovym prostredim pro aplikace nadroidu je uzavreny, nebo se pletu? Az tak jsem to nezkoumal. Jinak nebudte blahovy, ze NSA ma s nejakym sifrovanim, resp. siframi na urovni beznych kryptovacich knihoven nejaky problem, vzdyt to vyplavalo pred casem na povrch, jak jsou tyhle knihovny derave Jak rikam, za mne to ma jediny vyznam, ze to zamezi odposlechu na otevrenych wifi, nebo u mensich internet provideru, kteri se bavili odposlechem komunikace. Navic, organizace jako NSA apod tim ziskaji jednu super vec - uzivatele se budou citit v bezpeci a budou si vice poustet "hubu na spacir" v dojmu soukromi Nic vic bych v tom nehledal.

[kralyk z abclinuxu]

OS Android je open source (keyword: AOSP), problém jsou hlavně uzvařené ovladače a firmware pro hardware telefonů. zejména radio/gsm, ale často jsou tak nebo onak uzavřené i wifiny, gpsky, zvukovky etc.

Jasně že šifrování ve WhatsApp svět, resp. soukromí uživatelů, nespasí, ale je to alespoň krůček správným směrem, dává se tím najevo, že je o to zájem...

[Jendа]

Jak mi pomůže end-to-end šifrující aplikace, když ji provozuji na backdoornutém Androidu?

[xm]

Viz výše...

[kuba77]

Dle tohoto ten backdoor nemají všechny Androidy, např. Nexusy od Googlu.

[Ondra]

zcela zdrejme ti pomuze proti utocnikovi, ktery umi poslouchat tvoji komunikaci se svetem, ale k backdooru v telefonu pristup nema. a tipnul bych si, ze takovych bude dost.

zasadnim resenim je nejen komunikovat sifrovane, ale i nespoustet (nebo to aspon omezit na minimum) na svem HW proprietarni software, malware a podobne lumparny. Nelze nez doporucit distribuci Androidu Replicant.

[petrfm]

Jo, to mas pravdu. Ja se ale vzdycky bojim, kdyz vidim takove distribuce, ze to bude slouzit jako nejaka spam gateway, nebo proste ze si udelam z telefonu nikoliv raj pro google a NSA, ale pro ruske / cinske hackery. Popravde, komu se da dneska verit? A kdo ma zajem vydavat takove distra zdarma a drit na tom po nocich a nic z toho nemit?

A ruku na srdce, kdo z nas umi (ja teda ne) nebo ma cas na to, aby si to sam kompiloval po tom, co si kompletne zreviduje zdrojaky?

Je to dost prekerni situace, do jake jsme se dostali. Clovek bud prijme pohodli, za cenu ztraty soukromi, nebo se toho proste bude muset vzdat a zacit pouzivat zase telefonni budky, nebo DANCALL 2711

[xm]

Popravde, komu se da dneska verit? A kdo ma zajem vydavat takove distra zdarma a drit na tom po nocich a nic z toho nemit?

WTF? Co je tohle za strašné kecy? Říká vám něco třeba Free Software Foundation a GNU? Ach jo, tohle snad ani nemá cenu komentovat...