linksunten Archiv

Smartphones haben sich, was den Alltag betrifft, bei vielen in der Benutzung durchgesetzt. Ohne auf die vielen unterschiedlichen Vor- und Nachteile dieser Geräte näher einzugehen, soll hier der herausragende Vorteil behandelt werden: mobile verschlüsselte Kommunikation. Im Dickicht der verschiedenen (selbsternannten) „sicheren“ Messenger ist es für viele, die nicht regelmäßig IT-Nachrichten oder andere Websites zum Thema lesen, schwierig den Überblick zu behalten, welche Messenger „sicher“ sind. Was sind die jeweiligen Features? Welche Firmen oder Verantwortlichen stehen jeweils dahinter? Viele Fragen – noch viel mehr Antworten.

In der Crypto-Community stehen vor allem folgende Eigenschaften einer Software für einen gewissen Sicherheitsfaktor:

Open Source und sinnvolle Dokumentation (der Quellcode kann von ALLEN eingesehen und überprüft werden – vgl. „Peer-Review“-Verfahren in der Wissenschaft), Nutzung anerkannter und überprüfter Verschlüsselungsalgorithmen, Audits – die professionelle Überprüfung des Quellcodes auf Fehler oder gar „Backdoors“ (absichtlich eingebaute sicherheitskompromittierende „Hintertüren“).

Dazu kommen Details, z.B.: Ist der komplette Datenverkehr verschlüsselt? Können Kontakte verifiziert werden (um sicher zu sein, mit der richtigen Person zu kommunizieren - „Man-in-the-Middle-Attack“)? Ist, wenn in Zukunft Schlüssel verloren gehen, die bisherige verschlüsselte Kommunikation trotzdem sicher („Forward Secrecy“)?

Im großen und ganzen haben sich in den letzten Monaten vor allem Telegram, Threema und Signal (ehemals TextSecure) durchgesetzt. Daher sei hier insbesondere auf diese Messenger eingegangen.

Threema

Gleich vorneweg: Threema kostet Geld (2,99€ im Google PlayStore). Die App bietet Gruppenchats sowie Versand von Text-, Bild-, Ton- und Videonachrichten. Entwickelt wird die App von einer schweizerischen Firma.

Im Rahmen eines Audits des Quellcodes durch eine schweizer IT-Sicherheitsberatung konnten keine schwerwiegenden Fehler oder gar „Backdoors“ gefunden werden. Auch werden Nachrichten grundsätzlich verschlüsselt versendet.

„Forward Secrecy“ ist nicht gegeben, da nur die Verbindung zum zentralen Server dieserart verschlüsselt ist. Eine komplette Implementation von „Forward Secrecy“ lehnen die Entwickler*innen ab, mit dem Hinweis auf die dann steigende Komplexität der Software.

Zur Verhinderung von „Man-in-the-Middle-Attacks“ hat Threema einen sinnvollen Mechanismus implementiert.Vorteilhaft ist die Möglichkeit, eine eigene "Threema-ID" statt der Telefonnummer an Andere zwecks Kontaktaufnahme weiterzugeben.

Nun der große Knackpunkt: Threema ist NICHT Open Source. Es ist daher der Crypto-Community und Anderen nicht möglich die App auf Fehler oder „Backdoors“ zu überprüfen. Zwar wurde der Code einem „Audit“ unterzogen, da der Quelltext jedoch nicht offen liegt, kann Threema seit dem grundlegend anderen Quelltext eingefügt haben. Endanwender*innen ist es nicht möglich dies nachzuvollziehen.

Dies, zusammen mit dem Nichtvorhandensein von „Forward Secrecy“, spricht deutlich GEGEN die Nutzung von Threema. Insbesondere bei Vorhandensein besser geeigneterer Messenger.

Telegram

Gleich vorneweg: NUTZT NICHT TELEGRAM.

Entwickelt wird die App von einer undurchsichtig agierenden Firma aus Russland, diese hat einen (physisch nicht vorhandenen) Firmensitz in Berlin und wurde unter der Adresse einer Londoner Briefkastenfirma mit Hauptsitz auf den Seychellen registriert. Die Gründer der Firma gründeten auch das "russische facebook" Vkontakte (vk.com).

In der Crypto-Community herrscht weitgehend Konsens, dass das von Telegram verfolgte Konzept von „Security through Obscurity“, die Art der Verschlüsselung soll durch einen eigen-entwickelten Algorithmus verschleiert werden, NICHT zielführend ist. Dazu kommt, dass die App standardmäßig NICHT Verschlüsselt ist, die Verschlüsselung muss selbstständig aktiv eingeschaltet werden. Auch die nicht vorhandene Authentifizierungsmöglichkeiten der Kommunikationspartner*innen (s. Oben „Man-in-the-Middle-Attack“) und das Fehlen von „Forward Secrecy“ sind absolute No-Gos. Die Verschlüsselung selbst ist durch ihre mangelhafte Konzeption und Implementierung grundsätzlich schlecht. Nachrichten sollen auf den Servern von Telegram im Klartext vorliegen. Auf dem Smartphone werden alle Nachrichten ebenfalls im Klartext zwischengespeichert. Weiterhin speichert die App Telefonbucheinträge im Klartext.

Es scheint, als wäre für viele der Ausschlag gebende Punkt zur Nutzung von Telegram, dass es möglich ist lustige GIFs und „Sticker“ zu versenden.

GIFs und „Sticker“ - ein zugegeben lustiges Feature, dass es auch in anderen Apps gibt, wie seit dem letzten Update z.B. in:

Signal

Signal (früher TextSecure), entwickelt von Open Whisper Systems in den USA, gilt innerhalb der Crypto-Community als Wegweisend und Tonangebend. Etablierte Verschlüsselungsalgorithmen werden vorbildlich implementiert, der Quellcode ist offen, Nachrichten werden grundsätzlich verschlüsselt, „Forward Secrecy“ wird garantiert, Metadaten werden weitestgehend vermieden, Schutz vor „Man-in-the-Middle-Attacken“ ist gewährleistet, uvm. ...

Es gibt keine schwerwiegenden Argumente, die nicht auch grundsätzlich gegen die allgemeine Nutzung von Smartphones, so wie es die überwiegende Mehrheit der Nutzer*innen tut, sprechen würden, Signal nicht zu nutzen.

Die App ist kostenfrei, bietet Text-, Ton-, Bild-, Video-, GIF- und Stickerversand und verschlüsselten Gruppenchat. Die gesamte App kann verschlüsselt und mit einem Passwort geschützt werden (EMPFOHLEN!).

Von außen ist nicht möglich nachzuvollziehen, wann eine Person online ist. Welche, wie viele und an wen Nachrichten gesendet werden ist nicht nachzuvollziehen. Das eigene Adressbuch bleibt privat.

Es ist darüberhinaus möglich mit der App sicher zu telefonieren und es gibt ein Programm um Signal auf dem Computer zu nutzen.

Unter den gegebenen Umständen sprechen unserer Meinung nach alle oben aufgeführten und einige weitere Punkte dafür, Signal als Messenger zu nutzen, wenn man sich dafür entschieden hat, bei allem für und wieder, ein Smartphone zu nutzen.

Was noch?

Dies ist selbstverständlich nur eine kurze, bei weitem nicht vollständige Übersicht zum Thema. Es gibt Unmengen weitere zu beachtende Aspekte.

Natürlich gibt es auch weitere unzählige „sichere“ Messenger. Diese werben fast alle mit „sicherem Nachrichtenversand“ und den üblichen geforderten Features. Es ist bisher jedoch KEINE App bekannt, die an die Standards von Signal heran reicht. Und da seit neuestem auch GIFs und „Sticker“ mit Signal versendet werden können, gibt es wahrlich keinen Grund mehr etwas anderes zu nutzen.

Hingewiesen sei auf die Möglichkeit JABBER (samt OTR-Verschlüsselung) auch auf Smartphones zu nutzen. Dies macht potenziell unabhängig von vorinstallierten Betriebssystemen und Google. Zu empfehlen ist die App Conversations.

Grundsätzlich gilt aber immer: Zum planen von Aktionen und anderen sensiblen Absprachen NICHT das Handy nutzen. Trefft euch Face-to-Face, lasst das Handy zu Hause und bringt es nicht mit zum Treffpunkt.

Dies alles soll nur eine kleine Einführung ins Thema sein und jene sensibilisieren, die keine Zeit und Nerv haben, sich mit dem Wust aus Technik und mitunter widersprechenden Debattenbeiträgen zum Thema auseinanderzusetzen. Grundsätzlich gilt: es gibt keine sichere Kommunikation.

In kürze zum Abschluss: überredet eure Freund*innen und Familie Signal zu nutzen. Nutzt kein Telegram! Falls die Frage kommt: WhatsApp (dass hier überhaupt darüber geschrieben werden muss -.-) hat eine gute Verschlüsselung (die von Signal) aber schrecklichen Umgang mit privaten Informationen z.B. euer Adressbuch wurde gerade an die Eigentümer facebook weitergereicht...

Zum weiterlesen

Zur sicher(er)en mobilen Kommunikation (auf Deutsch): https://mobilsicher.de/

Über „sichere“ Messenger: https://theintercept.com/2016/06/22/battle-of-the-secure-messaging-apps-...

„Secure Messaging Scorecard“ - herausgegeben von der „Electronic Frontier Foundation“, wird zur Zeit überarbeitet und aktualisiert. https://www.eff.org/node/82654

Zu Threema: Wikipedia https://de.wikipedia.org/wiki/Threema

Zu Telegram: Wikipedia https://de.wikipedia.org/wiki/Telegram_Messenger;

Moxie Marlinspike über Telegram und deren „Crypto Contest“: https://moxie.org/blog/telegram-crypto-challenge/; „Why you should stop using Telegram right now“ https://yro.slashdot.org/story/16/06/25/155214/why-you-should-stop-using...

Zu Signal: Wikipedia https://de.wikipedia.org/wiki/Signal_(Software); eigener Blog, in dem auch die eigenen Features und Sicherheitsrelevanten Aspekte erklärt werden: https://whispersystems.org/blog/

Bitte ergänzt Links und weitere Einführende oder tiefergehende Texte zum Thema.

Wir würden uns über Übersetzungen dieses Textes freuen.

Bild: https://commons.wikimedia.org/wiki/File:Crypto.png