Facebook und Facebook Messenger wohl bald mit Ende-zu-Ende-Verschlüsselung
von André Westphal | 19 Kommentare
Geht man nach den aktuellen Beta-Changelogs solll Ende-zu-Ende-Verschlüsselung bei sowohl Facebook als auch dem Facebook Messenger Einzug halten. Aktuell ist auf der Plattform Reddit jedoch bereits eine Diskussion darum entbrannt, wie Facebook mit der Verschlüsselung umgehen könnte. So verdient das soziale Netzwerk schließlich mit Werbung Geld. Jene könnte ja nun doch schwer personalisiert einzubinden sein, wenn Facebook die Nachrichten nicht mitschneiden kann. Deswegen nehmen einige Mitglieder der Reddit-Community z. B. an, dass Facebook zwar die Verschlüsselung einbinden, aber auch selbst jeweils einen Key behalten könnte.
Auch wird darüber spekuliert, wie Facebook bei Ende-zu-Ende-Verschlüsselung alle Nachrichten geräteübergreifend synchronisieren möchte. Da jenes allerdings auch bei WhatsApp funktioniert, die zu Facebook gehören, dürfte das soziale Netzwerk schon lange seine Hausaufgaben gemacht haben.
Ungewöhnlich wirkt es aber dennoch, dass ein soziales Netzwerk, das vom Zusammenraffen von Daten lebt, nun auf Ende-zu-Ende-Verschlüsselung setzen möchte. Sollte das Beta-Changelog Recht behalten, dürfte Facebook aber sicherlich bald genauer erklären, was die Gedankengänge dahinter sind.
Wird geladen ...
ich fände es gut, wenn Facebook den Messenger mit Whatsapp verschmelzen würde. Warum muss ich hier 2 verschiedene Messenger haben. Ich finde sowieso das es zu viele Messenger gibt. Ein Standard müsste her !
@Frank: weil vielleicht nicht jeder Facebook oder WhatsApp hat oder will und er dann gezwungen ist einen weiteren Messenger zu installieren. Ein Standard…der war gut, träum weiter 🙂
@Frank @Timo Man könnte aber in WhatsApp ja per wählbarer Option auch den Messenger integrieren und/oder andersrum. Man kann doch heute eh schon jeden Mist mit Facebook „verbinden“ dann sollte das dort doch auch gehen.
@Markus
Ich fände die Option auch wünschenswert, allerdings wird dies facebook so schnell nicht tun da dann wieder ein Sturm der Entrüstung von den üblichen verdächtigen Aluhut Trägern durchs Netz geht.
Das wird dann bis aufs letzte verteufelt, aber im gleichen Atemzug wird die Payback Karte gezückt, und bei facebook die Fotos von jedem Zimmer des eigenes Hauses online gestellt. Aber eine Verschmelzung von Whatsapp und Facebook ist natürlich das Ende des Abendlandes, egal ob beide sowieso schon lange zum gleichen Unternehmen gehören :).
Sorry, aber das ist Quatsch, WhatsApp erlaubt es eben nicht Nachrichten geräteübergreifend zu synchronisieren (das ist auch seeehr schwer möglich bei E2E-Encryption, und es gibt soweit ich weiß keinen Messenger, der das kann).
WhatsApp (installiert auf Android, iOS oder WP) bietet lediglich ein Interface an, über das die Webapp auf die lokalen Nachrichten auf dem Smartphone zugreifen kann.
Wenn Facebook E2EE anbieten sollte und selber auch einen Key bekommt, dann ist das absolut kein Unterschied (technisch schon, aber ohne Vorteile oder Nachteile) zu normaler Client-Server-Verschlüsselung (wie momentan schon).
@constantin warum sollte das dem schwer sein. Der Server bildet einen Hash der verschlüsselten Nachrichten und speichert diese zwischen. Anhand der Hashes könnte so eine Synchronisierung erfolgen.
@Andi:
https://de.wikipedia.org/wiki/Public-Key-Verschl%C3%BCsselungsverfahren
E2E-Verschlüsselung: Bob will eine Nachricht an Alice schicken. Er verschlüsselt sie mit Alices öffentlichem Schlüssel (public key). Die einzige Möglichkeit die Nachricht wieder zu entschlüsseln ist mit Alices private key – den sie niemals und unter gar keinen Umständen herausgibt – also alleine sie kann Bobs Nachricht entschlüsseln.
Natürlich können alle Nachrichten in der „cloud“ gespeichert werden, das ist auch sicherheitstechnisch kein Problem, da sie ohne Schlüssel wertlos sind – aber ich sehe keinen Weg, wie der Schlüssel auf ein neues Device übertragen werden sollen (man kann natürlich die Nachrichten vom einzigen Device übertragen, siehe WhatsApp Web – das ist dann aber keine E2E-Verschlüsselung mehr).
@constantin nette Beschreibung… aber wenn ich einen privaten Schlüssel habe, warum soll der nicht auf meinem Tablet und Handy und wo auch immer sein.
Damit kann ich jede Nachricht, die mit meinen öffentlichen key verschlüsselt ist, auch entschlüsseln.
Mit Threema würde das problemlos gehen. Installiere mal zwei Threema auf unterschiedlichen Geräten mit deinem Schlüssel.
Der Server sendet nur an das Gerät das als letztes online war.
Aber er könnte problemlos auch an beide senden . (Ist technisch nur nicht umgesetzt) wenn dazu der Client bei der Verbindungsaufbau den Hash der letzten verschlüsselten Nachricht, die er erhalten hat mitsendet, wäre eine Synchronisation problemlos möglich.
@Andi
Stimmt das würde wohl so gehen. Bei mir kommt nun die Frage auf warum das Unternehme hinter Threema das nicht schon längst umgesetzt hat. Und da denke ich mir vlt ist die Umsetzung dann doch nicht so einfach.
@ano ich denke das es wegen den Geld ist. Die Serverkapazitäten müssten größer sein und das Übertragungsvolumen würde steigen. Dazu weiß ich nicht ob der Google Push Dienst mehrere Geräte vorhalten kann… ansonsten müsste da auch ein eigener Pushservice etabliert werden.
Dazu ist die Politik von Threema eh nicht ganz logisch für den Außenstehenden….;-)
Nebenbei müsste sogar ein System das auf einem Email Server basiert sogar funktionieren (im Hintergrund). Nur das die „Emails“ Ende zu verschlüsselt auf einem IMAP server liegen und der Client mit IMAP Idle benachrichtigt wird.
Mit dem richtigen Fondend wäre da kaum ein Unterschied (nur ginge halt keine online Anzeige oder „tippt“.)
@Andi:
Meine Beschreibung ist etwas kurzgefasst.. Ein Grund von vielen warum das nicht geht, ist zum Beispiel Perfect Forward Secrecy – für jede Nachricht (oder alle x Nachrichten) wird ein neuer Schlüssel generiert, falls der alte Schlüssel kompromitiert wurde (beispielsweise indem jemand root-access auf ein Device hatte), können nachfolgenden Nachrichten nicht mehr gelesen werden.
@Andi: Das erklärt auch warum das mit Threema geht… Wenn ich eine neue Nachricht an einen Nutzer mit mehreren Geräten schreibe, generiert dessen zuletzt online gewesenes Gerät einfach ein neues Schlüsselpaar.
Ich behaupte nicht, dass eine synchronisierende (performante, sichere etc.) E2E-Verschlüsselung unmöglich ist, aber eine Menge Unternehmen beißen sich da seit vielen Jahren die Zähne dran aus und es wäre wahrscheinlich die nächste Milliarden-Dollar-Erfindung 😉
@Constantin. Das stimmt einfach nicht. Wire hat Unterstützung für mehrere Geräte und iMessage ebenfalls. Wire setzt sogar das Axolotl Protocol von Signal ein. Das ist alles ein gelöstes Problem. Threema kündigt multi device support schon seit 2013 an. Die kündigen allerdings auch viel an, wenn der Tag lang ist. Früher sogar mal einen Desktop-Client. Line müsste das inzwischen auch können. Der Link beschreibt eine technische Lösung für das multi device Problem.
https://moderncrypto.org/mail-archive/messaging/2014/001023.html
1. Die Werbung in Facebook ist für den Arsch. Ich verstehe schon lange nicht mehr, warum FB Geld verdienen kann. Egal, was ich mir angucken, was FB für mich „errechnet“, was mich interessiert, es ist Spam, und das als solcher zu erkennen und vom Thema für mich nicht interessant. Da kommen die unglaublichen Fakten, wie ich Frauen auf mich aufmerksam machen kann zu den „Diese Aufgabe löst nur jeder Xte mit Deutschen Wurzeln.“ Gelesen habe ich sowas noch nie. Im Übrigen bin ich unglaublich schlau (mindesntes mathematisch, mich interessieren also solche Rätsel nicht) und habe nun wirklich kein Interesse an Frauen in dem Sinn, wie FB es mir verkaufen will. Sie könnten gleich Penispumpen versuchen zu verkaufen, wäre gleich sinnvoll. Da die Werbung von FB nun aber so sinnvoll funktioniert, glaube ich auch nicht, dass sie irgendetwas von mir auswerten, weder meine Nachrichten, noch mein Klick- oder Leseverhalten, noch sonst irgendwas, was sie in ihre tollen Datenbank so speichern.
2. Wie Whatsapp auch ist die Frage, ob sie E2E-Verschlüsseln eher uninteressant. Die Software ist Closed Source, die Befürchtung, dass der private Schlüssel FB bekannt ist, ist mehr als berechtigt. Technisch würde eine gescheite Transportverschlüsselung vollkommen ausreichen. FB kann es ja nur darum gehen, dass die Nachrichten, die über ihr Netzwerk ausgetauscht werden, nicht von dritten gelesen werden. Das sind ja ihre wertvollen Informationen. Ich denke, die Idee, ein inzwischen doch recht bekanntes Protokoll zu verwenden, das E2E verschlüsselt, war der Versuch, den Bedenkenträgern den Wind aus den Segeln zu nehmen. Ich frage mich nur, wovor FB Angst hatte: Das am Ende sich die Vernunft durchsetzt, und die Leute doch auf Signal umsteigen? Wohl eher nicht.
MANN!
Wir sind doch hier auf einem Tech-Blog! Da sollte es doch auch den Autoren bewusst sein, dass die Datensammlung von Facebook und WhatsApp primär auf Metadatenebene abläuft!
Das ist die Krux und der Haken an der Nutzung dieser Messenger.
Long story short: Begrüßenswert, dass WA jetzt und Facebook vielleicht in Zukunft verschlüsselt.
Das Problem ist aber nicht primär das Risiko, dass ein Dritter Teile eines Gesprächs mitlesen könnte.
Das Problem ist, dass WhatsApp bzw. Facebook – und damit Facebook anhand der Metadaten absolut perfekte Persönlichkeitsprofile erstellen kann. Wann schläfst Du, wann schreibst Du mit wem und wie oft, wo hältst Du Dich auf. Wann bist Du wo im Urlaub, welche neuen Kontakte triffst Du dort und notierst Dir ihre Nummer, wann seid Ihr am gleichen Ort. Nachts, gleiches Hotel? Schreibst Du gleichzeitig noch Deinem Kontakt, der bei Facebook als „in einer Beziehung“ vermerkt ist?
Mag manche nicht stören. Mich schon.
https://www.privateinternetaccess.com/blog/2014/11/whatsapp-encryption-shows-value-of-metadata/
@Joe
Nun, das ist durchaus bewusst und jedem bekannt. Und viele finden es gefährlich, und viele nutzen daher weder WA noch FB, oder liefern WA ein leeres Adressbuch, oder, oder, oder.
Es ist für viele aber durchaus wünschenswert, dass der Inhalt der Gespräche geheim bleibt. Google macht ja sogar damit Werbung, die Texte zu analysieren, warum sollte das WA und FB nicht wollen? Einen großen sozialen Graphen aufzubauen ist das eine. Es geht aber viel weiter, wenn Inhalte analysiert werden! Und insbesondere unter dem Gesichtspunkt, Werbung schalten zu wollen, und das will FB, denn damit verdienen sie Geld, sind Inhalte von Nachrichten, die man schreibt, Texten, die man liest, usw. entscheidend.
@saujunge
Danke für die Kommentar. Ich widerspreche aber deutlich der Aussage, dass sei „bewusst und jedem bekannt“. Selbst in meinem halbwegs technik-affinen Freundeskreis weiß das fast keiner. Bei den nicht technik-affinen Freunden absolut gar keiner.
Und seit Einführung der der Verschlüsselung höre ich ständig, dass WhatsApp ja nun datenschutzmäßig sicher sei.
Und da kann man einfach nicht laut genug widersprechen, schon gar nicht wenn WhatsApp bereits im Hintergrund an der Zusammenführung mit Facebook Profilen arbeitet.
@Joe
Gerade wieder ein solches Gespräch mit einem UNI-Absolventen, Informatik, geführt, und ich muss dir erschreckender Weise doch mehr Recht geben, als mir lieb gewesen wäre. Dieser Batchelor hat nichts verstanden, ich frage mich, was der sein ganzes Studium gemacht hat. Und wenn der es nicht rafft, raffen es tatsächlich die meisten nicht. Arme Welt.