Threema in der Kritik
von caschy | 25 Kommentare
Die Entwickler des Messengers Threema haben eine Erklärung veröffentlicht. Dem vorausgegangen ist eine Veröffentlichung einer Studie. Ein Student des Informatik-Departements der ETH Zürich hatte auf Schwachstellen im Protokoll von Threema hingewiesen. Diese Schwachstellen, sofern erfolgreich ausgenutzt, ermöglichen einem Angreifer zum Beispiel, die Metadaten der Kommunikation, wer wann mit wem kommuniziert, mitzulesen.
Die Studie des Studenten beruht auf einem früher genutzten Protokoll von Threema, seit kurzem setzt man da ja auf das Kommunikationsprotokoll Ibex. Laut der Studie gab es kryptografische Fehler im alten Protokoll, was es allerdings nicht per se unsicher macht, sondern vielleicht in Zukunft dafür gesorgt hätte. Threema selbst gibt sich schmallippig. Man finde die angesprochenen Dinge interessant, allerdings wäre alles nur theoretischer Natur – und außerdem habe man ja nun das neue Protokoll (welches zum Zeitpunkt der Untersuchung aber noch nicht im Einsatz war).
Die meisten gehen von umfassenden und realitätsfernen Vorbedingungen aus, die an sich schon weit folgenschwerere Konsequenzen hätten als das jeweilige Finding selbst. Eine solche Vorbedingung ist z.B. der physische Zugriff auf ein entsperrtes Android-Gerät über einen Zeitraum von ca. zwölf Stunden (und ohne, dass in Threema eine Passphrase gesetzt ist). In einem solchen Szenario muss das gesamte Gerät – und somit trivialerweise auch Threema – als kompromittiert betrachtet werden. Denn jede App kann immer nur so sicher sein wie das Gerät bzw. Betriebssystem, auf dem sie läuft.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Und nun? Ich muss der Begründung von Threema hier zustimmen.
Ist das neue Protokoll denn jetzt sicherer, als das alte?
„Denn jede App kann immer nur so sicher sein wie das Gerät bzw. Betriebssystem, auf dem sie läuft.“
Damit ist doch alles gesagt, was gesagt werden muss. Egal welches Protokoll, altes oder neues Protokoll, es liegt am Gerät bzw. dem Betriebssystem.
Und nicht zuletzt am Nutzer…
Wenn der unvorsichtig agiert, sein Handy ohne Sperre rumliegen lässt, dann ist eh alles zu spät.
Ich finde den obigen Satz ganz treffend:
„Die meisten gehen von umfassenden und realitätsfernen Vorbedingungen aus, die an sich schon weit folgenschwerere Konsequenzen hätten als das jeweilige Finding selbst.“
Treffend, weil das zumindest gefühlt bei vielen anderen Sicherheitslücken auch gilt.
Trotzdem ist es gut wenn sie jemand findet und dokumentiert. Dann kann jeder auf Basis seines individuellen Schutzbedarfs eine Risikoanalyse durchführen und Maßnahmen ableiten. Auch „das Risiko akzeptieren“ kann eine sinnvolle Maßnahme sein.
Ich kenne die Details nicht, aber wenn ich mal unterstelle, dass das Threema-Feedback dahingehend zutreffend ist, dass der Angreifer physischen (und längerfristigen) Zugriff auf ein entsperrtes Gerät benötigt, dann verstehe ich die Aufregung auch nicht. Wenn jemand mein entsperrtes Handy in die Hand bekommt und stundenlang damit herumspielen kann, dann ist eine Protokollschwachstelle in Threema (oder auch in einer beliebigen anderen App) wirklich mein allerkleinstes Problem…
Streng genommen gab es 7 Kritikpunkte wovon 4 den Zugriff auf das System benötigten. Einer war ein Socail Enineering fall. Einer war das inzwischen veraltete Protocol (wie hier erwähnt wird) und einer (nach Threema) ist nur theoretischer natur. Finde der Beitrag von Caschy, wenn er darüber schreiben will, hat das Thema nur ziemlich kurz aufgefasst, aber ich kenne auch nur den Blogpost von Threema, bei denen sie ein bisschen was über jeden Kritikpunkt schreiben.
Die Aussagen und die Handhabung von Threema enttäuschen auf ganzer Linie. Fefe hat das schön zusammengefasst: https://blog.fefe.de/?ts=9d43e514
Naja, das ist aber auch schon sehr „HAHA, ich habs doch gesaaaagt“-Nelson-Style, wie der Post geschrieben ist.
Und wirkliche Inhalte kommen da auch keine bei rüber, die in egal welcher Form die Aussagen Threemas widerlegen könnten.
Für mich ist der Post so qualitativ schlecht, dass der für nix taugt, außer polemischer Stimmungsmache.
Da stimme ich dir zu. Fefe haut schon gerne einen raus. Sein Post bringt aber null. Da hilft die Erklärung von Threema schon eher. Wenn das jemand gesagte bestreitet muss er es schon konkret werden.
Wie sicher das neue Protokoll aber ist wird man sehen. Immerhin ist Threema recht offen, weiß nicht ob IBEX auch Open Source ist aber ich denke wenn es jemand untersuchen möchte macht Threema da mit.
Ja find ich auch.
Ich find eine Kommunikation auch besser wo Fehler zugegeben werden und man sich auf die Lösung konzentriert statt alles runterzuspielen.
Schauen wir mal ob die ETH sich das neue IBEX Protokoll auch ansieht und was dabei rauskommt. Hausaufgabe gemacht oder halt nicht (das wär allerdings dann schon ziemlich schlecht).
Fefe ist generell weit entfernt von einer neutralen, ausgewogenen Berichterstattung.
Liest die „Bildzeitung für Nerds“ wirklich noch wer? Erstaunlich!
Fefe ist grade kaputt (ldapbind failed).
Leute, Matrix / Synapse ist die Zukunft!
Warum wird das hier eigentlich nicht mehr in den Focus gestellt?
Und Matrix wird bald mit den anderen Diensten kommunizieren können.
Ein Dienst, der auf die anderen zugreifen kann, ist noch ein noch größeres Sicherheitsrisiko, denn es muss nur ein Dienst komprimiert werden um an alle Daten zu kommen.
> Leute, Matrix / Synapse ist die Zukunft!
Das ist noch Jahre davon entfernt, halbwegs brauchbar zu sein.
Aus dem Alltag eines befreundeten Polizisten kann ich sagen, dass die Verschlüsselung in aller Regel eine untergeordnete Rolle spielt. Man entsperrt das Gerät des Users mithilfe seines Codes, Fingerabdrucks oder auch durch die Gesichtserkennung und hat dann alles unverschlüsselt. Er meint, es sei wesentlich weniger aufwändig, als die Geräte des Bundes anzufordern und die Dinger zu knacken – und kostet auch weniger. Oft werden den „Bösen“ mildere Strafen versprochen, wenn sie kooperieren.
Und woher bekommt die Polizei den „Code“ (ich vermute mal, du meinst die PIN)? Die habe ich vorlauter Aufregung vergessen..
Fragezeichen.
Seit einiger Zeit werden Handys mehrheitlich mit einem Finger oder Gesicht entsperrt, ohne Code/Pin.
Es reicht das Gerät einfach vor das Gesicht des Besitzers zu halten, oder eben mit dessen Finger zu berühren.
Ein wesentlicher Teil einer erkennungsdienstlichen Behandlung von Verdächtigen ist die Abnahme von Fingerabdrücken.
Wo waren Sie so lange?
Ist schon klar. Je bequemer für den Anwender, des niedriger die Sicherheit. Was die Abnahme von Fingerabdrücken aber mit dem Entsperren von Smartphones zu tun hat, entzieht sich mir etwas. Man kann nicht einfach den Fingerabdruck auf Papier nehmen und das dann auf den Sensor halten. Da muss man schon etwas mehr Aufwand betreiben. Sollte das bei einigen Telefonen doch inzwischen klappen, wäre das ein Argument mehr, auf die Nutzung des Fingerabdrucksensors zu verzichten. Und dann wäre noch dir Frage, ob man gezwungen werden kann, den Finger auf den Sensor zu halten.
Threema? Nutzt das noch jemand?
Yes!
Es ist eine Sensation weil man zum ersten Mal etwas gefunden hat bei Threema. Im Ergebnis ist das allerdings sehr sehr weit hergeholt. Es ist wie im Wahlkampf, man erfindet(!) Verfehlungen und belegt diese mit extrem kruden Konstrukten. Die ersten Meldungen werteten Threemas Entscheidungen dann auch als sicherheitstechnisch veraltet, weil Signal(!) schon neuere Versionen eines Teils benutzt. Ein Schelm wem der Konkurrent im Text auffällt.^^
Tatsächlich ist Threema nämlich Signal auf jeden Fall überlegen, in mehrfacher Hinsicht.
Nutze trotzdem nur WhatsUp, weil nur wenige bereit sind einen weiteren Messenger zu nutzen, komplett zu wechseln gleich mal gar keiner. Scheiß RL.
Wieso gibt sich Threema schmallippig?
Hier steht alles schön ausführlich und auch dass alle Schwachstellen bereits behoben wurden. Ich finde das persönlich gut umgesetzt 🙂
https://threema.ch/de/blog/posts/news-angebliche-schwachstellen-statement