Turvallinen pikaviestittelysovellus älypuhelimille

[Humanoid]

Ihan mielenkiintoista luettavaa, että mitä tietoa eri softat voi antaa, mikäli viranomainen vaatii (FBIn dokumentti asiasta)...

Here's what data the FBI can get from WhatsApp, iMessage, Signal, Telegram, and more

A disclosed FBI training document reveals what information can be revealed about your usage of an end to end encrypted instant messaging app.

blog.malwarebytes.com

If there is one thing clear from the information in this document it’s that most, if not all, of your messages are safe from prying eyes in these apps, unless you’re using WeChat in China.

Eli viestit näyttäisi olevan suurimmalla osalla turvassa, mutta sitten muuta tietoa kyllä irtoaa joiltakin enemmänkin kuin toisilta...

Mielenkiintoisimmat poiminnat tuolta:

Whatsapp - Message content limited.
Eli jotain viestisisältöäkin on saatavilla metadatan lisäksi? Mitä?

Telegram - No message content.
Tämä on mielenkiintoinen, sillä Telegramissahan kaikki ryhmät ovat salaamattomia, ja täten viestien sisältö on kyllä tarvittaessa saatavissa. Myös yksityisten viestien osalta, ellei keskustelussa ole käytetty salausta.

 

[ztec]

Hyvä nosto aiheesta, vaikka varmaan asiaa seuraavat on jo kaikki tämän nähneetkin:

Viestipalvelu Signalin perustajalta kovasanainen ulostulo kilpailijasta – ”yksityisyyden ja tietojen keräämisen osalta ei ole huonompaa vaihtoehtoa kuin Telegram”

Esimerkiksi WhatsAppin käyttöehtojen päivittämisen ympärille syntynyt kohu sai aiemmin vuoden 2021 aikana monet etsimään vaihtoehtoja Facebookin leir

mobiili.fi

Eipä paljon lisättävää, toisaalta artikkeli ei sisällä myöskään mitään uutta. Ehkä se hieman ärsyttää, että Signal kuitenkin kerää käyttäjien pitkäaikaiset identiteetit, oikeasti hyvin tehdyn softan ei tarvitse tietää mitään tuosta. Lisäksi tuo mahdollistaa sekä palvelimien, että käyttäjien, tunnistaa käyttäjät, joka on yksitysyys ja varsinkin anonymiteetti aspektista todella huono juttu.

 

[REALhjelm]

element

 

[ztec]

element

Siitä on kokonaan oma lankansa.

Mikä on Matrix - Pikaviestit, puhelut, avoinkoodi, salattu ja fedroitu

Mikä Matrix on? Matrix.org Se on oikein hyvää vauhtia kehittyvä ja jo varsin käytettävä salattu pikavistintä standardi, joka tarjoaa puhelut ja viestit miltei kaikilla alustoilla. Muita karkeasti verrattavia tuttuja projekteja on muummoassa: WhatsApp, Facebook Messenger, Telegram, Discord...

bbs.io-tech.fi

Mutta kun nyt kerran postasin, niin otetaan vielä yksi toinen aspekti esille. Kun todettiin turvallisista viestintäsovelluksista ja alustoista, niin mm. Virallisten turvallisuusohjeiden mukaan puhelimella ei saisi kuitenkaan käsitellä mitään salaista. Tuo on aina hyvä pitää mielessä. Edes luottamuksellisia tietoja ei saa käsitellä puhelimella, riippumatta sovelluksesta.

 

[ztec]

Tämmöinen uusi yllättäjä ilmestyi, open sourcea:

Olvid - Secure Messaging

olvid.io

En, en ole tutustunut aiheeseen, on sen verran uusi. Mutta moni on tutkimassa aisaa. Myös Session kovasti jaksaa joka välissä mainostaa privacy featureja.

 

[Humanoid]

Ilmeisesti Telegram on useaan otteeseen antanut tietoja käyttäjistä Saksan tiedusteluviranomaisille, vaikka väittävät etteivät ole koskaan tehneet sellaista:

Telegram reportedly surrendered user data to authorities despite insisting '0 bytes' had ever been shared

Government pressure may have finally won out

www.androidpolice.com

Hyvä esimerkki siitä, että jos olet oikeasti huolissasi yksityisyydestä, älä käytä palveluita joissa viestejäsi ei salata palvelimen päässä.

 

[Hammer Schultz]

Ilmeisesti Telegram on useaan otteeseen antanut tietoja käyttäjistä Saksan tiedusteluviranomaisille, vaikka väittävät etteivät ole koskaan tehneet sellaista:

Telegram reportedly surrendered user data to authorities despite insisting '0 bytes' had ever been shared

Government pressure may have finally won out

www.androidpolice.com

Hyvä esimerkki siitä, että jos olet oikeasti huolissasi yksityisyydestä, älä käytä palveluita joissa viestejäsi ei salata palvelimen päässä.

Ei kai se salaus palvelin päässä auta mitään ellet tarkoita että se on salattu siten ettei palveluntarjoakaan pääse siihen käsiksi?

Mutta kaikki ilmaiset viestintäsovellukset ovat lähtökohtaisesti epäluotettavia koska jostain ne rahat pitää ottaa, jos ei suoraan käyttäjältä niin sitten joltain muulta maksajalta joka haluaa hyödyntä dataa sinusta.

 

[Humanoid]

Ei kai se salaus palvelin päässä auta mitään ellet tarkoita että se on salattu siten ettei palveluntarjoakaan pääse siihen käsiksi?

Mutta kaikki ilmaiset viestintäsovellukset ovat lähtökohtaisesti epäluotettavia koska jostain ne rahat pitää ottaa, jos ei suoraan käyttäjältä niin sitten joltain muulta maksajalta joka haluaa hyödyntä dataa sinusta.

Ei auta ei. Juuri siksi data siellä täytyisi olla aina salattua juuri siten ettei palveluntarjoajakaan itse pääse siihen käsiksi. Signalilla on homma ihan hyvin hanskassa tuon suhteen. Vaikka Whatsapp käyttää samaa turvallista protokollaa viestien salaukseen, he seuraavat metadataa ja keräävät tätä kautta tietoa.

 

[Humanoid]

NATO:n strategisen kommunikaatiokeskuksen johtaja varoittaa ettei Telegram ole turvallinen alusta:

Telegram is ‘not a secure platform,’ NATO-backed strategic comms chief warns - Washington Examiner

Video EmbedTelegram, a leading encrypted messaging and social media application, has been compromised by Russia, according to a NATO-backed assessment.“Telegram is not really as it used to be,” Janis Sarts, the director of NATO’s Strategic Communications Center of Excellence in Riga, Latvia, told

www.washingtonexaminer.com

 

[=JP=]

Lisäksi nyt on Telegramiin tullut Premium mahdollisuus, eli maksamalla saa laajennettua ominaisuuksia, mutta mites yksityisyys, koska jos aletaan rahaa vaatimaan, pitää alkaa pitämään tarkkaa asiakasrekisteriä lakien mukaan silloin.

700 Million Users and Telegram Premium

Telegram now has over 700 million monthly active users. Today we're launching Telegram Premium – a subscription that lets you support Telegram's continued development and gives access to exclusive additional features.

telegram.org

 

[ztec]

NATO:n strategisen kommunikaatiokeskuksen johtaja varoittaa ettei Telegram ole turvallinen alusta:

Telegram is ‘not a secure platform,’ NATO-backed strategic comms chief warns - Washington Examiner

Video EmbedTelegram, a leading encrypted messaging and social media application, has been compromised by Russia, according to a NATO-backed assessment.“Telegram is not really as it used to be,” Janis Sarts, the director of NATO’s Strategic Communications Center of Excellence in Riga, Latvia, told

www.washingtonexaminer.com

Tämä linkki oli mun postaa tänne listalla. Mutta siis tuossakin artikkelissa on virhe heti ekassa kappaleessa. "Encrypted", niin siis eihä normit chatit ole salattuja Telegrammissa, vain secret chatit on. Mut tää on jo niin kulunut aihe, että ei taida enää jaksaa.

Harvassa on ne sovellukset joissa salaukseen on panostettu, Matrix esim. on ehkä yksi vahvimmista kandidaateista. Eikä avainhallintaakaan ole ulkoistettu jollekkin tuntemattomalle taholle, vaan suosittelevat aktiivisesti kontaktien verifointia ja varoittavat jos kontaktit on verifioimatta. Toisaalta toisille se on ylitsepääsemätön ongelma, mutta sitä ongelmaa valitettavasti mikään sovellus ei voi korjata.

Pikaviestin - Suomesta suomalaisille. Sekä tietysti TechBBS keskustelu Pikaviestimestä ja Matrixista.

 

[nihao]

Onko muut käytellyt Sekuria? Sekur - Swiss Privacy and Security for Data and Communications

Itse oon n. 6kk nyt käyttänyt (lähinnä sähköpostia) ja tyytyväinen ollut.

Ei tosin ole ilmainen, 5-7usd/kk riippuen paketista.

 

[ztec]

Onko muut käytellyt Sekuria? Sekur - Swiss Privacy and Security for Data and Communications

Miten tuossa Sekur:issa on hoidettu mm. salausavainten hallinta ja uusinta? Noihan on ne perinteiset ongelmatkohdat, vaikka appi olisi teknisesti miten turvallinen.

 

[Humanoid]

Tämä linkki oli mun postaa tänne listalla. Mutta siis tuossakin artikkelissa on virhe heti ekassa kappaleessa. "Encrypted", niin siis eihä normit chatit ole salattuja Telegrammissa, vain secret chatit on. Mut tää on jo niin kulunut aihe, että ei taida enää jaksaa.

Harvassa on ne sovellukset joissa salaukseen on panostettu, Matrix esim. on ehkä yksi vahvimmista kandidaateista. Eikä avainhallintaakaan ole ulkoistettu jollekkin tuntemattomalle taholle, vaan suosittelevat aktiivisesti kontaktien verifointia ja varoittavat jos kontaktit on verifioimatta. Toisaalta toisille se on ylitsepääsemätön ongelma, mutta sitä ongelmaa valitettavasti mikään sovellus ei voi korjata.

Niin siis varsinkin Telegramin kohdalla ihmiset tuntuvat sekoittavan "Encrypted" -sanan siihen, että tuo palvelu olisi täysin salattu (E2EE), vaikka tuolla tarkoitetaan vain client-puolen salausta. Eli viestit jotka lähetät ja vastaanotat ovat salattuja, mutta palvelimen päässä taas oletuksena eivät. Harva uutisen kirjoittaja mainitsee tuosta erikseen.

 

[Sally_Spectra]

Onko muut käytellyt Sekuria? Sekur - Swiss Privacy and Security for Data and Communications

Itse oon n. 6kk nyt käyttänyt (lähinnä sähköpostia) ja tyytyväinen ollut.

Ei tosin ole ilmainen, 5-7usd/kk riippuen paketista.

Mihin olet ollut tyytyväinen?

Nykyään palvelimen sijainti Sveitsissä ei tarkoita, että eivät jakaisi dataa. Lisäksi jos olet heille maksanut, niin heillä on sinun henkilötiedot. Täten jos pyyntö tulee niin jakavat ne.

 

[ztec]

Pitkästä aikaa tässä kategoriassa joku uusi ja varteenotettava tuttavuus.

SimpleX Chat

Itseasiassa tässä sovelluksessa tehdään monta asiaa niin oikein, että taisi nousta ihan kärkeen omaksi suosikikseni. Tämän vuoksi avasin asiasta myös oman keskustelun:

SimpleX.Chat - Paras pikaviestintäsovellus?

Pitkästä aikaa tässä kategoriassa, joku uusi ja varteenotettava tuttavuus. SimpleX Chat Miksi? Hajautettu järjestelmä Hajautettu identiteetti / Incognito mode MITM suojaus, oikeasti salatut chatit Ei DNS riippuvuutta Metadataa erittäin rajoitetusti Välivarastoiva palvelin Itse hostattava...

bbs.io-tech.fi

 

[ztec]

Wickr lopettaa:

Wickr’s free encrypted messaging app is shutting down next year

Wickr Me is going away on December 31st, 2023.

www.theverge.com

Jännä nähdä mihin käyttäjät siirtyvät. Oma arvaukseni on pääasiassa Session. Wickr on ollut erittäin suosittu sovellus Suomessa.

Riippuen käyttötarkoituksesta toki myös SimpleX ja Matrix on ihan mahtavia vaihtoehtoja. Turvallisuus tarkoittaa eri tahoille eri asioita, Cwtch on myös olemassa.

 

[ztec]

Nyt menee ehkä ihan vähän ohi tän otsikosta, mutta Briarista joka on yksi parhaista kiistatta, on julkaistu myös Desktop versio:

Briar Desktop 0.4.0-beta released - Windows support and forums - Briar

Briar Desktop 0.4.0-beta for Linux and Windows including the first new feature: forums We are very happy to announce that we have accomplished two big goals! We just released a version of Briar Desktop for Windows so that roughly one year after our first version, we now support another major...

briarproject.org

 

[ztec]

Tässä muuten pientä vertailua näistä viestintäsovelluksista. Taulukko on open sourcea joten sitä voi myös päivittää:

SecuChart - interactive secure messenger feature comparison

bkil.gitlab.io

Vertailussa mukana vaatimattomasti:
aTalk Briar Cheogram Conversations cwtch Delta.Chat Dino FluffyChat Gajim GNUnet Messenger-GTK Apple iMessage Jami Keybase Manyverse Matrix Element Meshenger Molly monocles chat Mumble Nekogram X Nheko Olvid OnionShare Pidgin PyBitmessage Quassel quiet RetroShare SafeUM SchildiChat Session Signal Signal-FOSS Signal-JW SimpleX Chat Skype smoke Snapchat Telegram Telegram FOSS Threema Tox Viber WhatsApp Wickr XMPP Elixxir xx wire Zoom

 

[Ormu]

Tässä muuten pientä vertailua näistä viestintäsovelluksista. Taulukko on open sourcea joten sitä voi myös päivittää:

SecuChart - interactive secure messenger feature comparison

bkil.gitlab.io

Vertailussa mukana vaatimattomasti:
aTalk Briar Cheogram Conversations cwtch Delta.Chat Dino FluffyChat Gajim GNUnet Messenger-GTK Apple iMessage Jami Keybase Manyverse Matrix Element Meshenger Molly monocles chat Mumble Nekogram X Nheko Olvid OnionShare Pidgin PyBitmessage Quassel quiet RetroShare SafeUM SchildiChat Session Signal Signal-FOSS Signal-JW SimpleX Chat Skype smoke Snapchat Telegram Telegram FOSS Threema Tox Viber WhatsApp Wickr XMPP Elixxir xx wire Zoom

Ihan komea vertailu. Muutama ongelma kuitenkin:

- sivu on leveä ja kankeasti käytettävä
- ruudut turhan isoja, pienemmillä pärjäisi ja sivusta saataisiin kompaktimpi
- tyhjiä kohtia on paljon (ymmärrettävää toki, jos tekijöitä on vähän)
- värikoodaus ei ole johdonmukainen, esimerkiksi salauksen puute yleisesti tai PyBitmessagen haavoittuvuus ansaitsisivat kirkkaanpunaisen luokituksen

 

[dataaja95]

Session taitaa käyttää heidän omaa kryptoaan, onko tuota kukaan auditoinut, tai varmistanut että se on turvallinen. Entä briar, käyttääkö se mitä kryptoalgoritmia ja miten sovellus estää metadatan vuotamisen. Session vaikuttaisi sovellukselta johon ei tekniset käyttäjät saisi hyvin helposti siirtymään whatsappista.
Edittiä
Sessionin kryptosta löytyy juttua heidän dokumentaatiostaan ja näyttää ihan asialliselta

Session Protocol: Technical implementation details - Session Private Messenger

Read up on the technical information behind the new Session Protocol, and our plans for rolling it out.

getsession.org

 

[dataaja95]

dokumentaation mukaan briar pystyy tallentamaan viestit kontakteille, jotka eivät ole tällähetkellä online tilassa ja välittämään ne heille, kun he tulevat onlineen, miten tämä tapahtuu, jos softalla ei ole minkäänlaista palvelinratkaisua, johon viestit tallennettaisiin välivarastona. Vai tallentaako softa viestit lähettäjän laitteelle ja lähettää ne käyttäjälle vasta, kun hän tulee onlineen

 

[ztec]

Ihan komea vertailu. Muutama ongelma kuitenkin:

Aivan loistavia ehdotuksia. Kuten varmaan huomasit, se on open sourcea. Joten pull requestia vaan menemään. Samoin projektilla on oikein aktiivinen kehistysfoorumi, jossa käydään paljon keskusteluja päivittäin. Tervetuloa!

SimpleX.chat projektilta puuttuu myös Wikipedia sivu, sellaisenkin saisi joku innokas perustaa. Projektin ylläpito ei sellaista halua tehdä, koska se on Wikipedian parhaiden käytäntöjen vastaista.

 

[ztec]

Linkitetään ristiin, SimpleX:n kehittäjä oli Opt Out:n haastattelussa. Kertoo siinä laajasti erilaisten mobiili sovellusten tietoturvasta ja toiminnasta, sekä taustoista, ongelmista ja haasteista. Suosittelen uteliaille vaikka ei olisi SimpleX:stä edes erityisesti niin kiinnostunut, koska jokaisessa viestintäsovelluksessa on ihan samat haasteet. Jotta replyt menee oikeaan paikkana, linkaan suoraan postaukseen johon voi vastata. Tuossa postissa on sitten linkki itse pod castiin.

SimpleX.Chat - Paras pikaviestintäsovellus?

Pitkästä aikaa tässä kategoriassa, joku uusi ja varteenotettava tuttavuus. SimpleX Chat Miksi? Hajautettu järjestelmä Hajautettu identiteetti / Incognito mode MITM suojaus, oikeasti salatut chatit Ei DNS riippuvuutta Metadataa erittäin rajoitetusti Välivarastoiva palvelin Itse hostattava...

bbs.io-tech.fi

 

[Infy]

Signal uhkaa lähteä Englannista jos siellä vireillä oleva lakiehdotus menee läpi Signal says it will shut down in UK over Online Safety Bill

Kysyinen lakiehdotus vaatii kaikkien sähköisten palveluntarjoajien toteuttavan automaattisen seulonnan palveluunsa laittoman materiaalin havaitsemiseksi.

Sinänsä ei koske suoraan Suomea, muuten kuin, että EU:ssa on vastaavanlainen projekti vireillä. Chat Control

 

[leffo]

Eikö tuo ole huono asia yksityisyyden kannalta että Signal pystyy noin tekemään?

Tarkoitan siis sitä että he ylipäätään tietävät ketkä käyttäjistä on Englannista.

 

[Nathorr]

Eikö tuo ole huono asia yksityisyyden kannalta että Signal pystyy noin tekemään?

Tarkoitan siis sitä että he ylipäätään tietävät ketkä käyttäjistä on Englannista.

Voisi kuvitella, että tuo saavutetaan vain sillä, että UK-käyttäjät eivät voi jatkossa ladata Signalia kännykän sovelluskaupasta.

 

[ztec]

Voisi kuvitella, että tuo saavutetaan vain sillä, että UK-käyttäjät eivät voi jatkossa ladata Signalia kännykän sovelluskaupasta.

Kuten APK:na suoraan sivuilta tai F-Droidista (tai muista lukemattomista muista kanavista).

 

[Nathorr]

Kuten APK:na suoraan sivuilta tai F-Droidista (tai muista lukemattomista muista kanavista).

Kyllä, mutta jos he blokkaavat sen lataamisen virallisista kanavista, joka nyt tässä tapauksessa tarkoittaa myös muita kuin kännykän sovelluskauppoja, he voivat sanoa, että palvelu ei ole saatavilla UK:ssa ja täten kiertää UK:n vaatimukset. Samalla tavalla Netflix ei aikanaan ollut saatavilla Suomessa, mutta niin sitä vaan VPN:n kautta pystyi katsomaan. Tai monet muut esimerkit sovelluksista, jotka on virallisesti ladattavissa vain tietyissä maissa. APK:itahan nyt saa käsiinsä kuka tahansa.

En nyt tosiaankaan tiedä, että riittäisikö tämä, mutta heräsi vain ajatus.

 

[ztec]

En nyt tosiaankaan tiedä, että riittäisikö tämä, mutta heräsi vain ajatus.

Opensourcen tapauksessa asennuspaketin saa vetää pois ihan mistä haluaa, sitä ei tarvita. Kun source riittää. Buildi kehiin ja menoksi. Tai projektin forkki kuten Molly.

Toisaalta, miksi taistella Signal:n kanssa kun eittämättä parempiakin vaihtoehtoja, jos arvostaa yksityistyyttä on jo tarjolla.

 

[Nathorr]

Opensourcen tapauksessa asennuspaketin saa vetää pois ihan mistä haluaa, sitä ei tarvita. Kun source riittää. Buildi kehiin ja menoksi. Tai projektin forkki kuten Molly.

Toisaalta, miksi taistella Signal:n kanssa kun eittämättä parempiakin vaihtoehtoja, jos arvostaa yksityistyyttä on jo tarjolla.

Jep, just näin. Signalin etu on siinä, että he ovat saavuttaneet edes jonkinlaisen käyttäjäkunnan näistä avoimen lähdekoodin ratkaisuista, jotka kilpailevat WhatsApin, Messengerin ja Telegrammin kanssa. Loppujen lopuksi viestisovellus on just niin hyvä kuin sillä on käyttäjiä, jos siis katsotaan isossa kuvassa. Erityistarpeet sitten erikseen. Omat käyttötarpeet täyttää sovellus, jolla saan kaverit kiinni ja joka ei vuoda Facebookille jokaista kirjoittamaani riviä metadatoineen.

 

[ztec]

Omat käyttötarpeet täyttää sovellus, jolla saan kaverit kiinni ja joka ei vuoda Facebookille jokaista kirjoittamaani riviä metadatoineen.

Joskin yksi identiteetti + puhelinnumero on jo merkittävä turvallisuusrikkomus, jos mietitään että sovelluksen pitäisi tarjota yksityistä viestintää, eri tahojen kesken. SimpleX:n uusi versio tukee myös piilotettuja rinnakkaisprofiileita nyt.

 

[Humanoid]

Joskin yksi identiteetti + puhelinnumero on jo merkittävä turvallisuusrikkomus, jos mietitään että sovelluksen pitäisi tarjota yksityistä viestintää, eri tahojen kesken. SimpleX:n uusi versio tukee myös piilotettuja rinnakkaisprofiileita nyt.

Yksityisyys ja turvallisuus ovat eri asioita. Signal pyrkii tarjoamaan lähinnä jälkimmäistä.

 

[Ormu]

Eikö tuo ole huono asia yksityisyyden kannalta että Signal pystyy noin tekemään?

Tarkoitan siis sitä että he ylipäätään tietävät ketkä käyttäjistä on Englannista.

Keskitetty palvelu pystyy aina tietämään ainakin sen, mistä maasta käyttäjän liikenne palvelimille tulee. Erilaisilla välitysratkaisuilla sitä pystyy tietysti hämäämään. Jos rekisteröityminen tehdään puhelinnumerolla, sen perusteella voidaan myös päätellä asioita.

Jos Signalin pitäisi estää käyttö jossain maassa, se varmaan aloitettaisiin sillä, että tämän maan käyttäjät eivät voisi ladata Signalia yleisistä sovelluskaupoista.

Toisaalta jos Signal operoi Yhdysvalloista, paljonko he joutuvat muiden maiden kommervenkkejä noudattamaan?

 

[ztec]

SimpleX Chat 5.0 versio on lisätty turvallisten chatti-sovellusten listaan ja vertailutaulukkoon:

Merge branch 'simplex' into 'master' (2b85f44e) · Commits · Thomas Nagy / secuchart · GitLab

Simplex 5.0 See merge request bkil/secuchart!146

gitlab.com

Tämän hetken kattavin vertailutaulukko löytyy siis täältä.

SecuChart - interactive secure messenger feature comparison

bkil.gitlab.io

Toinen suosittu vertailutaulukko on Tilde tiimin ylläpitämä:

My list of favorite secure messaging apps

Signalin turvallisuus paranisi sillä, että sen voisi irroittaa ja ajaa omassa infrastruktuurissa.

mm. Toisia ratkaisuita voidaan ajaa vaikka täysin suljetussa verkossa, missä ei ole mitään yhtyksiä internettiin.

 

[ztec]

Tässäpä vinkeä KryptEY palikka Androidille, kukapa olisi ajatellut että näppäimistö voi salata tekstin. Tekee siis mistä tahansa chatti sovelluksesta salatun chatin.

SimpleX v5.1 on julkaistu merkittävien parannusten kanssa. Versio 5.1.1 on kuulemma tulossa vielä tänään, korjaa pari julkaisuun livahtanutta bugia. SimpleX keskustelussa on myös korjattu SimpleX käyttäjien linkki.

 

[ztec]

Briarista löytyi useita haavoittuvuuksia, kannattanee päivittää:

Three security issues found and fixed - Briar

In February of this year, security researchers at ETH Zürich notified us that they had found three security issues in the Briar app. Two of these issues were fixed in version 1.4.22 of Briar, which was released in February. The third issue was fixed in version 1.5.3, which is being released...

briarproject.org

Sinänsä mielenkiintoisia löytöjä, kun Briar on ollut ehkä se foliohattuisin ja suosituin viestintäsovellus kaikista, niissä piireissä joissa oikeasti haetaan turvallisuutta.

 

[=JP=]

Mielenkiintoinen idea salata liikenne minkä tahansa viesti palvelun kautta (tiettyjä rajoituksia tietenkin on riippuen palvelusta, kuten viestin max pituus jne.., jotka pitää ottaa huomioon), eli näppäimistö hoitaa E2EE salauksen ja tämä tapahtuu paikallisesti omalla laitteella. Saapas nähdä, aletaanko tätä käyttämään mahdollisten lakien kiertämiseen...

GitHub - amnesica/KryptEY: Android keyboard for secure E2EE communication through the signal protocol in any messenger. Communicate securely and independent, regardless of the legal situation or whether messengers use E2EE

Android keyboard for secure E2EE communication through the signal protocol in any messenger. Communicate securely and independent, regardless of the legal situation or whether messengers use E2EE -...

github.com

An Android keyboard for secure end-to-end-encrypted messages through the signal protocol in any messenger. Communicate securely and independent, regardless of the legal situation or whether messengers use E2EE. No server needed.

The keyboard was designed as a POC and only allows 1-to-1 conversations.

 

[ztec]

Mielenkiintoinen idea salata liikenne minkä tahansa viesti palvelun kautta

Tuohan oli tuossa pari viestiä ylempänä jo.

Mutta joo ihan uusi idea, about vuodelta 1892 tms, kuten toisaalla jo linkattiin. Silloin tuli salaava kirjoituskone tarjolle. Joten jotain reilusti yli sata vuotiastahan tässä vaan lämmitellään uudelleen.

Lisäksi on olemassa YAP! joka on hoitanut ihan saman asian, mutta clipboardin kautta, eikä näppäimistö sovelluksena. Käytännössä merkitys on todella vähäinen käytännön kannalta. YAP! käyttää tosin Signal protokollan sijasta perinteisempää ja yhteensopivampaa PGP:tä.

 

[=JP=]

Tuohan oli tuossa pari viestiä ylempänä jo.

Mutta joo ihan uusi idea, about vuodelta 1892 tms, kuten toisaalla jo linkattiin. Silloin tuli salaava kirjoituskone tarjolle. Joten jotain reilusti yli sata vuotiastahan tässä vaan lämmitellään uudelleen.

Lisäksi on olemassa YAP! joka on hoitanut ihan saman asian, mutta clipboardin kautta, eikä näppäimistö sovelluksena. Käytännössä merkitys on todella vähäinen käytännön kannalta. YAP! käyttää tosin Signal protokollan sijasta perinteisempää ja yhteensopivampaa PGP:tä.

Oho, liian nopsaan katsonu viestit ja vain lukenu tuon SimpleX päivitys rivin ja skipannu kiireessä...

Juu, vanha ideahan tuo on, mutta eipä kovin paljoa ole digitaalisessa maailmassa ollut tarjolla, kun softat itse hoitaneet salauksen. Nyt vaan hölmöt lakiehdotukset alkanut poikimaan "uusia" ideoita asian suhteen.
Tässä kanssa yksi esimerkki vuosien takaa, joka luo overlayn minkä tahansa appin päälle ja täten mahdollistaa salauksen...

GitHub - oversecio/oversec

Contribute to oversecio/oversec development by creating an account on GitHub.

github.com

Maailma muuttuu ja välillä mennään minun mielestäni väärään suuntaan, joten hyvä vaan että on vaihtoehtoja tarjolla.

 

[ztec]

Tämän Tweetin perusteella Session soveluksessa on korjattu kasa bugeja, jotka todella inhottavasti sotkivat chatteja, jos niitä käytti useammalla kuin yhdellä laitteella:


Onhan se hyvä, että "turvallisten" aka normo tier ja myös "foliohattu" kategoriassa olevien sovelusten osalta on tarjontaa.

Useita uutisia on pyörinyt viimeaikoina siitä, miten erilaiste viestintäalustat halutaan niin EU:ssa, kuin Yhdysvalloissakin viranomaisten valvontaan, Kiinaa ja Intiaa tietenkään Unohtamatta.

Toistaiseksi tuntuu, että Eurooppa on vahvasti tämän kehityksen etunenässä, mm. SimpleX:n myötä. Mutta nähtävksi jää, mikä on tilanne tulevaisuudessa. Ei varmaan liene kenellekään yllätys, että ikuinen kädenvääntöhän tässä on kyseessä.

 

[ztec]

Versio tietokoneille julkaistu ja luento soveluksen toiminnasta on myös nyt saatavilla.
SimpleX ketjussa tietenkin.

Tässä on aika erilaiset suunnittelulähtökohdat kuin useimmissa sovelluksissa, se tietysti tekee alustasta erilaisen, niin hyvässä kuin pahassakin.

 

[ztec]

Bump! Facebook ilmoitti ottavansa viesteissä e2ee:n käyttöön. Ulina asioasta oli kova, mutta yksityisyysmielessä tuo lienee hyvä asia. X:ssä nuo on ollut jo pitkään käytettävissä.

 

[ztec]

Bump. Signal ja iMessage otti käyttöön PQ kryptauksen.

 

[Lucas]

Jos haluaa luottamuksellisesti viestiä pikaviestimillä, niin ainakin pikaviestimestä kannattaa nuo push-ilmoitukset asetuksista ruksia niin, että viestin lähettäjä eikä viestin sisältö tule push-viestinä. Jos sen mokaa, niin se viesti päätyy samantien kaikille urkkijatahoille.

​

Apple ja Google vahvistivat: valtiot vakoilevat älypuhelinten ilmoituksia

mobiili.fi

"Eri valtiot vakoilevat älypuhelimiin lähetettyjä ilmoituksia. Apple ja Google ovat tahoillaan vahvistaneet asian.​

​

Valtiolliset toimijat ovat hyödyntäneet älypuhelinten ilmoituksia vakoillakseen käyttäjiä, Apple ja Google vahvistavat. Keskustelu virisi, kun Oregonin osavaltion senaattori Ron Wyden vaati Yhdysvaltain oikeusministeriötä sallimaan keskustelun aiheesta.​

​

Keväällä 2022 Wyden hallintoineen sai vihjeen, jonka mukaan ”hallitustahot vieraissa valtioissa” olivat vaatineet älypuhelinten push-ilmoitusten tietoja itselleen viime vuosina. Asiaa on sittemmin tutkittu perusteellisesti, senaattori kertoo 9to5Macin mukaan.​

​

Wyden pyrki saamaan Applelta ja Googlelta vahvistuksen vakoilulle, mutta asiaan liittyvä tieto oli yhtiöiden mukaan Yhdysvaltain hallinnon salattavaksi luokittelemaa. Näin ollen senaattori päätti ottaa yhteyttä liittovaltion oikeusministeriöön keskustelun avaamiseksi.​

​

Wydenin ministeriölle lähettämässä kirjeessä kuvaillaan, kuinka puhelimen ilmoituspalkkiin lähetettävät viestit siirtyvät ruudulle eräänlaisen ”digitaalisen postitoimiston” kautta. Koska Apple ja Google ylläpitävät kyseisiä palveluita, on niitä voitu velvoittaa luovuttamaan ilmoituksiin liittyviä tietoja, aiheesta kirjoittava Reuters siteeraa.​

​

Ilmoitustietoja seuraamalla hallintojen edustajat voivat ainakin yleistasolla seurata, millä tavalla eri sovelluksia käytetään. Samalla ne saattavat päästä käsiksi joihinkin salaamattomiin tietoihin, kirjeessä kerrotaan.​

​

Sekä Apple että Google ovat tahoillaan myös vahvistaneet, että vastaavaa toimintaa on esiintynyt jo jonkin aikaa.​

​

Apple mainitsi vielä erikseen, että säädökset ja lait ovat tähän saakka estäneet sitä kertomasta ilmoituksiin liittyvästä seurannasta. Nyt, asian tultua ilmi, yhtiö aikoo tiedottaa asiasta käyttäjilleen.​

​

Myös Google on painottanut jakavansa senaattori Wydenin huolen käyttäjien yksityisyydestä. Sen käyttäjäehdoissa on jo maininta valtiotason toimijoiden vaatimuksista päästä käsiksi ilmoitusten tietoihin.​

​

Toistaiseksi Apple, Google tai muut aiheesta virinneeseen keskusteluun osallistuneet eivät ole erikseen nimenneet tahoja vai valtioita, jotka ovat vakoilua pyrkineet harjoittamaan. Tulevaisuudessa siitä saatetaan kuitenkin keskustella aiempaa avoimemmin."​

 

[ztec]

Jos haluaa luottamuksellisesti viestiä pikaviestimillä, niin ainakin pikaviestimestä kannattaa nuo push-ilmoitukset asetuksista ruksia niin, että viestin lähettäjä eikä viestin sisältö tule push-viestinä. Jos sen mokaa, niin se viesti päätyy samantien kaikille urkkijatahoille.

​

​

Siksi kysikään luottamukselliseen viestintään tarkoitettu sovellus ei käytä niitä.

Simplexistä julkaistiin uusi versio, jossa suojaus kvanttitietokoneita vastaan. Mutta siitä jatkot omassa SimpleX langassaan.

 

[Hans Niskatuki]

Pitäisikö normi Tavis Tallaajan tunnistaa kaikki kyseisessä kuvassa olevat sovellukset logojen perusteella?

 

[ztec]

Pitäisikö normi Tavis Tallaajan tunnistaa kaikki kyseisessä kuvassa olevat sovellukset logojen perusteella?

No ei välttämättä täysin randomin kaduntallaajan, mutta kyllä niiden jotka asiasta on vähänkin kiinnostuneet niin luulisi noi tunnistavan. Onhan ne kaikki puhelimen home screenissä.

Session, Briar, Element (Matrix), Cwtch, Signal, SimpleX

Ja jos vielä tarkempia tietoja kaipaa niin SecuChart on klassikko.

 

[Obi-Lan]

Signal poisti puhelinnumero vaatimuksen niin nyt näyttää tulevan scam viestejä sitäkin kautta.

 

[ztec]

Tän saa poistaa, näköjään taas kerran postausten käsittelyssä viiveitä / huonoa koodia -> ei huomioi dupeja ollenkaan eikä ole uniikkia post id:tä. -> tykkään huonosti koodatuista jutuista hirveesti.