Frankrijk verbiedt gebruik van WhatsApp en Signal op overheidstelefoons

De Franse premier wil dat zijn ministers niet langer de communicatieapplicaties WhatsApp, Signal en Telegram gebruiken vanwege zorgen over de veiligheid van deze diensten. De ambtenaren moeten overstappen op de Franse alternatieven Olvid of Tchap.

Volgens de Franse premier, Élisabeth Borne, zijn WhatsApp, Signal en Telegram 'niet vrij van beveiligingsproblemen en kan daarom niet gegarandeerd worden dat de gesprekken en informatie die daarin wordt gedeeld, veilig zijn'. Dat schrijft de premier in een intern document dat Politico en het Franse nieuwsmedium Le Point in handen hebben gekregen. Haar ministerie bevestigde dit gerucht later aan Reuters.

Franse app Olvid — Franse communicatieapp Olvid

Vanaf 8 december mogen de leden van de regering daarom enkel nog Olvid of Tchap gebruiken voor communicatie op overheidstelefoons. Beide zijn afkomstig uit Frankrijk. De eerste is ontwikkeld door een start-up en goedgekeurd door de Franse cybersecurityinstantie Anssi. Volgens Borne wordt de bescherming van de gegevens van gebruikers op deze app gegarandeerd 'dankzij een gedecentraliseerde directory en end-to-end versleutelde berichten'. De Franse minister van Digitale Zaken, Jean-Noël Barrot, noemt de app in een post op X 'het veiligste instantmessagingsysteem ter wereld'.

De tweede toegestane app, Tchap, is drie jaar geleden uitgebracht en afkomstig van de overheid zelf. Kort na de release van deze app bleek er een bug in te zitten waardoor buitenstaanders toegang konden krijgen tot de publieke kanalen en zodoende konden meelezen met communicatie tussen ambtenaren. Het is onduidelijk wat de consequenties zijn als de overheidsfunctionarissen na de deadline nog gebruikmaken van WhatsApp, Signal en Telegram op hun werktelefoons.

In maart verbood Frankrijk al het gebruik van 'recreatieve apps' op overheidssmartphones. Daaronder vallen een hoop entertainmentapplicaties, zoals Candy Crush, Netflix en TikTok. De redenering was ook hierbij dat de apps problemen kunnen vormen op het gebied van security.

Reacties (132)

Cyb
30 november 2023 19:31

Enkele links.

Olvid:
https://olvid.io/technology/en/
https://github.com/olvid-io
https://play.google.com/s...ils?id=io.olvid.messenger
https://apps.apple.com/us/app/olvid/id1414865219

Olvid is a private and secure end-to-end encrypted messenger.

Contrary to most other messaging applications, Olvid does not rely on a central directory to connect users. As there is no user directory, Olvid does not require access to your contacts and can function without any personal information. The absence of directory also prevents unsolicited messages and spam.

Because of this, from a security standpoint, Olvid is not "yet another secure messenger". Olvid guarantees the total and definitive confidentiality of exchanges, relying solely on the mutual trust of interlocutors. This implies that your privacy does not depend on the integrity of some server. This makes Olvid very different from other messengers that typically rely on some "Trusted Third Party", like a centralized database of users or a public blockchain.

Note that this doesn't mean that Olvid uses no servers (it does). It means that you do not have to trust them: your privacy is ensured by cryptographic protocols running on the client-side (i.e., on your device), and these protocols assume that the servers were compromised from day one. Even then, your privacy is ensured 😊.

Tchap:
https://tchap.beta.gouv.fr/
https://github.com/tchapgouv
https://play.google.com/s...etails?id=fr.gouv.tchap.a
https://apps.apple.com/us/app/tchap/id1446253779
Tchap gebruikt het bekendere Matrix communicatie netwerk.

[Reactie gewijzigd door Cyb op 30 november 2023 19:38]

FrostyPeet
@Cyb • 30 november 2023 21:24

Wel benieuwd wanneer deze "secure messenger" toch een achterdeurtje moet krijgen omdat sommigen er stoute foto's mee versturen. Of iets wat als bedreiging tegen de staat wordt geacht.

sebati
@FrostyPeet • 1 december 2023 12:16

Binnen een "bedrijfsnetwerk" ongewernste berichten versturen is niet anders dan nu bij bijvoorbeeld email ook kan gebeurem. Wanneer je over chat sessie als organisatie controle wilt krijgen, veiligheid moet kunnen worden "gegarandeerd" en tegelijkertijd aan je organisatorische en wettelijke verplichtingen moet kunnen houden.

Omdat je niet zomaar in een end-to-end encrypted sessie kunt inprikken moet/kun je bij Matrix gebruik maken van bots zodat je berichten kunt archiveren, controleren, etc net als dat nu ook bij email binnen je organisatie zou gebeuren. Bij 3th party chat tools zoals WhatsApp/Signal/Telegram is dit lastig of niet mogelijk. Blijft altijd het punt over dat deze system gecentraliseerd zijn en je geen controle hebt wie op de achterijze (kunnen) meekijken.

Of iets wat als bedreiging tegen de staat wordt geacht.

Argument wordt vaak gebruikt om Client Side Scanning in chat tools (of eigelijk alle tools) te gaan verplichten. Dit zou onze algemen veiligheid ondermijnen, terwijl (potentiele) criminelen dan gewoon andere tools zullen gaan gebruiken om uit het zicht van veiligheidsdiensten te blijven.

lvdgraaff
@Cyb • 30 november 2023 20:07

Interessant. In theorie klinkt dit heel goed opgezet. Maar vanuit de gebruiker lijkt me het weinig verschil maken. Je moet nu de cliënt side app (en distributie kanalen daarvan) vertrouwen in plaats van een server.

Blokker_1999

Europa
Politiek en recht
Frankrijk
Networking en security

@lvdgraaff • 30 november 2023 20:19

En dat valt op zich wel mee, met Europese commerciele partijen. Ik verwacht dat als de Franse overheid deze aanbeveelt, hun toezichthouders deze bedrijven ook onder een vergrootglas gaan plaatsen.

Het grotere knelpunt heb je als je ook private communicatie via dat toestel doet. Overtuig je familie, vrienden, kennisen er maar eens van dat ze moeten overstappen naar dit, vaak onbekende, platform.

p0p0
@Blokker_1999 • 30 november 2023 23:09

Mijn ervaring met Frankrijk is toch, dat als het uit Frankrijk komt, dat vergrootglas een stuk minder groot is.

Op zich is het idee. Geen WhatsApp gebruiken eigenlijk logisch, net als geen andere apps op een overheidstelefoon, let ze dat ding puur zakelijk gebruiken.
Als je dan candy crush wilt spelen, kun je dat op een prive telefoon doen.
Maar alles dat met overheid te doen heeft, op een aparte telefoon,met speciale eisen, en op je prive telefoon geen overheidszaken, zo lastig zou dat niet moeten zijn

Aldy
@p0p0 • 1 december 2023 15:52

Ik bepaal welke apps op mijn telefoon mogen, dus dat mag de Franse overheid ook. Hun telefoons, hun beleid. Maar om te stellen dat Signal onveilig is, gaat te ver. Denk juist dat het eerder te maken heeft dat de overheid bij calamiteiten kan meekijken. Zo wordt de veiligste app de veiligste app voor de Franse overheid. Daar is niets mis mee, maar kraak geen andere apps af.

flaskk
@p0p0 • 2 december 2023 08:28

Helemaal mee eens, andere kant van het verhaal is dat de overheid goed voorbeeld moet geven, en iedereen verplichten om 2 telefoons te gebruiken is niet milieu vriendelijk.

J_C
@Blokker_1999 • 30 november 2023 21:43

Kan misschien wel een aanloop zijn naar nieuwe chatplatformen

WoutervOorschot
@lvdgraaff • 1 december 2023 08:35

Toch een behoorlijk verschil, de franse overheid kan hiervoor (het zijn overheidstelefoons) hun eigen server opzetten. Dan is de data dus altijd intern opgeslagen en heb je geen kans op afluisteren door commerciële partijen.

Daarnaast kan je ook makkelijk voldoen aan eventuele logging-vereisten voor werkgesprekken, dat kan gewoon op de server geregeld worden.

sebati
@lvdgraaff • 1 december 2023 16:05

De Franse overheid heeft voor deze Matrix configuratie een gesloten systeem opgezet en beheer dus e-2-e app tot server. Voor meer informatie zie de Matrix/Element blog https://element.io/case-studies/tchap

hrigteri
@Cyb • 3 december 2023 02:47

Mooi overzicht!

Triblade_8472
30 november 2023 19:25

Klinkt mij als staatssteun.

Ik had het begrepen als ze Tchap, wat door de overheid zelf is ontwikkeld, zouden moeten gebruiken. Maar door er een marktpartij puur uit eigen land aan toe te voegen riekt het naar steun voor Franse bedrijven.

Wat ik dus echt niet snap is dat ze zelfs Signal verbieden. Ik begrijp WhatsApp en Telegram bijvoorbeeld wel, maar Signal?

Rhinosaur
@Triblade_8472 • 30 november 2023 19:35

Ik snap het wel hoor. Als je iets zelf ontwikkelt, heb je daar grip op. Whatsapp, Telegram en Signal zijn allemaal niet zakelijk aan te schaffen, kunnen daardoor niet goed beheer worden en worden nu eigenlijk als schaduw IT gebruikt. Zelfs als je een zakelijke overeenkomst hebt, heb je in ieder geval verplichte zaken zoals een DPIA op gedaan en weet je dat het blijvend zou moeten voldoen daaraan. Zo wispelturig als de tech industrie is, kun je gewoon niet blijvend op vertrouwen.

Triblade_8472
@Rhinosaur • 30 november 2023 20:57

Hoezo grip?

Er geld een belangrijke vuistregel in de ICT. Zet je beveiliging strak, maar niet té strak. Mensen gaan er namelijk omheen werken. Niet goed, wel de praktijk.

Dus wat gaat er zo gebeuren? Mensen gaan met een prive telefoon prive whatsappen. En de volgende stap is het toch over wat zakelijke dingen hebben met collega's. Kort daarna komen er groepen met meerdere collega's of zelfs het hele team.

Ofwel, de zakelijke telefoon wordt hoogstens voor simpele telefoontjes gebruikt, als dat al niet via Teams oid (gek he, dat een telefoon voor bellen wordt gebruikt?

) En de prive telefoon voor de rest.

Daarnaast kunnen whatsapp/Telegram zomaar gebruikt worden voor contact met de burger. En wat als dat niet meer mag/kan?

MeneM
@Triblade_8472 • 1 december 2023 10:17

Helemaal mee eens.

Ik weet nog heel goed dat Hugo de Jonge prive mail bleek te gebruiken tijdens de Corona periode. Dat was omdat de officiele email te lang duurde om te openen, met remote desktops, etc.

Die tijd had hij op hectische momenten gewoon niet, dus is hij uit stress en druk een sneller en makkelijker alternatief gaan gebruiken.

Hoort niet, gebeurt wel, en ook daar moet je over nadenken als IT afdeling: hoe houd ik de boel bruikbaar.

https://www.infosecurity.us/blog/2015/3/11/dilberts-mordac

ejay79
@MeneM • 1 december 2023 11:02

Kom op zeg, dat is wel heel naief. Zelfs een linkje erbij plakken om on-topic te lijken helpt hier niet hoor.

Er zijn altijd excuses van hoog in de boom tot op de vloer, overheden zouden het goede voorbeeld moeten geven. Prima keus van Frankrijk, iets wat allang zo had moeten zijn en in het normale bedrijfsleven waar gevoelige informatie omgaat is dit al lang de norm.

MeneM
@ejay79 • 1 december 2023 13:00

Ik werkte voor een [grotere enterprise]. Die had sharepoint als default ook al wilde de marketing afdeling een simpelere wiki.

IT zei "nee" want we hebben al Sharepoint. Dat ging een tijdje heen en weer en daarna twee jaar niks.
We kwamen erachter dat de marketing afdeling zelf een wiki is gaan bouwen, Bij iemand thuis. Vreselijk gevaarlijk.

Het is, denk ik, juist naief is om dingen af te dwingen en te verwachten dat het wordt opgevolgd. Dat werkt niet. Wat wij als IT logisch en makkelijk vinden wordt niet altijd zo ervaren door anderen. We moeten daar echt meer agile in worden (see what I did there). Trust but verify enzo.

Afijn, Frankrijk die een bepaalde dienst afdwingt terwijl Signal open source is... Mijn ervaring is dat overheden juist vaker en grotere fouten maken dan zo'n breed ondersteunde opensource variant.

d3burt

@MeneM • 1 december 2023 15:48

Matrix is waarschijnlijk door meer mensen bekeken dan Signal, omdat het protocol erg interessant is. Het was een paar jaar geleden helemaal de bom in kringen van security researchers.

Neemt niet weg dat een domme implementatiefout in een klein hoekje zit, zie de oepsie met Tchap...

Testert
@ejay79 • 12 december 2023 14:35

Ik vond het linkje wel heel grappig.

mjtdevries
@MeneM • 1 december 2023 10:57

Jij gelooft die kletspraat van Hugo de Jonge?

Je hebt gelijk dat de boel bruikbaar moet blijven.
Maar in het geval van Hugo de Jonge was de boel wel degelijk prima bruikbaar. Veel mensen vinden echter prima bruikbaar niet goed genoeg. En het was ook wel handig om sommige dingen buiten de reguliere kanalan om te doen. Zoals de mondkapjesdeal.

MeneM
@mjtdevries • 1 december 2023 11:06

Niet goed uitgelegd door mij...

Ik ken dat soort omgevingen, en ik weet dat de moeilijkheids graad van het gebruik ervan inderdaad hoog is en echt niet "prima bruikbaar". Dat Hugo die reden gebruikte om prive mail te gebruiken wil ik daarom nog best in mee gaan. Hoe "misguided" het ook was. Hoe fout en onterecht het ook was.

Daarna is het te makkelijk geworden om in ieder geval de schijn tegen je te hebben wanneer er dan inderdaad iets gebeurt. Dan moet je ook de verantwoordelijkheid ervoor dragen.

Mijn punt is meer: hoe harder je knijpt, hoe meer water er tussen je vingers wegglipt. Mensen vinden wel een manier om je regels heen. En Schaduw IT wil je voorkomen....

Rhinosaur
@Triblade_8472 • 1 december 2023 10:54

Je mist een gigantische nuance. Het gaat niet om wat mensen doen met hun zakelijke telefoons, maar wat ze kunnen doen. Daar zit gezien de wetgeving zoals Archiefwet, Open Overheid, Behoorlijk Bestuur toch een belangrijk verschil is. Dat wat je op je privé telefoon doet is dan ook onder eigen verantwoordelijkheid onder je persoonlijke titel, wat je op je zakelijke toestel doet valt voor een deel qua verantwoording bij je werkgever. In deze context is beveiliging maar een aspect.

Je zegt toch ook niet dat het prima is als Microsoft of Google sommige persoonsgegevens wel in handen krijgen zolang we maar iets van beveiliging doen?

Je hebt vast wel gezien hoe geweldig dat ging met Twitter en burgercommunicatie.. de overheid gebruikt dat om iedereen te bereiken vervolgens komt er muur omheen waardoor een groot deel van het land belangrijke meldingen mist. De overheid mag absoluut niet vertrouwen op third party spul waar geen zakelijke overeenkomst mee is. Op dit moment zijn dat alle platforms zoals Whatsapp, Signal, Twitter en Messenger. Microsoft Teams is bij deze natuurlijk een uitzondering, omdat die wel voldoen aan de eisen die gesteld zijn.

P. vd Loo
@Rhinosaur • 1 december 2023 13:06

En wat zijn de eisen dan die gesteld zijn?

DinoBe
@Triblade_8472 • 1 december 2023 11:24

Zogenaamde Shadow IT

kaaas
@Rhinosaur • 1 december 2023 08:21

Signaal is opensource. Je kunt het zelf compileren en je eigen server en app gaan gebruiken. Daar heb je heel veel grip op.

perix

@Triblade_8472 • 30 november 2023 19:28

Mee eens signal snap ik ook niet. Van whatsapp kan je nog over klagen dat de metadata verzameld wordt. Maar ook dat is niet het gebruikte argument.

Blokker_1999

Europa
Politiek en recht
Frankrijk
Networking en security

@perix • 30 november 2023 20:27

Het probleem met Amerikaanse apps is dat deze verplicht kunnen worden door de overheid om alle data die ze hebben af te staan onder het mom van antiterrorisme, en dat mogen ze nooit aan iemand melden.. Daarnaast hebben de Amerikaanse inlichtingendiensten ook al aangetoont dat ze zonder problemen infiltreren in bedrijven om hun software aan te passen, zie bijv. Cisco.

kaaas
@Blokker_1999 • 30 november 2023 21:04

Dat is correct, maar signal heeft zo weinig gegevens van de gebruikers dat dit nauwelijks waarde heeft.
Ze hebben de het tijdstip waarop je account is aangemaakt en wanneer je voor het laatst verbinding hebt gemaakt.

https://www.dailydot.com/...grand-jury-subpoena-data/

jmmk
@kaaas • 1 december 2023 01:07

En Signal is gevestigd in Zwitserland, niet in de VS...

Zwelgje
@jmmk • 1 december 2023 05:48

nope. US based.

wellicht vergis je je in Threema? das wel Swissmade en hosted

mjtdevries
@Zwelgje • 1 december 2023 10:49

Het is niet eens van belang of het US based is. Wat telt is waar de beheerders van de servers zitten die informatie kunnen opvragen.
Als jij een werknemer in de VS bent en de NSA staat naast je, dan doe je braaf wat die je opdragen, ook al is je bedrijf niet in de VS gevestigd.

WhatsappHack

Politiek en recht
Whatsapp
telegram
Signal
Europa
Networking en security
Frankrijk

@mjtdevries • 1 december 2023 19:03

Daarom is het zo fijn als ze geen data hebben om te overhandigen en als ze tappen het enkel versleutelde data is.

NielsFL
@kaaas • 1 december 2023 07:25

Het heeft nu niets, maar kan wel gedwongen worden meer te gaan verzamelen.

Als het moet staat er morgen een update in de AppStore die wel data verzamelt. En als ze slim zijn dwingen ze ook Apple hieraan mee te werken en deze spionage versie alleen voor specifieke accounts in de AppStore te zetten. Op die manier is de kans op ontdekking minimaal.

kaaas
@NielsFL • 1 december 2023 08:18

Is dat zo? Kun je dit toelichten?

Polderviking
@kaaas • 1 december 2023 12:09

Patriot Act.

kaaas
@Polderviking • 1 december 2023 15:22

Aah nu is het helemaal duidelijk....

Hatseflats
@kaaas • 2 december 2023 09:54

Aan de andere kant, het is natuurlijk ook niet zo dat je jou gaan vragen of mededelen of de wijze waarop ze handelen wel door de beugel kan of dat jij het in ieder geval wel weet.

"Heb je het ter goedkeuring al voorgelegd aan kaaas?" "Nee, oh, maar hij heeft er dan in ieder geval weet van?"

mbbs1024
@Polderviking • 3 december 2023 23:34

En het is ook niet de eerste maal dat de VS met de billen bloot betrapt wordt op het bespioneren van hun zogenaamde gealieerden.
De hack op Belgacom, het afluisteren van de Duitse eerste minister, het runnen van het zogenaamde Zwitserse bedrijf dat high grade encryptietoestellen levert aan allerlei bevriende overheden, waar ze encryptie met gatenkaas ingebouwd hebben, .....

[Reactie gewijzigd door mbbs1024 op 3 december 2023 23:36]

Triblade_8472
@kaaas • 1 december 2023 14:02

Zo heeft Microsoft een 'gag order' gekregen van de Amerikaanse overheid die in data van hun klanten zaten te grasduinen.

https://www.engadget.com/...e-department-lawsuit.html

Mooie quote:

However, some of the requests prohibit from ever telling a customer the government accessed their data.

kaaas
@Triblade_8472 • 1 december 2023 15:22

Dat is juist het punt zelfs als ze door de data mogen gaan hebben ze er niets aan want signal heeft bijna geen data van de gebruikers.

Hatseflats
@kaaas • 2 december 2023 09:58

Als je ervan uitgaat dat ze de source niet hebben gewijzigd, of "bugs" expres hebben geimplementeerd die afluisteren toch mogelijk maken.

kaaas
@Hatseflats • 2 december 2023 11:15

Je beseft dat dit voor elk stuk software op de planeet geld?

Hatseflats
@kaaas • 2 december 2023 19:04

Klopt. En er zijn er maar een paar waar je dan vertrouwen in moet hebben, die het kunnen controleren.

Wat is je punt?

kaaas
@Hatseflats • 2 december 2023 20:32

Dat het geen argument in het voor of nadeel van signal.

Hatseflats
@kaaas • 2 december 2023 23:21

Dat zie ik anders. Signal geniet denk ik een hogere interesse bij de inlichtingendiensten dan bv. VLC player.

litebyte
@Triblade_8472 • 30 november 2023 21:13

Mogelijk. vanwege de zogenaamde VS cloudact (waar ook tal van landen aan meewerken overigens)

Een mooi verhaal hierover is de zogenaamde Santa Clara case, en hoe Signal hierop reageerde en beschreef in haar blogpost

zie: https://signal.org/bigbrother/santaclara/

Signal is veruit het meest veilige van de populaire message apps. Wordt daarom ook gebruikt door tal van politici, journalisten en mensenrechten activisten. Goede reden alleen al om die gelegaliseerde spyware rommel van meta links te laten liggen.

Swindowmasher
30 november 2023 19:56

Signal is ook al niet veilig? Ik kan toch niet elk jaar opnieuw mijn vrienden proberen overtuigen om naar een andere chatdienst over te schakelen...

ALittleTooLate
@Swindowmasher • 30 november 2023 20:17

Het lijkt mij dat hooguit de amerikanen meeluisteren met signal

Nystran
@ALittleTooLate • 30 november 2023 21:59

En omdat bekend is geworden dat Amerikanen met zowel de Belgen als de Duitsers hebben meegeluisterd, snap ik wel dat de Fransen zeggen: liever niet. Daarnaast een mooie kans op industiepolitiek, China heeft door een embargo een mooie techsector weten op te bouwen. Met deze halve maatregelen gaat het Frankrijk niet lukken, denk ik, maar ze mogen het proberen.

sympa
@Nystran • 1 december 2023 08:05

Frankrijk hééft een aardige techsector. Hoe verbaasd was een kennis toen ik vertelde dat "Schneider Electric" een Frans bedrijf is. En ze zijn ook eigenaar van APC ofwel "American" Power Conversion.
En neem SolidWorks. In de VS ontwikkeld, maar is ondertussne eigendom van Dassault Systèmes.
Ik denk dat er wel wat meer is. Amerikaanse bedrijven zijn wel goed in consumentenproducten en het maken van beloftes en reclame. Maar onderschat de Fransen niet.

vlaaing peerd

@Swindowmasher • 30 november 2023 20:20

Signal is in principe gewoon veilig in de zin dat alles alleen maar terechtkomt op het apparaat van de gebruiker zelf, maar er is geen garantie (wel de belofte) dat ze over 5 jaar niet de boel omgooien.

Zakelijk gezien is dat wel logisch dat je niet afhankelijk maakt, en dat je apps gebruikt met een overeenkomst die garandeert dat je privacy wordt gewaarborgd.

Ik snap de verontwaardiging, met name over de uitspraak over Signal, maar het is ook vrij normaal dat je op de laptop van het werk niet zomaar zelf volplempt met allerlei apps. Datzelfde is nu het geval met (vaak) veel onveiligere apparaten.

Ceaus
@Swindowmasher • 30 november 2023 20:36

Signal is ook al niet veilig?

Het gaat niet alleen om veilig. Ik vermoed dat ergens traceability / accountability een rol Je wilt bijv. het berichtenverkeer binnen de overheidsorganisatie kunnen veiligstellen. Ik lees hier boven iets over closed-source. Ik lees dat als: we hebben een berichten sink toegevoegd zodat we aan de wettelijke verplichtingen kunnen voldoen.

[Reactie gewijzigd door Ceaus op 30 november 2023 20:50]

Testert
@Swindowmasher • 12 december 2023 14:38

Het lukt mij niet eens om met mijn partner op Signal te chatten...

MeneerGroot
30 november 2023 20:51

Vreemd dat Signal wordt uitgesloten. Dit zal alleen zijn vanwege de US gebaseerde servers.
Wat Olvid hier belooft is wat Signal al jaren doet:

Our security model is utterly game-changing. Olvid is the first and only messaging system whose security no longer relies on any trusted third party, either operators or their servers.

Olvid servers get hacked? Not an issue! No one will ever be able to read your messages, including the servers relaying them. It is forever impossible. Nor can any users identities ever be revealed.

Nystran
@MeneerGroot • 30 november 2023 21:50

Olvid servers get hacked? Not an issue! No one will ever be able to read your messages

Oh, hoe is dit anders dan WhatsApp's end-to-end encryptie?

Cambionn

@Nystran • 30 november 2023 22:14

Weet jij 100% zeker dat Meta niks met jouw keys doet? Gezien deze 100% in hun beheer zijn en alles closed source is.

Signal is opensource dus je kan de client controlleren op rare dingen doen met keys en deze eventueel zelf builden. Daarbij hebben zij geen trackrecord van enorme wet- en privacyschending, anders dan Meta.

Nog afgezien van alle metadata die WhatsApp verzameld.

[Reactie gewijzigd door Cambionn op 30 november 2023 22:20]

sympa
@Cambionn • 1 december 2023 08:08

En die metadata moet je niet onderschatten. Stel dat je ziet dat 2 wereldleiders berichten uitwisselen steeds net voor er iets plaats vindt ergens op de wereld. Dat weten is misschien meer waard dan wat de inhoud van de berichten nog toe weet te voegen.

Cambionn

@sympa • 1 december 2023 11:58

Zeker. Maar ook voor Average Joe. Als je iemand vraagt "mag ik elk moment dat je naar de chat staart volgen, daarbij tracken wanneer en hoe vaak je met wie praat, hoe lang je berichten leest, hoe lang je doet over reageren op wie, hoe vaak je online komt en wat je dan doet, etc. etc." zullen vrij weinig mensen zeggen ja hoor. Die denken vaak "wtf ga weg stalker".

Maar als een bedrijf dat stiekem in de app doet, waar het niet opvalt en duidelijk is... En dat terwijl die het daarna met een hoop algoritmes en data vanuit andere bronnen (zowel met als zonder toestemming verkregen) samenvoegen tot een eng accuraat profiel van jou, dat je vrijwel beter kent dan jij. Wat vervolgens gebruikt wordt puur om jou te manipuleren hun diensten te gebruiken op de meest winstvolle manier ongeacht verdere consequenties.

Wereldleiders zijn zeker niet de enige die moeten oppassen, metadata kan eng veel zeggen over iedereen.

com2,1ghz
@Nystran • 30 november 2023 22:12

Omdat ze het closed source is en je het moet geloven. Tevens kunnen ze het wel in de client uitlezen want de tekst wordt getoond in Whatsapp.

Hatseflats
@Nystran • 2 december 2023 10:07

Allereerst rijst de vraag, van welk einde naar welk einde is het versleuteld? Van mijn telefoon naar meta's frontend? En vervolgens weer van meta naar jou telefoon?

Maar ondertussen wel alles op de backend onversleuteld bij meta opslaan?

Whatsapp wordt i.i.g. door verscheidene overheden als onveilig beschouwd, ook door NL.

Cambionn

@MeneerGroot • 30 november 2023 22:19

Olvid servers get hacked? Not an issue! No one will ever be able to read your messages, including the servers relaying them. It is forever impossible. Nor can any users identities ever be revealed.

Ik vind dit een zeer gevaarlijke uitspraak. Zeker voor een security gefocussed groep. Beetje security proffesional zal normaal nooit zulke uitspraken doen. Iedere IT'et weet dat niks onhackbaar is. En dat de vraag niet of, maar wanneer je gehacked wordt.

Hoe garanderen zij dat geen enkel toekomstige hardware of algoritmes hun spul kan decrypten? Dat ze die data nooit zullen kunnen onthullen? "Forever impossible" is een echt groffe claim.

Fireshade
@Cambionn • 30 november 2023 23:07

Iedere IT'et weet dat niks onhackbaar is. En dat de vraag niet of, maar wanneer je gehacked wordt.

Er staat niet dat ze onhackbaar zijn. Er staat dat het niet uitmaakt of de servers gehacked worden. De hackers kunnen hoe dan ook toch niet bij je berichten.

Cambionn

@Fireshade • 1 december 2023 11:46

Ik snap dat ze dat niet zeggen dat hun servers onhackbaar zijn, dat is mijn punt ook niet. Maar hoe kunnen ze niet bij de data als ze binnen zijn? Dan zijn er doorgaans 2 opties. Ze hebben de data niet (lijkt me niet het geval hier), of de data in encrypted. Maar, encryptie kan ook gehacked worden. Hoe kunnen zijn garanderen dat die encryptie nooit gebroken wordt, ook niet jaren later als er nieuwe technieken zijn? Dat is het stukje wat ik een erg gevaarlijk statement vind.

"Forever impossible" om bij de data te komen is gewoon echt een gevaarlijke uitspraak. Want niks is forever impossible om binnen te komen. Niet de servers, niet de encryptie, niet wat dan ook waarmee de data beveiligd is. Enkel het niet bestaan van data geeft zekerheid tegen uitlekken, want dan valt er niks te lekken.

Fireshade
@Cambionn • 1 december 2023 12:00

Ze hebben de data niet (lijkt me niet het geval hier)

Ze hebben je data dus niet:

your privacy does not depend on the integrity of some server. This makes Olvid very different from other messengers that typically rely on some "Trusted Third Party", like a centralized database of users or a public blockchain.

Dus hackers hebben er niets aan om hun servers te hacken. Die moeten het apparaat van elke Olvid gebruiker waarmee gecommuniceerd wordt apart gaan hacken.

Cambionn

@Fireshade • 1 december 2023 12:24

I stand corrected. Ik ging uit van puur wat ik hier in de comments las en had verwacht dat men aangeeft überhaupt niet de berichten op de server te hebben, ipv "No one will ever be able to read your messages. It is forever impossible". Dat was dus een verkeerde aanname van mij uit.

Overigens doet Signal hetzelfde als het op berichten aan komt, dus zo anders zijn ze niet per se. Zelfs de notificaties zijn zo opgezet dat de tekst nooit door Google Services gaat (als je dat al op je mobiel hebt staan, want het werkt ook zonder). Daarom moet je ook zelf je berichten back-uppen anders ben je ze kwijt bij een herinstallatie.

Enige wat je dan nog wel kan aanmerken is dat Signal (redelijk minimale) gebruikersdata heeft (meer dan Olvid als ik zo ff gauw kijk, maar moet toegeven dat ik bij Olvid er niet in ben gedoken zoals bij Signal wel), welke dan wel is los gekoppeld, ge-encrypt en geanonimiseerd bij Signal. In die zin "wint" Olvid hem dan idd op privacy vlak. Maar het verschil is veel kleiner dan bij partijen als WhatsApp en Telegram (waar ik ook gewoon bij weg zou blijven). Ik zou Signal hierop iig niet onveilig benoemen met de huidige setup, maar toegegeven dat Olvid dan nog beter lijkt (again op het eerste oog, ben niet diep in hun opbouw en policies gedoken).

The Zep Man

Signal
telegram
Politiek en recht
Networking en security

30 november 2023 19:24

Volgens de Franse premier, Élisabeth Borne, zijn WhatsApp, Signal en Telegram 'niet vrij van beveiligingsproblemen en kan daarom niet gegarandeerd worden dat de gesprekken en informatie die daarin wordt gedeeld, veilig zijn'.

Olvid en Tchap garanderen dat wel?

wow7
@The Zep Man • 30 november 2023 19:34

Nee niet echt lijkt me zo want Olvid is ook open source en verder rapporteren ze aan de french intelligence services (DGSI/DGSE) welke ook nergens een zekerheid bied , verder is die andere een fork van de Element matrix client (Tchap) , geen van twee bieden de absolute zekerheid aan.

Jeanpaul145
@wow7 • 30 november 2023 20:17

Sterker nog, closed source plus sterke connecties met een Intelligence Service betekent eerder een indicatie dat het niet zo veilig is als gesteld, dan dat het wel zo veilig is.

Ga maar na: voor échte veiligheid zou de app open source moeten zijn, alle protocollen publiekelijk inzichtelijk... en geäudit door een onafhankelijke 3e partij met kennis van zaken, en een Intelligence Service is niet echt onafhankelijk te noemen.
Aan de andere kant, als het allemaal on the level is, waar zijn die Intelligence Services dan voor nodig? Wat voegen ze toe, exact?

Niet dat het iemand wat uitmaakt, maar ik bedank zelf vriendelijk voor deze apps

[Reactie gewijzigd door Jeanpaul145 op 30 november 2023 20:18]

FireStarter
@The Zep Man • 30 november 2023 19:29

Deze zullen geen e2e encryptie hebben, dus ik denk van wel

PureTryOut
@FireStarter • 1 december 2023 07:34

Tchap is gewoon een Matrix client en heeft dus wel gewoon E2E encryptie.

a153957
30 november 2023 20:01

Maar ze mogen dus wel Twitter gebruiken? Of was dat niet via een overheidstelefoon?

De Franse minister van Digitale Zaken, Jean-Noël Barrot, noemt de app in een post op X…

DvanRaai89
@a153957 • 30 november 2023 20:18

Niemand die ooit iets op Twitter heeft gepost gaat er van uit dat dat geheim blijft, in tegenstelling tot Olvid, Tchap en Signal, welke voor privé communicatie dienen.

a153957
@DvanRaai89 • 30 november 2023 22:20

Natuurlijk, behalve dat je via Twitter ook privé/directe berichten kan sturen naar andere gebruikers. En zoals we weten zijn er genoeg mensen die niet hadden verwacht dat veel van die berichten uit zouden lekken, en ik weet niet of dit soort gebruikers die risico's goed kunnen inschatten..

DvanRaai89
@a153957 • 30 november 2023 23:29

Dus dan is de enige oplossing maar het gebruikt van 't hele platform te verbieden? Lijkt mij een beetje overdreven of niet? De baten moeten zwaarder wegen dan de kosten¹.

1. Zelf bedacht anglicisme van:

The benefits have to outweigh the costs

Ik weet helaas niet een Nederlands idioom met dezelfde betekenis.

[Reactie gewijzigd door DvanRaai89 op 30 november 2023 23:44]

vrow
@DvanRaai89 • 30 november 2023 23:57

Hier in Friesland zeggen we gewoon: it moat wol iets opsmite :-)

En in het NL zou je zeggen: de baten moeten hoger zijn dan de kosten.

[Reactie gewijzigd door vrow op 30 november 2023 23:58]

svenk91
@DvanRaai89 • 1 december 2023 02:51

'Het kind met het badwater weggooisen' misschien?

WPNL
1 december 2023 08:54

Opvallend dat Facebook / Messenger niet wordt genoemd

Jan Onderwater
@WPNL • 1 december 2023 09:47

Frankrijk verbood al eerder tiktok, Facebook en Twitter,

https://digimedia.be/cont...en-van-de-franse-regering

WPNL
@Jan Onderwater • 1 december 2023 10:59

Dank!

Dat had op zijn minst in het artikel vermeld kunnen worden, vooral omdat WhatsApp = Facebook in principe.

Zyphlan
30 november 2023 20:01

Gaat elk land nu zijn communicatiekanalen voor de overheid toevertrouwen aan een lokale partij?

Lijkt me noodzakelijk dat dit eerst op Europees niveau wordt besproken, alhoewel EU landen onderling ook spioneren gok ik dus dan blijf je toch zitten met op nationaal nivo iets regelen.

svenk91
@Zyphlan • 1 december 2023 02:55

Je hoeft het alleen maar over het protocol eens te worden lijkt mij, de app hoeft niet hetzelfde te zijn. Vaak krijg je in de EU pas verandering als één groot land of een groep kleinere landen (zoals de Benelux) het voortouw neemt met zulke zaken. Frankrijk is er best wel pro-actief in om zelf standaarden in te voeren die goed opschalen naar de rest van de EU, neem de nutri-score en hun recente right-to-repair wetgeving als voorbeelden. Nederland is hier over het algemeen wat slechter in omdat het vooral denkt over wat in Nederland moet werken, een keuze die een land prima kan maken maar ik vind het jammer.

FrostyPeet
30 november 2023 21:00

Als "de baas" een telefoon ter beschikking stelt aan werknemers, mag de baas bepalen welke apps er op mogen en hoe ver de hardware wordt dichtgetimmerd. Tot zover weinig vreemds.

Wel grappig is dat de Fransen gewoon Franse apps verplicht stellen. In Nederland moet er dan weer Europees worden aanbesteed, want Europese regels etc.

Misschien zijn die Fransen bang dat hun Amerikaanse vrienden toch iets te veel kunnen meekijken als ze een Amerikaanse app inkopen.

m-vw
@FrostyPeet • 1 december 2023 09:53

De Fransen zijn ondanks alle (EU) verdragen en regels gewoon altijd heel eerlijk voor eigen volk/bedrijven eerst.

Nederland moet altijd het braafste jongetje van de klas zijn.
Dat zag/zie je ook bij de verplichte splitsing van energiebedrijven.

p0p0
@FrostyPeet • 30 november 2023 23:18

Grappig weet ik niet, wel vooral voorspelbaar.
Wij zien dit ook met de Franse tak van bedrijf, global zet een richtlijn op, en wat ze ook doen, het lijkt alsof ze zoiets hebben van, in Frankrijk, wat we ook doen, we gaan in ieder geval niet de richtlijn volgen, want we moeten in Frankrijk ons eigen ding doen.
En als het dan niet meer wektz dan is het natuurlijk niet hun probleem opeens, dan zeggen ze, kan niet door global.

do_sch
30 november 2023 20:15

Prima als ze op Matrix overschakelen.
De Duitsers zijn daar ook mee bezig en in NL wordt er ook mee geëxperimenteerd.

Hebben we zometeen een prima decentraal chat protocol waar blijvend in geïnvesteerd wordt wegens de enorme overheidsbelangen en waar alle burgers en bedrijven met eigen servers ook op kunnen.

Ik hoop op gedeelde kanalen tussen burgers, overheden, bedrijven en onderzoeksinstellingen. Zou de openheid van de overheid veel goeds doen.

litebyte
@do_sch • 30 november 2023 22:03

Het idee is mooi, maar aan ee andere kant proberen overheden juist via wetgeving te regelen dat bepaalde niveaus van encryptie (dus ook het inzichtelijk maken van chatberichten) worden gereguleerd.

Al dit soort voorstellen komen voort uit een combinatie van geen grip meer hebben en uitvoeringstaken niet meer aan kunnen door gebrek aan kennis en inzet. Naast dat het wantrouwen vergroot bij burgers gaat er een eng soort van paniek en incompentie vanuit. Grapperhaus, Yeşilgöz en Cobelens (ex) van de MIVD pleiten al jaren om wetgeving tegen bepaalde niveaus van encryptie

sympa
@litebyte • 1 december 2023 08:10

Ik denk dat je zeker op overheidstelefoons wil dat de toestellen, op een gecontroleerde manier dan, doorzoekbaar zijn.
Je kan zeggen "privacy gaat boven alles" maar denk aan de SMSjes van Rutte, of de mondkapjesdeal. Dat moet toch uitgezocht kunnen worden?

litebyte
@sympa • 1 december 2023 08:53

Ik snap wat je bedoeld, maar juist binnen de/een overheid zou ik als ik ambtenaar was, willen dat het niet doorzoekbaar is. Alleen al vanuit het oogpunt van vertrouwen.

sympa
@litebyte • 1 december 2023 08:58

Doorzoekbaar in de zin dat het bij een intern onderzoek doorzocht kan worden. Bedrijven hebben informatiebeleid, zoals het bewaren van mails. Soms wettelijk verplicht, soms om interne fraude te kunnen bestrijden.
Volgens mij stelt de wetgeving dan wel dat je de persoon moet informeren op het moment dat de werkgever wil gaan kijken.

do_sch
@litebyte • 1 december 2023 14:09

Er zijn er bij de overheid die dat willen, maar er zijn er ook die dat niet willen; zie hoe voorstel voor verzwakking encryptie gesneuveld is in Europees Parlement.

Maar dat is nog terzijde het punt: het gaat me er hierom dat het goed is als grote partijen open en gedecentraliseerde standaarden ondersteunen. Dat is goed voor de samenleving als geheel.

Dus hopelijk krijgt deze actie van Frankrijk navolging in de hele EU en daarbuiten.

1 2 3 Volgende

Op dit item kan niet meer gereageerd worden.

Frankrijk verbiedt gebruik van WhatsApp en Signal op overheidstelefoons

Lees meer

Reacties (132)

Sorteer op:

Weergave:

Tweakers maakt gebruik van cookies

Toestemming beheren

Functioneel en analytisch

Relevantere advertenties

Ingesloten content van derden