Um mal an dem Thema aus dem alten Board anzuknüpfen erstelle ich diesen Thread …
Warum jetzt?
Weil heute eine neue Threema Version 5.0 für Android offiziell ausgerollt wurde.
Kurz gesagt, es sind nun (zur Zeit nur Android, iOS wird folgen) Gruppenanrufe bis 16 Teilnehmer möglich und PFS wurde nun auch auf E2E Ebene implementiert.
Blockzitat
Als vor knapp zehn Jahren die erste Threema-Version veröffentlicht wurde, war es eine reine Messaging-App. Mittlerweile setzen viele Nutzer auf Threema wegen der abhörsicheren und privatsphärefreundlichen Anrufe, die keine Telefonnummer erfordern. Jetzt weitet Threema für Android den Funktionsumfang weiter aus und ermöglicht, Audio- und Video-Gruppenanrufe mit bis zu 16 Teilnehmern zu führen.
Genau wie 1:1-Anrufe sind Gruppenanrufe Ende-zu-Ende-verschlüsselt und büssen somit nichts an der gewohnten Sicherheit von Threema-Anrufen ein. Auch bei der Qualität gibt es keine Abstriche: Gruppenanrufe verfügen über eine ebenso kristallklare Sprach- und brillante Bildqualität wie Anrufe zwischen zwei Personen.
Um einen Gruppenanruf zu starten, tippen Sie im gewünschten Gruppenchat einfach auf das Kamera-Symbol rechts oben. Alle Gruppenchatmitglieder (welche die Android-App nutzen) werden mit einer Push-Benachrichtigung über den Anruf informiert und können sowohl von der Benachrichtigung oder dem Gruppenchat wie auch von der Chatübersicht aus beitreten.
Neben einigen weiteren Neuerungen bringt das 5.0-Update auch die Möglichkeit, «Perfect Forward Secrecy» für Nachrichten zu aktivieren. Mehr Infos dazu sind in diesem FAQ-Eintrag zu finden.
Blockzitat
Threema hat Perfect Forward Secrecy seit jeher standardmässig auf der Transportschicht unterstützt. Auf der Ende-zu-Ende-Schicht kann es optional aktiviert werden. Für Threema-Anrufe ist keine zusätzliche Einstellung nötig, weil dafür immer Perfect Forward Secrecy verwendet wird.
Na und? Wenn der Serverpart quelloffen wäre, könntest du auch nicht sicher sein, ob das, was veröffentlicht ist, dasselbe ist wie das, was installiert ist. Threema ist nun mal ein zentrales System.
Eben! Auch das föderale offene Matrix garantiert mir nicht, dass das was der veröffentliche Quellcode zeigt, tatsächlich auf den Servern läuft. Es bleibt eine Vertrauenssache.
Genau! Man hostet selbst und erwartet dann von seinen Usern und seinen Kommunikationspartnern genau das, wozu man selbst nicht bereit ist: einem Server zu vertrauen, den man nicht selbst aufgesetzt hat.
Jeder kann seinen eigenen Server für sich selbst aufsetzen. Bei freier Software muss es keine user geben, das ist eine Möglichkeit aber kein Zwang.
Den Gesprächspartnern, denen man etwas mitteilt, muß man hinsichtlich dieser Mitteilung immer vertrauen. Das ist im „wahren Leben“ genauso - wenn Du einen Brief schreibst oder eine Email, weißt Du auch nicht, was dein Kommunikationspartner damit macht. Dass Klatsch und Tratsch trotz gegenteiliger Absprachen weitergegeben werden, ist ein uraltes Problem, mit dem jeder leben muss. Wer das nicht will, muss halt aufhören zu kommunizieren.
Bei Nicht-Gesprächspartnern sollte client-seitige Verschlüsselung die unerlaubte Weitergabe verhindern. Das gilt auch für Threema, sofern die Verschlüsselung auditiert ist.
Na und? Wenn der Serverpart quelloffen wäre, könntest du auch nicht sicher sein, ob das, was veröffentlicht ist, dasselbe ist wie das, was installiert ist. Threema ist nun mal ein zentrales System.
Das stimmt - allerdings kann man bei offenem Quellcode eben diesen für z.B. eigene (Insel-)Lösungen verwenden. Bei Signal ist das möglich und wurde auch schon gemacht.
Bei Matrix kannst Du selbst hosten, dann weißt Du garantiert was auf dem Server läuft.
Genau. Das selbe gilt auch für anbieterunabhängiges Messaging auf der Basis des Protokolls „XMPP“.
Das ist der entscheidende Unterschied zu Threema (und Signal).
Naja, auch Server von Inselsystemen wie Signal kann man selbst hosten (was ich persönlich nie machen würde), wenn der Quellcode öffentlich ist. Da gibt es sicherlich Anwendungsfälle. Allerdings würde ich dann nicht auf Eigenentwicklungen sondern auf öffentliche Standards setzen, um eine gewisse Zukunftsssicherheit zu haben.
ja, das gilt für jede Art der Kommunikation unabhängig vom Medium. Eine Information, die man weitergegeben hat, über die hat man die Kontrolle verloren. Aber darum ging es mir gerade nicht, sondern um das Vertrauen in einen Server.
Ich denke, man braucht (außer bei peer-to-peer) immer Vertrauen in mindestens einen Server:
Beim zentralen System müssen alle dem einen zentralen Server vertrauen, egal ob OpenSource oder nicht.
Beim föderierten System muss man mindestens dem Server des Kommunikationspartners vertrauen, egal ob OpenSource oder nicht, egal ob ich einen eigenen Server aufgesetzt habe oder nicht.
Mich stört bei den Selbsthostern die Erwartungshaltung, dass andere meinem Server vertrauen.
Angesichts der Tatsache, dass man mMn. um das Vertrauen in einen Server nicht herum kommt, ist es vielleicht doch viel wichtiger, sich zu fragen, wieviel Metadaten fallen an und wie werden sie geschützt?
Und damit versuche ich wieder den Schlenker zu Threema.
…
Oops, oder zu SimpleX ?
Die Encryption wurde nicht gehackt, sondern man hat ein paar Schwachstellen gefunden, die aber in der echten Welt nicht ausgenutzt werden konnten (oder nur wenn der Nutzer ziemlich fahrlässig ist und das entsperrte Handy für längere Zeit aus der Hand gibt und die App nicht mit Passphrase/PIN geschützt hat).
Threema hat diese Schwachstellen inzwischen alle gestopft und sogar noch ein neues Protokoll für Chatnachrichten eingeführt, welches die meisten von vornherein verunmöglicht. Wobei das Protokoll offenbar schon länger in Vorbereitung war.
Von dem her gesehen ist alles vorbildlich abgelaufen.
Das ist das, was Threema sagt. Wenn man fefe liest, dann klingt das weniger vorbildlich. Und der kennt sich deutlich besser aus als ich - ich würde dazu neigen zu sagen - als wir.
Aber ja, die Uni hat responsible disclosure gemacht und die Lücken sind gestopft.
Wichtig ist vor allem fefes Hinweis, dass eben auch audits nicht wirklich aussagekräftig sind. Ich schreibe das vor allem im Hinblick auf diesen Thread. Ich bin sicher, dass sich die Leute bei Threema Mühe geben und dass das für normale Anforderungen reicht. Aber auf das Ergebnis verlassen kann man sich eben nicht. Das sollte man immer im Hinterkopf behalten.
Ich hab mir dieses ominöse Paper mal genauer angeschaut. Das ist wirklich extrem aggressiv und beleidigend formuliert. Vor allem wenn man bedenkt, wie wenig gravierend diese Findings letztlich sind (einige davon sind nicht einmal reproduzierbar gewesen). Kein Vergleich zu den kürzlich veröffentlichten Matrix-Findings. Vor diesem Hintergrund kann ich die etwas hemdsärmelige Reaktion von Threema bis zu einem gewissen Grad verstehen. Aber es geht ja hier nicht um den Stil, sondern an den Taten sollte man sie messen.
Sorgen würde ich mir machen, wenn Threema die Ergebnisse nicht ernst genommen hätte. In diesem Fall haben sie aber sehr schnell reagiert und sämtliche Issues stellen keine Gefahr (mehr) dar.
Ich denke Threema ist/war grundsätzlich für den Durchschnittsanwender gut genug, was mich allerdings etwas irritiert ist, dass die Krypto kein (bzw. noch nie?) Bestandteil des Audits war. Wird dann das nächste Audit auch die „neue“ Kypto enthalten oder nur das drumherum?
Für Threema-Libre kann in die F-Droid-App das Threema-Repository eingebunden werden.
Dann läßt sich Threema-Libre, über die F-Droid-App, installieren und aktualisieren.
Im F-Droid-eigenen App-Store gibt es Threema-Libre nicht.
Threema Lizenzen kann man jetzt mit Bergeld kaufen. Allerdings nehmen die nur 10,20,30 usw. € oder $. Man kauft also 2,4,6 usw. Lizenzen zu 4,99$/€. Komisches Prinzip.
