Švýcarská armáda zakázala všechny chatovací aplikace kromě Threema

Neverím že je End-to-End šifrovaná, dokým nevidím zdrojový kód.

Tenhle?

https://github.com/threema-ch/threema-android

to je len client. I když z toho väčšinou je vidieť či je alebo nie je end to end šifrovaná.

7. 1. 2022, 21:04 editováno autorem komentáře

Jde právě jen a pouze o klienta. Ten zajišťuje end-to-end šifrování a pokud ověříte, že to dělá správně, tak vás kód serveru už vůbec nezajímá. To je hlavní vlastnost E2E.

Presne tak.

Server muze poskodit jine vlastnosti bezpecnosti (leakovat metadata...), otazka je, jak presne souvisi tyhle zdrojaky s buildem na Play... Ale v principu skutecne jde vzit ty zdrojaky, zauditovat, vybuildit a nainstalovat.

Signal je taky "jen" klient, na servru vis kulovy co je. Samozrejme Briar by bylo lepsi reseni, ale asi ne pro Svycary, kde ma kazdej muz doma granat v kredenci (neprehanim, realita).

really? https://github.com/signalapp/Signal-Server

Přeháníš :)

To nevadí, ale mělo by to být z komentáře zřejmé.

1. Na 100 Švýcarů včetně žen, dětí a starců připadá 27 střelných zbraní.
2. Nepodařilo se mi vůbec dohledat, že by mohli v domácnosti legálně přechovávat granát (ocením info).
3. A kdyby ano, asi těžko legálně v kredenci.

To se zase vyjádřil odborník. Pokud něco zašifruje client, je úplně jedno, co s tím server udělá, když to neumí rozšifrovat. Ale Mlocik97 by očividně objevil chybu v kódu, když nezná základy.

Co třeba, kdyby si klient vygeneroval pár klíčů a veřejnou část poslal serverům ke sdílení?
Jen hádám, nemám ambice číst zdrový kód ... i když ten, kdo by to zvládal, by jistě našel stopu odesílání soukromého klíče, kdyby tam byla.

Poleno asi narážel na to, že nejslabším místem end-to-end šifrování je výměna klíčů mezi uživateli. Když pro sdílení klíčů použijete server, musíte najednou důvěřovat i serveru – protože server samozřejmě může uživateli prezentovat nějaký svůj podvržený klíč místo skutečného klíče uživatele. Takže pokud má být end-to-end šifrování opravdu takové, aby server komunikaci nemohl odposlouchávat, musí si uživatelé bezpečným způsobem ověřit klíče. Což uživatelé většinou nedělají, protože je to nepohodlné a uživatelé nevědí, proč by to vlastně měli dělat.

Ty si odborník na nechápanie písaného textu... v prvom komentári som nevedel ani že Threema má open-source client. O serveru tam nebolo slovo, a v druhom už som i napísal že z klientu je to zväčša znát. Navyše reaguješ na prvý koment, takže docela dosť mám pocit že narázaš na niečo, čo som ani v tom komentári nenapísal... druhým komentárom som narážal že keď je to len klient, tak i tak nejaké dáta Threema získava (metadáta), ktoré tu už spomenuté boli.

8. 1. 2022, 10:58 editováno autorem komentáře

Ne, vy jste v druhém komentáři pořád trval na tom, že může existovat nějaké end-to-end šifrování, které ovšem není plně implementováno v klientovi. Což je nesmysl, princip end-to-end šifrování je právě v tom, že to zašifruje klient a nemůže to rozšifrovat nikdo jiný, než klient adresáta. Pokud klíče má nebo může mít někdo jiný, než klient, není to end-to-end šifrování.

K tomu, aby end-to-end šifrování dávalo smysl, je pak samozřejmě potřeba ještě vědět, komu který klíč patří. To je ve skutečnosti na celé věci to nejtěžší.

Zformuloval som vetu zrejme neštastne pravda, ale keď som hovoril že nie vždy je vidieť či je šifrovaná end to end zo zdrojákov klienta, myslel som tým že ak je kód obfuskovaný, nie že by to malo byť niečo mať so serverom.

"to je len client." Tým som poukázal že dal odkaz len na zdrojáky klienta, ale nič som nepísal o tom že zdrojáky servera sú potrebné. (a trocha je to blbo napísané, lebo som pri edite toho komentu odmazal časť bez odmazania inej časti)
"I když z toho väčšinou je vidieť či je alebo nie je end to end šifrovaná." bolo mysleno nie že v iných prípadoch je potrebný zdroják serveru, ale že v iných prípadoch to nie je poznať kvôli obfuskaci kódu.

Dúfam že už sa chápeme.

8. 1. 2022, 15:03 editováno autorem komentáře

btw. ak by som nevedel že stačí zdrojáky klienta, tak by som tu na roote by nepísal v minulosti komentár, kde som práve opak, čo bolo práve o Signal článok.

Nestaci vidiet, treba skompilovat alebo mat verifiable buildy. To nejde dohromady s auto update z Google Play.

Šmírování uživatelů, jejich pozice apod. je zlo, v tomto případě je přístup armády pochopitelný.

To by mě zajímalo, proč nepovolili i, rovněž švýcarský, Wire, který je zdarma (ale má i placenou byznys verzi).

Tak Wire už není jen švýcarský, má pobočku v Berlíně a v San Francisco.

Řekl bych, že nemají důvěru: jednak měli Wire v letech 2019-2020 sídlo firmy oficiálně v USA, tj. byli pod jejich jurisdikcí se vším, co to obnáší (NSA) a jednak pokud vím Wire pořád shromažďuje metadata na serverech v cleartextu, tj. ne end-to-end šifrované. Což je zrovna u vojáků problém, protože podle časů a místa připojení můžete ledacos zjistit. Nebylo by to poprvé :-)

Takže Threema je odposlouchávaná švýcarskou rozvědkou?

"ale spíše je úspěchem lobování lokálních firem."

o'rly?

Nedivil bych se. Svycari jsou jini :-)

Pokud se jedná o složení komunikaci chápal bych to. Ale pokud omezují osobní svobodu je to rozhodnutí zahranou

Vojenska sluzba a osobni svoboda nejdou moc dohromady.

7. 1. 2022, 20:47 editováno autorem komentáře

Tato otazka je ve svycarsku dost slozita. Kdy temer kazdy zdravy je vojak v aktivni zalozr a ma armadu doma v supliku a chodi pravidelne na cviceni.
Zajimalo by mne zda se omezeni tyka vojaku z povolani nebo aktivnich zaloh.

Já měl za to, že být vojákem z povolání je v principu práce jako jakákoli jiná.

Není. A takových prací, které nejsou jako jakákoli jiná, je docela dost. Být profesionálním vojákem je podle mne podobné třeba tomu být lékařem. Lékařem je člověk také 24 hodin denně a když má někdo akutní zdravotní problém, lékař má povinnost takovému člověku pomoci kdykoli. Nemůže říct „sorry, padla, přijďte si zítra ráno do ordinace, tedy pokud vydržíte krvácet tak dlouho“.

Hovori sa tomu sluzba. V tomto pripade vojenska.

Predpokladam ze ten zakaz sa tyka prave vojakov v sluzbe. Nie v zalohe.

Ozbrojene slozky jsou velmi mimoradna prace, kde _VE SLUZBE_ podlehate uplne jinym zakonum. Jste povinen vykonavat rozkazy a pokud se proti nim provinite, tak jdete pred vojensky soud. Navic (podobne jako policista ve sluzbe) pro vojaky ve sluzbe neplati zakladni premisa demokratickeho statu "co neni zakazano, je dovoleno". Pro ozbrojene slozky plati "ve sluzbe nesmim delat nic jineho, nez mi uklada zakon ktery mou organizaci definuje"

I soukromá komunikace může vyzradit služební tajemství. Vzpomeňte na „běhací“ aplikace, které vyzradily, kde vojáci ve svém volném čase běhají – což ovšem bylo více než dostatečné pro určení polohy základny.

za hranou čeho? Švýcarské ústavy? Znáš jí?

Co máte pořád všichni s omezováním svobody, více co ta proklamovaná svoboda vlastně je a jak jí omezují? I u nás je běžné, že do řady provozů nemůžeš mít mobilní telefon a žádné omezování svobody to není, stejně jako do řady míst nemůžeš nosit zbraně.

Je naopak naprosto logické, že vojákům ve službě omezují komunikační prostředky, to dělá i naše armáda, mimochodem, to je také omezením svobody?

Ja som sa rozhodoval medzi threemou a signalom.

Vyhrala threema.

Problem je, ze som tam sam a neprehovoril som nikoho nech si to kupi (ani manzelka, ktora uz teda ma asi kazdy messenger co existuje a povedala si, ze dost). Tak som na signale, kde mam zo 20 kontaktov.

Ony obe reseni co se tyka bezpecnosti jsou srovnatelny. Bud rad, ze mas tech 20 kontaktu :) (ja zacal se 4, ted jich je asi 50)

No to je u komunikacni aplikace docela zavazny problem (ze funguje, ale nemas s kym komunikovat), protoze si komunikacni appku instaluji prave proto, abych mohl, pokud mozno, byt v kontaktu s co nejvice prateli, partnery apod....

Tak situace je stále v kruhu. V osmdesátých letech jsem nemöhl každému zavolat, v devadesátých každému poslat SMS, v mileniu VOIP bylo pro geeky a tak pokračujeme stále dál a dál :-)

Je rozdíl mezi „každému“, „co nejvíce“ a „skoro nikdo“.

Bojí se šmírování a oznamují věci na Facebooku?! (nedivil bych se, kdyby ty příspěvky byly jen „RSS“ nějakého jejich oficiálního webu, ale nevypadá to tak)

Tak šmírování veřejně publikovaných informací jaksi moc nevadí, že... To je jaksi v pořádku, aby zveřejněné informace pro veřejnost byly přečteny co největším počtem lidí, aby to bylo vidět.
Nebo se snad domníváte, že armáda používá Facebook pro šíření svých vnitřních směrnic pro své vojáky a zaměstnance?

a proc by nemohli pouzivt fcb? :D

To musela byť hlavička, čo niečo také zverejnila práve na FB.

Případ Kočner ukazuje hlavně to, že ti kriminálníci, kterým na tom závisí doslova celý život, ani nejsou schopní se naučit, jak s těmi technologiemi bezpečně pracovat. Kočnerovi nikdo Threemu neprolomil. On měl nešifrované zálohy všech chatů ve vlastním telefonu, dal to policii na stříbrném podnose.

Stejně tak jediné známé prolomení Telegramu bylo to, že si daná skupina kriminálníků kromě SMS ověření nenastavila heslo. Policii tak stačilo odchytávat ve spolupráci s operátorem ověřovací SMS.

A co něco s otevřeným protokolem, nezávislé na konkrétní aplikaci?

Když kolem mě lidi řešili WhatApp a jeho změnu podmínek nakládání s daty uživatelů, tak jsem zkusil Matrix https://cs.wikipedia.org/wiki/Matrix_(protokol) a jako klienta vybral Everest.

Paradoxně, protože instant messaging aplikaci v podstatě nepoužívám, tak ani nemůžu posoudit, zda je to použitelná volba. Máte s tím zkušenost?

Asi neni moc použiteľné, keď to nikto nepoužíva. Ja mám Telegram, Signal, Viber, WhatsApp a používam to čo má druhá strana. Snažím sa prefereovať Telegram a presviedčať ľudí, aby ho používali, ale nie vždy sa to dá. Takže musím pouzívať aj Signal, WA, Viber a Skype.

Threemu u nás používal jeden oligarcha z mafiánskych zoznamov. Akurát si urobil nezašifrovaný backup. A polícia sa k nemu dostala a obvinila ho z vraždy novinára a ďalších pripravovaných vrážd: politikov, sudcov a prokurátorov. Teda zadžali ho kôli miliardovým podvodom so zmenkami, ale akonáhle sa jeho telefón ocitol v rukách polície, tak ho začali spájať aj s vraždou novinára a plánovaním ďalších vrážd.

8. 1. 2022, 11:11 editováno autorem komentáře

ja používam clienta element, je to to veľmi použiteľné ;-)
ale väčšinou známi majú signal tak to používam viac ako matrix ...

každopádne, obidve apky sú na telefóne stabilné, dobre sa používajú, na desktope tiež všetko funguje ako má.

Úplně super by byl protokol, sada klientů a síť serverů. Třeba jako to má email nebo xmpp. Teda super pro uživatele, na druhé straně barikády už to tak super není a proč lít peníze do něčeho co mi neumožní držet uživatele pěkně pod krkem. Ta správná legrace by byla kdyby Švýcaři povolili používat cokoli co prošlo bezpečnostním auditem, dá se to provozovat v uzavřené síti a umí se to bavit i s něčím jiným než samo se sebou.

Matrix je skvělý protokol. Everest klient ovšem neznám, a to se vývojem kolem Matrixu živím, nepletete si to s Elementem? :) Jinak co se týče feature complete klientů, na desktopu je to hlavně Element (Electron), NHeko (C++ a Qt), na mobilu Element a Fluffychat (Flutter).

Máte pravdu, omlouvám se za mystifikaci, ten klient se skutečně jmenuje Element.

Když byla bouře kolem WhatsAppu, tak jsem si přečetl několik článků o alternativách a tenhle klient/protokol mi z toho vycházel nejlépe.
Ve finále si to Ti, kterým jsem ho radil nakonec nepoužívají, ale vrátili se k WhatsAppu :(

I bez toho je na Matrixu dost rozsáhlá komunita chatů na všechno možné, což je fajn :) A díky bridgům je zároveň Matrix asi nejlepší „klient“ pro IRC, včetně historie zpráv lepší než dokáže poskytnout bouncer.

...používá end-to-end šifrování, nesbírá o uživatelích data ani je potom neprodává, nezobrazuje reklamy...

Neplatí to samé i pro Signal?

Neplatí. Uživatele mají spárované s telefonními čísly a sbírají nešifrovaná metadata, tj. z údajů na serveru lze rekonstruovat kdo, kdy, s kým a kde. Sice tvrdí, že data nepoužívají k ničemu nekalému, ale to jim nařizuje zákon (je to americká firma, nesmí vyzradit spolupráci s NSA).

nějaký zdroj k tomu, že Signal ukládá metadata?

Profil je totiž E2E šifrovaný a tel. číslo je na serveru hashované. K tomu navíc mají informaci o posledním přihlášení uživatele a tím to hasne. Žádné další informace neukládají.

Velmi rozumny krok :) Ovsem k plne bezpecnosti by potrebovali jeste vlastni OS na hw telefonů...