whistle.im – "WhatsApp"-Alternative

[tsupp4]

Gerade bin ich auf dieses viel versprechende Projekt gestoßen, ich persönlich warte ja schon lange auf so etwas;

Whistle.im
Verschlüsselter Whatsapp-Konkurrent kommt aus Deutschland

Laut Angaben von Whatsapp gibt es 20 Millionen aktive Anwender in Deutschland. Whistle.im will eine 2048-Bit-End-To-End verschlüssselte Alternative sein, bei der das Adressbuch nicht bei der NSA abgegeben wird.

http://www.golem.de/news/whistle-im-verschluesselter-whatsapp-konkurrent-kommt-aus-deutschland-1308-100879.html

Internetseite des Projekts: https://whistle.im/

Ich hab gleich mal angefragt, ob sie vielleicht Bitcoin-Spenden annehmen möchten.

[Nik1ab]

Auf sowas haben meine technisch nicht so erlesenen Freunde gewartet 

[tsupp4]

Auf sowas haben meine technisch nicht so erlesenen Freunde gewartet 

Schön und gut wenn man selbst verschlüsseln kann, nur wenn über 90 % der Kontakte es nicht können, bekommt man keine sichere Kommunikation zustande, hilft also nicht weit.

[Nik1ab]

Meine Rede.

[herzmeister]

is aber anscheinend nich komplett quelloffen

[2weiX]

THREEMA

[candoo]

is aber anscheinend nich komplett quelloffen

Wenn whislte nicht open Source ist, dann kann mans gleich wieder löschen. Wer weiß was da für Türen offen sind, oder ob whistle.im nicht vielleicht vom BND betrieben wird..

Schönes Projekt, aber hat sich damit wohl leider erledigt

[Verlaufen]

Whistle.im will eine 2048-Bit-End-To-End verschlüssselte Alternative sein, bei der das Adressbuch nicht bei der NSA abgegeben wird.

1. Wo denn dann?
2. Das holen die sich selbst.
3. 2048 Bit - wow! 1994 galten 4096 Bit als "fast sicher" (leider keine Quelle mehr; war Papier (wer das noch kennt))
4. USA exportieren keine Software, die bestimmte Sicherheitsstandards überschreiten. Die "deutsche" Entwicklung wird diese wohl ebenfalls nicht überschreiten, sonst fiele sie höchstwahrscheinlich unter das Kriegswaffenkontrollgesetz. (Gutes Beispiel: In D sind Level-4-Sicherheitscomputer anzumelden!)


Aber ein bisschen Verschlüsselung ist natürlich besser als gar keine - oder ?

[candoo]

Wie genau funktioniert whistle denn? Ich muss dem Empfänger der Botschaft doch irgendwie den Key geben zum entschlüsseln? Wenn das Programm den Key gleich mitsendet, dann ist es doch total unsicher?

[Nik1ab]

Solange ich den Quellcode nicht kenne, vertraue ich diesem Programm nicht.

Wie genau funktioniert whistle denn? Ich muss dem Empfänger der Botschaft doch irgendwie den Key geben zum entschlüsseln? Wenn das Programm den Key gleich mitsendet, dann ist es doch total unsicher?

https://en.wikipedia.org/wiki/End-to-end_encryption

[tsupp4]

is aber anscheinend nich komplett quelloffen

Wenn whislte nicht open Source ist, dann kann mans gleich wieder löschen. Wer weiß was da für Türen offen sind, oder ob whistle.im nicht vielleicht vom BND betrieben wird..

Das hängt vielleicht von der Definition von Open-Source ab. Wenn ich das richtig sehe, ist der Quellcode öffentlich einsehbar, allerdings steht "All rights reserved." drunter.

https://github.com/whistle-im/whistle-im

[Wed]

Wie genau funktioniert whistle denn? Ich muss dem Empfänger der Botschaft doch irgendwie den Key geben zum entschlüsseln? Wenn das Programm den Key gleich mitsendet, dann ist es doch total unsicher?

Ich vermute das beim "Adden" ein direkter Kontakt stattfindet zwischen den beiden Parteien wobei gleichzeitig auch ein Keyaustausch stattfindet, so ähnlich wie  bei einer initialen SSH-Verbindung.
Nachdem die Keys einmalig ausgetauscht wurden kann ja anschließend alles über einen Server ablaufen.

[candoo]

Wie genau funktioniert whistle denn? Ich muss dem Empfänger der Botschaft doch irgendwie den Key geben zum entschlüsseln? Wenn das Programm den Key gleich mitsendet, dann ist es doch total unsicher?

Ich vermute das beim "Adden" ein direkter Kontakt stattfindet zwischen den beiden Parteien wobei gleichzeitig auch ein Keyaustausch stattfindet, so ähnlich wie  bei einer initialen SSH-Verbindung.
Nachdem die Keys einmalig ausgetauscht wurden kann ja anschließend alles über einen Server ablaufen.

Was heißt denn direkter Kontakt? Beim Adden also "key austausch" kann die NSA doch bereits den Key abfangen und damit selber die Nachrichten entschlüsseln. Oder versteh ich da etwas falsch?

[Wed]

Wie genau funktioniert whistle denn? Ich muss dem Empfänger der Botschaft doch irgendwie den Key geben zum entschlüsseln? Wenn das Programm den Key gleich mitsendet, dann ist es doch total unsicher?

Ich vermute das beim "Adden" ein direkter Kontakt stattfindet zwischen den beiden Parteien wobei gleichzeitig auch ein Keyaustausch stattfindet, so ähnlich wie  bei einer initialen SSH-Verbindung.
Nachdem die Keys einmalig ausgetauscht wurden kann ja anschließend alles über einen Server ablaufen.

Was heißt denn direkter Kontakt? Beim Adden also "key austausch" kann die NSA doch bereits den Key abfangen und damit selber die Nachrichten entschlüsseln. Oder versteh ich da etwas falsch?

Naja wenn die direktverbindung verschlüsselt ist können die abfangen soviel sie wollen. Zudem müssten sie jederzeit jede direktverbindung abfangen, das halte ich logistisch für unmöglich denn dafür brauchst du man in the middle attacken und die macht und kann die nsa nicht machen, dafür müssten sie sich in den Provider einklinken.
Ist alles nur ne theorie bzw. ne Möglichkeit wie es funktionieren könnte. Genau weiß ich es auch nicht

[Chefin]

Erstens: Die NSA IST beim Provider eingelooged und schneidet DORT alles mit. Allerdings Man in the Middle wird natürtlich nicht flächendeckend gemacht sondern auf Veranlassung.

Zweitens: Keys werden mit Diffie Hellmann Algorythmus getauscht.
https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch
Das ist soweit sicher, wenn nur gelauscht wird, aber nicht bei MitM.

Es wäre sinnlos einen einmaligen Schlüsselaustausch zu machen, der dann bis in alle Ewigkeit zwischen diesen 2 COM-Partnern gilt. Zu leicht wäre hier die Möglichkeit den key zu erhalten und nachträglich alle Gespräche zu entschlüsseln. Jede Session wird also ihren eigenen key bekommen.

Diese Verschlüsselung hilft gegen zufällig Entdeckung, aber nicht gegen entschlüsseln, wenn man im Visier der Behörden wäre.

Grundsätzlich gibt es nur EINE einzige Möglichkeit zu verschlüsseln, ohne das jemand, auch nachträglich, das entschlüsseln kann: symetrische Verschlüsselung mit einem Schlüsseltausch ausserhalb des Internets, vorzugsweise persönlicher Schlüsseltausch via Papier. Alle anderen Verfahren wären im Falle eines Falles nicht sicher gegenüber staatlichen Angriffen.

[seef]

Ich sag nur Threema. Ist ein Schweizer.
Marcus Richter hat ein Interview mit dem Chefentwickler gemacht
http://monoxyd.de/20130118-die-wahrheit-017-threema-smartphone-messenger-mit-verschlusselung

[Chefin]

Leider auch wieder nur RSA, damit abhörbar wenns nötig wird. Den auch er wird kein Zertifikataussteller finden der groß genug ist um weltweit Kommunikation zu garantieren, aber nicht in Abhängigkeit zur USA bzw den dort ansäßigen Firmen steht. Aber ohne Zertifikate bzw Beglaubigungen funktioniert RSA eben nicht, bzw Diffie hellman Schlüsseltausch gilt immer nur für eine Session und wäre leicht via MitM komprommittierbar.

Aber auch wenn er einen Zertifikatanbieter findet, der unabhängig ist, so muss bei jedem Verbindungsaufbau dort nachgefragt werden ob das Zertifikat noch gültig ist. Bereits diese Nachfrage kann dazu führen das man falsche datn geliefert bekommt und dann den MitM autorisiert.

Es gibt keine Verschlüsselung die NSA-Sicher ist, aber gleichzeitig auch offen für Massenkommunikation. Diese zwei Punkte schliessen sich aus, wenn man praktisch den gesamten Datenverkehr mitschneidet. Und genau das tut die NSA, auch wenn sich einige das nicht vorstellen können.

[IVIasterZox]

Find ich cool es hat sogar eine Web-Version davon (Y)

[tsupp4]

Ich hab gleich mal angefragt, ob sie vielleicht Bitcoin-Spenden annehmen möchten.

Sie haben Spendenmöglichkeiten auf whistle.im hinzugefügt – unter anderem Bitcoin  

[favdesu]

möchte whistle gerne probieren, will mich wer adden? > PM