Het Duitse computerblad c't publiceerde gisteren een analyse waarin het stelt dat de end-to-end-encryptie van WhatsApp weinig nut heeft, tot grote ergernis van beveiligingsexpert Moxie Marlinspike die de encryptie ontwikkelde en juist stelt dat de uitrol volgens plan verloopt. Vorig jaar lieten WhatsApp en Open Whisper Systems, het bedrijf van Marlinspike, weten dat WhatsApp de end-to-end-encryptie van TextSecure ging gebruiken.

TextSecure is een door Open Whisper Systems ontwikkelde chat-app die gebruikers volledig versleuteld met elkaar laat communiceren, waarbij de inhoud alleen voor de afzender en ontvanger te bekijken is. Onderzoekers van het Duitse Heise analyseerden voor c't de gebruikte encryptie en haalden hard uit. "De resultaten laten zien dat WhatsApp de voorbeeldige encryptie van TextSecure, zoals ontwikkeld door Moxie Marlinspike, dan mag gebruiken, maar het op zo'n manier implementeert dat het weinig nut heeft in de echte wereld."

Voor het onderzoek probeerden de onderzoekers een Man-in-the-Middle-aanval uit te voeren. De communicatie tussen twee Androidtoestellen was via het Textsecure-protocol end-to-end versleuteld, maar dit bleek niet het geval te zijn bij de communicatie tussen iOS-apparaten. De onderzoekers hekelen daarnaast ook dat het onduidelijk is of end-to-end-encryptie in alle gevallen wordt gebruikt waar dit mogelijk is, of staat uitgeschakeld als er aan bepaalde criteria wordt voldaan, zoals verzoeken van inlichtingendiensten of als het apparaat in een bepaald land wordt gebruikt.

Reactie

Marlinspike is op zijn beurt weer niet over het artikel van het Duitse computerblad te spreken. Op Reddit reageert hij fel. Volgens de beveiligingsexpert verloopt de uitrol van end-to-end-encryptie precies zoals vorig jaar al werd aangekondigd. "We kondigden een samenwerking aan, geen afgeronde uitrol." De blogposting over de samenwerking bevat volgens Marlinspike dan ook precies de "ontdekking" van Heise en c't. "Zoals ik in de blogpost aangaf wordt de uitrol onder honderden miljoenen gebruikers en allerlei platformen stapsgewijs gedaan."

Ook zouden c't en Heise met dit soort artikelen partijen als WhatsApp juist ontmoedigen om aan dit soort encryptieprojecten te beginnen, aangezien dit soort negatieve stukken het gevolg zijn. De uitrol gebeurt volgens Marlinspike dan ook zo snel als technisch mogelijk is, zonder de dienstverlening aan honderden miljoenen gebruikers te verstoren. "Niets dat jullie schrijven kan het sneller laten verlopen, en is op z'n hoogst alleen een afleiding."