image

WhatsApp biedt gebruikers end-to-end versleutelde back-ups

maandag 13 september 2021, 09:07 door Redactie, 14 reacties

WhatsApp biedt gebruikers voortaan de optie om hun back-ups end-to-end versleuteld op te slaan, zo heeft Facebook aangekondigd. Gebruikers konden hun back-ups al opslaan in Google Drive en Apple iCloud, maar de data was dan niet end-to-end versleuteld, waardoor de cloudprovider er toegang toe kon krijgen.

Met end-to-end versleutelde back-ups zijn zowel de back-ups als de benodigde encryptiesleutel niet meer toegankelijk voor de cloudprovider en WhatsApp. De end-to-end versleutelde back-ups worden versleuteld met een willekeurig gegenereerde encryptiesleutel. Gebruikers kunnen ervoor kiezen om deze encryptiesleutel handmatig of met een wachtwoord te beschermen. Bij de handmatige optie moet een 64-cijferige weergave van de encryptiesleutel worden genoteerd.

Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen. Een HSM is speciale hardware voor het veilig opslaan van encryptiesleutels. Wanneer de gebruiker zijn back-up nodig heeft kan hij die via de encryptiesleutel of zijn wachtwoord ontsleutelen.

De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen. Na een aantal mislukte pogingen wordt de encryptiesleutel permanent ontoegankelijk gemaakt. Volgens Facebook moet dit bescherming tegen bruteforce-aanvallen bieden waarmee zou kunnen worden geprobeerd om de encryptiesleutel te bemachtigen. WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.

Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid. Voor het afhandelen van de communicatie tussen de gebruiker en de Backup Key Vault wordt er gebruikgemaakt van ChatD, een service van WhatsApp. Facebook laat echter weten dat de inhoud van versleutelde berichten tussen de gebruiker en de Backup Key Vault niet voor deze dienst toegankelijk zijn.

Wanneer de gebruiker zijn back-up wil downloaden moet hij eerst zijn wachtwoord invoeren dat door de Backup Key Vault wordt geverifieerd. Vervolgens stuurt de Backup Key Vault de encryptiesleutel terug naar de gebruiker die daarmee de back-ups kan ontsleutelen. Maakt de gebruiker van de 64-cijferige encryptiesleutel gebruik, dan zal deze sleutel handmatig moeten worden ingevoerd. End-to-end versleutelde back-ups worden de komende weken onder gebruikers uitgerold.

Image

Reacties (14)
13-09-2021, 10:39 door Anoniem
wanneer zou dat moeten gebeuren ik kan zonder ww inloggen nog steeds ???????
13-09-2021, 11:25 door Anoniem
Nu kunnen dus opsporingsdiensten niet meer simpel de backup die dagelijks wordt gemaakt opvragen bij Google of Apple.

Goede stap vooruit
13-09-2021, 13:38 door Anoniem
Ik geloof helemaal niks meer van die end-to-end versleuteling van Whatsapp

maar los daarvan, de tekst in jullie bericht klopt niet met het plaatje

"Vervolgens stuurt de Backup Key Vault de encryptiesleutel terug naar de gebruiker die daarmee de back-ups kan ontsleutelen. "

Ik mag een biet zijn, maar de sleutel wordt alleen lokaal gegenereerd uit een wachtwoord en iets in de HSM en PBKDF2. Als de vault die aan mij moet sturen dan klopt er iets niet.
13-09-2021, 13:44 door Anoniem
Dit artikel:
(..)
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen.
(..)
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen.
(..)
WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
(..)
Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid.(..)

Dus de versleutelde backup en de sleutel staan op servers in datacenters van WhatsApp .... de kat is al op het spek gebonden ...
Aangezien WhatsApp proprietaire software is kunnen we de claim niet controleren dat WhatsApp de sleutel "niet kent".
Dan is Signal toch een beter (open source, controleerbaar) alternatief.
13-09-2021, 14:13 door Anoniem
WTF laat ze eerst eens een fatsoenlijke backup/restore lokaal mogelijk maken, hoe moeilijk kan dat zijn.
13-09-2021, 16:25 door waterlelie
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen. Een HSM is speciale hardware voor het veilig opslaan van encryptiesleutels. Wanneer de gebruiker zijn back-up nodig heeft kan hij die via de encryptiesleutel of zijn wachtwoord ontsleutelen.

De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen. Na een aantal mislukte pogingen wordt de encryptiesleutel permanent ontoegankelijk gemaakt. Volgens Facebook moet dit bescherming tegen bruteforce-aanvallen bieden waarmee zou kunnen worden geprobeerd om de encryptiesleutel te bemachtigen. WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.

Encryptie of versleuteling heeft al jaren mijn interesse, en ik experimenteer graag op micro niveau om met name de gebruiksvriendelijkheid en om meer inzicht te krijgen van wat er eigenlijk gebeurt. Ik gebruik geen sociale media, en ook geen WhatsApp, maar je hoeft daarvan ook niet veel van te begrijpen, om te zien, dat de gebruikers eigenlijk ziende blind willen blijven, om maar niet te hoeven te beseffen, dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. Ze zijn verslaafd aan het gemak van de apps, die hen volledig afschermt van wat er gebeurt, als ze deze gebruiken.
13-09-2021, 19:36 door [Account Verwijderd]
Door waterlelie: ... Encryptie of versleuteling heeft al jaren mijn interesse, en ik experimenteer graag op micro niveau om met name de gebruiksvriendelijkheid en om meer inzicht te krijgen van wat er eigenlijk gebeurt. Ik gebruik geen sociale media, en ook geen WhatsApp, maar je hoeft daarvan ook niet veel van te begrijpen, om te zien, dat de gebruikers eigenlijk ziende blind willen blijven, om maar niet te hoeven te beseffen, dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. ...

Vertel! Leg uit! Hoe zou de end-to-endversleuteling die Whatsapp biedt niet meer dan een illusie zijn? (Volgens mij is het namelijk 100% effectief)
13-09-2021, 20:31 door karma4
Door waterlelie: [....., dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. Ze zijn verslaafd aan het gemak van de apps, die hen volledig afschermt van wat er gebeurt, als ze deze gebruiken.
Je hebt gelijk. Of het nu Apple, Signal, Ennetcom , BlackIron of wie dan ook is, de sleutels liggen bij de provider. Ze mogen het endtoend noemen wat ze willen. De werkelijke endpoints hebben de sleutels niet.
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.
13-09-2021, 20:50 door Anoniem
Wie wil zijn backups nu in handen van de minst betrouwbare aller sociale-softwareproviders achterlaten (ik wens niet eens één bit van mijn data achter te laten bij een sociale softwareprovider)?
14-09-2021, 01:14 door Anoniem
Door karma4:
Door waterlelie: [....., dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. Ze zijn verslaafd aan het gemak van de apps, die hen volledig afschermt van wat er gebeurt, als ze deze gebruiken.
Je hebt gelijk. Of het nu Apple, Signal, Ennetcom , BlackIron of wie dan ook is, de sleutels liggen bij de provider. Ze mogen het endtoend noemen wat ze willen. De werkelijke endpoints hebben de sleutels niet.
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.

Geen dingen roeptoeteren waar je geen verstand van hebt. Deze comment staat vol met onzin. Ze hebben helemaal de sleutels niet en kunnen hier niet bij. Ga eerst maar eens het Signal protocol bestuderen voordat je dit soort onzin gaat verkopen.
14-09-2021, 01:20 door Anoniem
Door Anoniem:
Dit artikel:
(..)
Bij de keuze voor een wachtwoord wordt de encryptiesleutel in een hardware security module (HSM)-gebaseerde Backup Key Vault bij WhatsApp opgeslagen.
(..)
De HSM-gebaseerde Backup Key Vault voert de wachtwoordverificatie uit voordat er toegang tot de opgeslagen encryptiesleutel wordt verkregen.
(..)
WhatsApp weet dat een encryptiesleutel in de HSM aanwezig is, maar zegt dat het de encryptiesleutel niet kent.
(..)
Om ervoor te zorgen dat de Backup Key Vault voor alle twee miljard WhatsApp-gebruikers blijft werken wordt de dienst over meerdere datacenters verspreid.(..)

Dus de versleutelde backup en de sleutel staan op servers in datacenters van WhatsApp .... de kat is al op het spek gebonden ...
Aangezien WhatsApp proprietaire software is kunnen we de claim niet controleren dat WhatsApp de sleutel "niet kent".
Dan is Signal toch een beter (open source, controleerbaar) alternatief.

Ik heb het nog niet voldoende bekeken maar volgens mij klopt dit ook niet. Normaal gesproken zou je dan de decryptiesleutel/private key opslaan op de server in encrypted vorm bijv AES. De gebruiker kan die encrypted key ophalen en met zijn wachtwoord onteutelen. Daarmee kan vervolgens de backup worden uitgelezen.
14-09-2021, 07:54 door [Account Verwijderd] - Bijgewerkt: 14-09-2021, 07:58
Door karma4:
Door waterlelie: [....., dat hun zo beloofde veilige communicatie met anderen via deze en ook andere apps eigenlijk niet meer dan een illusie is. Ze zijn verslaafd aan het gemak van de apps, die hen volledig afschermt van wat er gebeurt, als ze deze gebruiken.
Je hebt gelijk. Of het nu Apple, Signal, Ennetcom , BlackIron of wie dan ook is, de sleutels liggen bij de provider. Ze mogen het endtoend noemen wat ze willen. De werkelijke endpoints hebben de sleutels niet.
Alsof je een groot hotel zou kunnen zie als een goed beveiligd iets met elke hotelkamer als een kluis. Zoiets bestaat wel het heet gevangenis.

Leuk verzonnen maar feitelijk onjuist! (Waar haal je deze speculaties eigenlijk vandaan?) b.v. De WhatsApp documentatie stelt hierover:

Personal Messaging

WhatsApp's end-to-end encryption is used when you chat with another person using WhatsApp Messenger. End-to-end encryption ensures only you and the person you're communicating with can read or listen to what is sent, and nobody in between, not even WhatsApp. This is because with end-to-end encryption, your messages are secured with a lock, and only the recipient and you have the special key needed to unlock and read them. All of this happens automatically: no need to turn on any special settings to secure your messages.

Dat is toch kraakhelder, nietwaar? Controleer s.v.p. eventjes eerst je speculaties vooraf en voorkom dat je onzin post.
14-09-2021, 09:35 door Anoniem
Privacy by design. Iemand...............................................? Toen was het stil.

Dacht ik al. Whatsapp leert het nooit. Niet te vertrouwen, dus niet gebruiken. Of educatie, mensen sensibiliseren over het onderwerp privaciy in het digitale tijdperk. Dit is er niet.
14-09-2021, 12:08 door Vuurvliegje87
Je kunt er ook voor kiezen om geen back-up te maken...
Al zou ik voorstander zijn als whatsapp/facebook zou zorgen voor een gewoon ZIP file dat ik zelf kan downloaden.
En mij niet zou dwingen tot Google als opslag dienst.

P.s. De zip file dan gewoon op je Android storage opslaan, en zelf bewaren op een medium naar keuze.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.