1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Whispeer: Soziales Netzwerk mit Ende…

"daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

  1. Thema

Neues Thema Ansicht wechseln


  1. "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: winstonafa 12.08.15 - 14:20

    Mit dem Satz haben die Burschen von Whispeer mein Vertrauen komplett verspielt.
    Haltet mich für Paranoid, aber ich bezweifle dass die einfach pauschal sagen können, dass teile des Quellcodes nicht sicherheitsrelevant sind.
    Ob sie das sind, entscheidet entweder ein sicherheitsaudit oder im zweifel irgendwelche Hacker.
    So wirkt das einfach, als hätten sie zu viel vertrauen in sich selbst und bei kryptographie ist das nie gut.

  2. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: JCS 12.08.15 - 15:00

    Deine Theorie führt die ganze Verschlüsselung ad absurdum. Ich verschlüssele ja gerade deshalb, damit ich die Daten sicher über ein potenziell unsicheres Medium übertragen kann. Wäre das Medium sicher müsste ich nicht verschlüsseln.

    Oder um es auf den konkreten Fall zu übertragen. Selbst wenn der Server unsicher ist, dann können deine Daten nicht kompromittiert werden, weil sie dort ja nur verschlüsselt sind. Das könnte nur passieren, wenn die Verschlüsselung nichts taugt, die passiert aber auf dem Client und für den liegt der Quellcode vor.

  3. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: Fasin 12.08.15 - 15:35

    Das Problem ist, dass der Server nicht einfach als unsicheres Medium betrachtet werden kann. Er ist nämlich nicht nur Medium über das die verschlüsselten Daten laufen, er ist auch Originator der Schlüssel!

    Gängigstes Szenario ist eine Sicherheitsleck im nicht-Quellcode-veröffentlichten Teil des Servers zu finden, Schadcode einzuschleußen und ab sofort (evtl bis zum nächsten Serverupdate, oder vllt bei bei Betriebssystemzugriff sogar persistent) alle generierten Schlüssel mitlesen. Klasse, wie das ganze nicht sicherheitsrelevant ist :D

  4. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: darkcton 12.08.15 - 16:25

    Der Server erhält nur verschlüsselte Daten, er generiert keine Schlüssel und empfängt auch keine unverschlüsselten Schlüssel. Das heißt selbst wenn jemand den Server übernimmt kann er die Schlüssel nicht mitlesen.

  5. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: Fasin 12.08.15 - 16:39

    Gut, das hatte ich verlesen, Schlüssel werden also nur auf dem Client per JS generiert.
    Also das nächste Szenario: Server übernehmen, JS einschleusen, auf dem Client Schlüssel mitlesen.

    Fazit, unabhängig vom Szenario: Das Argument des nicht sicherheitsrelevanten Codes gibt es nicht. Ein Bufferoverflow reicht ja meist schon. Und der muss nicht mal dort passieren, wo tatsächlich sicherheitskritische Sachen durchgeführt werden.



    2 mal bearbeitet, zuletzt am 12.08.15 16:47 durch Fasin.

  6. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: darkcton 12.08.15 - 16:44

    Das ist möglich, der Web-Server und der Daten-Server sind aber getrennt.
    Weiterhin kann man das github-repo auschecken, lokal starten und schon braucht man hierüber keine Sorge mehr haben!

    Edit: Auf dem Web-Server läuft im übrigen ein nginx, ziemlich simpel, da können wir nicht wirklich Quellcode teilen ;)



    1 mal bearbeitet, zuletzt am 12.08.15 16:46 durch darkcton.

  7. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: Fasin 12.08.15 - 16:52

    Ich will ja nichts schlechtreden, aber auf die Aussage, dass im nicht veröffentlichten Code nichts Sicherheitsrelevantes drin ist folgt zwangsläufig die Frage "Und was wenn doch?".
    Da hilft leider kein noch so gut begründetes "Trotzdem!".

    In Anlehnung an den gängigen IM-Slang: "Source or it didn't happen" ;)

    P.S.: Das Auschecken und selbst ausführen ist für den Normalbürger keine Option, wenn es hingegen ein Netzwerk für technisch versierte Leute sein soll, dann wird es schwer sich zu etablieren, denn da pflegt man eher fachliche als soziale Kontakte ;).
    P.P.S.: Klasse, dann habe ich den potentiell unsicheren Code auch noch auf meiner lokalen Maschine und biete Angreifern eine weitere Möglichkeit nicht nur an meine Schlüssel, sondern gleich an mein ganzes System zu kommen, auch nicht so das Wahre^^



    2 mal bearbeitet, zuletzt am 12.08.15 16:59 durch Fasin.

  8. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: darkcton 12.08.15 - 17:00

    Sorry, aber den Quellcode vom Daten-Server zu veröffentlichen würde die Situation nicht verändern, da niemand beweisen kann, dass wir nicht einen anderen Server laufen lassen

    Wenn die Client-Sicherheit nicht korrekt/gut ist, bringt dir der Server-Quellcode rein gar nichts.

  9. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: captain_spaulding 12.08.15 - 18:43

    Der Server ist schon ein bisschen sicherheitsrelevant, da er ja die Metadaten kennt.
    Also er weiß wer mit wem chattet.
    Es sei denn die benutzen ein sehr ausgefuchstes System.

  10. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: EQuatschBob 12.08.15 - 19:23

    @darkton: Korrekt, der Quellcode beweist nichts, wenn ich nicht sicher sein kann, daß der Server überhaupt die gleiche Software nutzt bis hin zur gleichen Version.

    Dafür gibt es allerdings einen einfachen Ausweg: Federation. In dem Fall kann jeder den "Server seines Vertrauens" nutzen oder eben selbst hosten.

    Dann vielleicht noch ein verbreitetes Protokoll verwenden wie XMPP mit OTR und schon kann man fröhlich und sicher chatten.

  11. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: darkcton 12.08.15 - 19:53

    So wie bei Mail wo dann doch selbst bei Privatsphäre-bedachten Menschen 30-70% der Mails über Gmail laufen?
    Oder wie bei XMPP wo in Deutschland 80% der Leute auf dem CCC Server sind?

    Federation funktioniert nichtmal unter Nerds, sorry das ich das so direkt sage.
    Außerdem reicht es nicht, wenn du deinen Server kennst, du müsstest auch den deines Chatpartners kennen (mal davon abgesehen, dass du den Server aufsetzen & absichern müsstest)

  12. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: Moe479 13.08.15 - 02:32

    tja, investieren oder doch nicht? auf keinen in the next associal network, oder?

    sicherheit ist ebend nicht billig, muss man was für tun, vom nix tuen kommt doch überhaupt nix! oder willste wieder dasn anderer die rechnung zahlt? stell dir vor es ist krieg und keiner geht hin, scheiss schmarotzer, is doch wahr, so wird das nichts!



    3 mal bearbeitet, zuletzt am 13.08.15 02:36 durch Moe479.

  13. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: EQuatschBob 13.08.15 - 15:42

    @darkcton:
    " Federation funktioniert nichtmal unter Nerds, sorry das ich das so direkt sage."

    Direkt, aber nicht korrekt. Vielleicht kennst Du keine Nerds oder die falschen ;~) Die meisten "Nerds" die ich kenne sind allerdings keine Deutschen und ihre Accounts daher auf Server in aller Welt verteilt.

    Bei echter end-to-end-Encryption brauche ich natürlich den Servern sowieso nicht vertrauen, sondern nur dem Client. Whispeer speichert aber die Keys auf dem Server. Bei einem massenhaften Abgreifen der Keys durch Hacker/Geheimdienste müßten die Keys definitiv als kompromitiert gelten, da man einen Erfolg von Brute-Force nicht ausschließen kann. Bei Keys, die nur beim Client liegen ist ein massenhaftes Abgreifen dagegen fast unmöglich.

  14. Re: "daher würden dessen Quelltexte nicht sicherheitsrelevant sein"

    Autor: Moe479 14.08.15 - 03:23

    sicher?

    1 Punkt: welches os läuft nocheinmal auf der mehrheit der desktopgeräte?

    99 Punkte: wo hat der herrausgeber des os seinen sitz?

    1 Punkt plus 99 Punkte sind?

    blos weil jemand dir sagt, dass er nichts kritisches sieht, beutet das noch lange nicht, das es nichts kritisches gibt. wenn du das nicht so siehst, bedeut es nur, dass du dich leicht an der nase herumführen lässt.



    2 mal bearbeitet, zuletzt am 14.08.15 03:31 durch Moe479.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Kassenärztliche Vereinigung Rheinland-Pfalz, Koblenz, Mainz, Trier
  2. Deutsches Krebsforschungszentrum (DKFZ), Heidelberg
  3. über duerenhoff GmbH, Raum Ulm
  4. SITA Airport IT GmbH, Düsseldorf

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 10,49€
  2. Call of Duty: Black Ops Cold War (PC) für 53,99€ (Release 13.11.)
  3. (u. a. Sam & Max Hit the Road für 1,25€ Maniac Mansion für 1,25€, The Secret of Monkey...


Haben wir etwas übersehen?

E-Mail an news@golem.de


Apple: iPhone 12 bekommt Magnetrücken und kleinen Bruder
Apple
iPhone 12 bekommt Magnetrücken und kleinen Bruder

Das iPhone 12 ist mit einem 6,1-Zoll- und das iPhone 12 Mini mit einem 5,4-Zoll-Display ausgerüstet. Ladegerät und Kopfhörer fallen aus Gründen des Umweltschutzes weg.

  1. Apple iPhone 12 Pro und iPhone 12 Pro Max werden größer
  2. Apple iPhone 12 verspätet sich
  3. Back Tap iOS 14 erkennt Trommeln auf der iPhone-Rückseite

Watch SE im Test: Apples gelungene Smartwatch-Alternative
Watch SE im Test
Apples gelungene Smartwatch-Alternative

Mit der Watch SE bietet Apple erstmals parallel zum Topmodell eine zweite, günstigere Smartwatch an. Die Watch SE eignet sich unter anderem für Nutzer, die auf die Blutsauerstoffmessung verzichten können.
Ein Test von Tobias Költzsch

  1. Series 6 im Test Die Apple Watch zwischen Sport, Schlaf und Sättigung
  2. Apple empfiehlt Neuinstallation Probleme mit WatchOS 7 und Apple Watch lösbar
  3. Smartwatch Apple Watch 3 hat Probleme mit Watch OS 7

Shifoo: Golem.de startet Betatest seiner Karriere-Coaching-Plattform
Shifoo
Golem.de startet Betatest seiner Karriere-Coaching-Plattform

Beratung, die IT-Profis in Job & Karriere effizient und individuell unterstützt: Golem.de startet die Video-Coaching-Plattform Shifoo. Hilf uns in der Betaphase, sie für dich perfekt zu machen, und profitiere vom exklusiven Angebot!

  1. Stellenanzeige Golem.de sucht Verstärkung für die Redaktion
  2. Stellenanzeige Golem.de sucht CvD (m/w/d)
  3. In eigener Sache Die 24-kernige Golem Workstation ist da