Forum
Aktif konular
Üyeler
Kurallar
Arama
Whatsapp Söylenildiği Kadar Güvenli Mi? Whatsapp Söylenildiği Kadar Güvenli Mi?
-
Netflix Bodyguard filminin 1. yada 2. bölümünde teröristlerin bomba saldırı planını, Whatsapp mesajlarının taranması sonucu tespit ediyorlar. Kelime avıyla.
-
rakkoc bunu yazdıNoktaliVirgul bunu yazdı
Şöyle bir uygulama geldi aklıma:
Bendeki program client içinde private key üretecek, bu key server'a vs gitmeyecek.
Sen, beni listene eklemek için ya elle o priv key'i gireceksin yada benim telefonumdaki o priv key'i qr kod ile okutacaksın. Yada açık verme pahasına o qr kodu whatsapp,fb vb bir yöntemle resim olarak paylaşacaksın. Tamamen kişiye kalmış.
Dezavantajı: Güvenilir kullanmak isteyen iki kişi birbiriyle fiziki olarak görüşmesi gerekecek (kişi listesine eklemek için)
Avantajı: Tüm bilgiler end-to-end şifreleme olacağı için araya giren okuyamayacak.
Yazılımcı değilim ama çalışır mı bu yöntem?
anlatığın PGP gibi başladı ama tek fark, private key'i asla paylaşmaman gerekir. Public key paylaşılır. Whatsapp private key'i kendi serverina yedekliyor ki tek sıkıntı o. Yeni bir telefona kurulum yaptiğinde güvenli olarak o private key'i senin telefonuna indirip yeni gelen havadaki mesajlarin acilabilmesini sağlıyor. tabi bu iyi niyetli anlatım. Kötü niyette ise bu private key ile sana gelenmesajlari okuyabiliyor.
Public key ile encryption edilen veri sadece private key ile acılır. Private key ile encryption edilen veri de public key ile acilir (ki diğer key herkezde oldugu için bu sifreleme değil, imzalama diye geçer. mesajin senden geldiğinden emin olunur.) end2end de aslında ayni yapıyı kullanır ufak nüyanslar var arada.
Abi private key whatsapp serverlarında tutulmuyor yanlışın var. Eğer öyle olsaydı çoktan insanlar çıldırmıştı. Sohbetlerdeki kelimeleri reklam vs. amaçlı topluyor dersen tamam derim de end-to-end encryption'un güvenliğini yok edecek bir şey yapmıyorlar şuanlık. Hatta bir örnek vereyim, yeni telefondan giriş yapınca doğrulama kodun değişiyor karşı tarafta, uyarı gidiyor karşı tarafa. Yani senin private key'in yeniden oluşturuluyor, sunucuya public key'in yükleniyor. Private key'in yüklenmediği ispatlanabilir ama uygulama üzerinde reverse engineering gerekli ya da internet trafiğinin incelenmesi gerekli.
TheM4D tarafından 26/Ara/18 13:47 tarihinde düzenlenmiştir -
Whatsapp hükümetlere bilgi vermek zorundadır. İllegal faliyetler yürütmediğiniz sürece sorun olmayacaktır.
-
SUPERBICO bunu yazdımrkps bunu yazdı
zarrab davasından elemanların kendi içlerindeki tüm whatsapp yazışmaları açıklanmıştı. yani diyeceğim kesinlikle güvenli değil.
Zarrabin telefonuna el konulmuştu.
olabilir. ben bu çıkarımı cüneyt özdemir'in zarrab ile ilgili yaptığı youtube konuşmasında dinlemiştim. orada deliller okunurken başka kişiler arasıda geçen whatsapp konuşmalarınada yer vermişti. cüneyt özdemir de whatsapp için, güvenli biliyorduk ama birşekilde savcılık o konuşmalara ulaşabiliyormuş felan dedi. şimdi o konuşmaya bakayım dedim de zarrab ile ilgili zibilyon tane video çekmiş. o yüzden bulamadım videoyu.
-
Prometheus bunu yazdıcankol bunu yazdıPrometheus bunu yazdıcankol bunu yazdı
Ya hiç kimse dur şunlara bi uygulama yapayım da bedava görüşüp konuşsunlar bütün altyapıyı da kendim hayrına kurayım demez. dünyanın parasını harcıyor adamlar bu sistemleri ayakta tutmak için ve ücretsiz olarak size sunuyor.
hala daha da bu uygulamaların güvenli olabileceğini düşünen savunanlar var. wikileaks'te birçoğu ifşa oldu zaten bunların hele ki telegram signal vs.
https://github.com/enchip/bilgi-guvenligi/blob/master/Anlık%20Mesajlaşma.md bir arkadaş burada kısaca kıyas yapıp belirtmiş mesela.
bu üç şirket dışında profesyonelce kendini ispatlamış bir uygulama şu an piyasa da yok olamaz da zaten. adam ya parayla sana satıcak, ya da senin bilgilerini parayla satıcak. sistemin dönmesi için bunlar şart.
telegra ve signal için detay var mı? haberim yoktu benim.
https://wikileaks.org/ciav7p1/
https://sputniknews.com/world/201703071051348537-cia-wikileaks-telegram-whatsapp/
bunun telegramın gücenliğiyle ne alakası olduğunu anlayamadım. hacklenen telefonlarda falan diyor. şifreleme yapılmadan önce diyor. yani mesajını ekrana yazarken okuyor belki? belki klavye uygulaman üzerinden okuyor? telegram napsın? bana "şu şu şu gibi uygulamaları takip edebilirler mesela" demiş de verdiği örnekleri ismen fazla ciddiye almışız gibi geldi.
aradım taradım bulamadım hocam tam açıklamalı olanı da wikileakste ilk açıklandığında okumuştum. yani ücretsiz olması numara istiyor olması vs bunlar en basit kıllanma sebeplerim ki üstüne bir sürü şaibe de çıktı.
silent circle kendi sitesinde bir tablo yapmış şu şekilde onu atayım birde,
Bize böyle anonim olan, birşeyleri şart koşmayan uygulamalar lazım. Altyapı olarak bu bahsettiğim silent circle ve wire her ne kadar güçlü olsa da, bu şirketlerin de ABD'de ofisleri bulunmakta ki bu da ABD'nin istediği an bu şirketlerden veri alabilecekleri anlamına gelir.
yoksa silent circle kendi yazılımı gömülü özel cihaz satışı dahi yapıyor.
Ben sırf bu yüzden içlerinden threemayı seçmiştim sadece isviçrede ofisleri var.
adam uygulamada telefon istemiyor eposta istemiyor hiçbir şey istemiyor, random bir ID veriyor onunla istediğinle görüş. Mesela wire'da numara istiyor.
birde örnek veriyorum, p2p bir uygulamadan birisini aradınız sesli/görüntülü burada karşı tarafın IP bilgilerine erişebilirsiniz. Evet araya girip kimse içeriği dinleyemez şifrelemesine göre ama kim kiminle görüşmüş bu görülebilir.sonuçta p2p bağlantı.
Mesela Threema demiş ki bu sızıntıyı da önlemek için, opsiyonel olarak Relay özelliği var, açtığınız zaman threema üzerinden geçmiş oluyor görüşmeler bu sayede threema harici hiçbir bağlantı gözükmüyor trafikte.
bunu da geçtim, giden arama istekleri standart e2e mesajlaşma protokolü üzerinden gidiyor sonrasında p2p bağlantı kuruluyor yani adamlar bu kadar detay düşünmüşler bu kısımları.
ve yine diğerleri gibi tüm kaynakları opensource, sadece sunucu altyapısını opensource etmiyorlar onu da zaafiyetlere sebep olmamak için paylaşmadıklarını söylüyorlar. ha sunucuya da mı kıllandın, adam diyor ki ver parayı geleyim senin altyapına sistemi kurayım kendi kafana göre at koştur.
meraklısı için; https://threema.ch/press-files/2_documentation/cryptography_whitepaper.pdf
şimdi bu adamlar bu kadar profesyonel yaklaşıyorlar olaya. gidipte ücretsiz diye şaibeli programları mı kullanalım.
-
cankol bunu yazdıPrometheus bunu yazdıcankol bunu yazdıPrometheus bunu yazdıcankol bunu yazdı
Ya hiç kimse dur şunlara bi uygulama yapayım da bedava görüşüp konuşsunlar bütün altyapıyı da kendim hayrına kurayım demez. dünyanın parasını harcıyor adamlar bu sistemleri ayakta tutmak için ve ücretsiz olarak size sunuyor.
hala daha da bu uygulamaların güvenli olabileceğini düşünen savunanlar var. wikileaks'te birçoğu ifşa oldu zaten bunların hele ki telegram signal vs.
https://github.com/enchip/bilgi-guvenligi/blob/master/Anlık%20Mesajlaşma.md bir arkadaş burada kısaca kıyas yapıp belirtmiş mesela.
bu üç şirket dışında profesyonelce kendini ispatlamış bir uygulama şu an piyasa da yok olamaz da zaten. adam ya parayla sana satıcak, ya da senin bilgilerini parayla satıcak. sistemin dönmesi için bunlar şart.
telegra ve signal için detay var mı? haberim yoktu benim.
https://wikileaks.org/ciav7p1/
https://sputniknews.com/world/201703071051348537-cia-wikileaks-telegram-whatsapp/
bunun telegramın gücenliğiyle ne alakası olduğunu anlayamadım. hacklenen telefonlarda falan diyor. şifreleme yapılmadan önce diyor. yani mesajını ekrana yazarken okuyor belki? belki klavye uygulaman üzerinden okuyor? telegram napsın? bana "şu şu şu gibi uygulamaları takip edebilirler mesela" demiş de verdiği örnekleri ismen fazla ciddiye almışız gibi geldi.
aradım taradım bulamadım hocam tam açıklamalı olanı da wikileakste ilk açıklandığında okumuştum. yani ücretsiz olması numara istiyor olması vs bunlar en basit kıllanma sebeplerim ki üstüne bir sürü şaibe de çıktı.
silent circle kendi sitesinde bir tablo yapmış şu şekilde onu atayım birde,
Bize böyle anonim olan, birşeyleri şart koşmayan uygulamalar lazım. Altyapı olarak bu bahsettiğim silent circle ve wire her ne kadar güçlü olsa da, bu şirketlerin de ABD'de ofisleri bulunmakta ki bu da ABD'nin istediği an bu şirketlerden veri alabilecekleri anlamına gelir.
yoksa silent circle kendi yazılımı gömülü özel cihaz satışı dahi yapıyor.
Ben sırf bu yüzden içlerinden threemayı seçmiştim sadece isviçrede ofisleri var.
adam uygulamada telefon istemiyor eposta istemiyor hiçbir şey istemiyor, random bir ID veriyor onunla istediğinle görüş. Mesela wire'da numara istiyor.
birde örnek veriyorum, p2p bir uygulamadan birisini aradınız sesli/görüntülü burada karşı tarafın IP bilgilerine erişebilirsiniz. Evet araya girip kimse içeriği dinleyemez şifrelemesine göre ama kim kiminle görüşmüş bu görülebilir.sonuçta p2p bağlantı.
Mesela Threema demiş ki bu sızıntıyı da önlemek için, opsiyonel olarak Relay özelliği var, açtığınız zaman threema üzerinden geçmiş oluyor görüşmeler bu sayede threema harici hiçbir bağlantı gözükmüyor trafikte.
bunu da geçtim, giden arama istekleri standart e2e mesajlaşma protokolü üzerinden gidiyor sonrasında p2p bağlantı kuruluyor yani adamlar bu kadar detay düşünmüşler bu kısımları.
ve yine diğerleri gibi tüm kaynakları opensource, sadece sunucu altyapısını opensource etmiyorlar onu da zaafiyetlere sebep olmamak için paylaşmadıklarını söylüyorlar. ha sunucuya da mı kıllandın, adam diyor ki ver parayı geleyim senin altyapına sistemi kurayım kendi kafana göre at koştur.
meraklısı için; https://threema.ch/press-files/2_documentation/cryptography_whitepaper.pdf
şimdi bu adamlar bu kadar profesyonel yaklaşıyorlar olaya. gidipte ücretsiz diye şaibeli programları mı kullanalım.
haklısın hocam yani sonuçta bi ürüne para vermiyorsak ürün biziz demektir. ama öyle üst düzey bibeklentimiz yok son kullanıcı olarak. bizi mal gibi kullanmasın yeter. diğer yandan kullanıcı sayısı olarak whatsappa mecburuz örneğin. bahsettiğin kadar özel çözümlere girince işler belli bir gruba özelleşiyor. büyük şirketler için bence şart eğer ticari sırlarının çalınma tehlikesi varsa. özellikle savunma sanayi mutlaka kendine özel çözümler buluyordur. bu memleketin normal insanları olarak bizim derdimiz fişlenmemek. google facebook bizi fişliyor big data içinde çorba oluyoruz bu kimsenin hoşuna gitmez.
-
Prometheus bunu yazdıcankol bunu yazdıPrometheus bunu yazdıcankol bunu yazdıPrometheus bunu yazdıcankol bunu yazdı
Ya hiç kimse dur şunlara bi uygulama yapayım da bedava görüşüp konuşsunlar bütün altyapıyı da kendim hayrına kurayım demez. dünyanın parasını harcıyor adamlar bu sistemleri ayakta tutmak için ve ücretsiz olarak size sunuyor.
hala daha da bu uygulamaların güvenli olabileceğini düşünen savunanlar var. wikileaks'te birçoğu ifşa oldu zaten bunların hele ki telegram signal vs.
https://github.com/enchip/bilgi-guvenligi/blob/master/Anlık%20Mesajlaşma.md bir arkadaş burada kısaca kıyas yapıp belirtmiş mesela.
bu üç şirket dışında profesyonelce kendini ispatlamış bir uygulama şu an piyasa da yok olamaz da zaten. adam ya parayla sana satıcak, ya da senin bilgilerini parayla satıcak. sistemin dönmesi için bunlar şart.
telegra ve signal için detay var mı? haberim yoktu benim.
https://wikileaks.org/ciav7p1/
https://sputniknews.com/world/201703071051348537-cia-wikileaks-telegram-whatsapp/
bunun telegramın gücenliğiyle ne alakası olduğunu anlayamadım. hacklenen telefonlarda falan diyor. şifreleme yapılmadan önce diyor. yani mesajını ekrana yazarken okuyor belki? belki klavye uygulaman üzerinden okuyor? telegram napsın? bana "şu şu şu gibi uygulamaları takip edebilirler mesela" demiş de verdiği örnekleri ismen fazla ciddiye almışız gibi geldi.
aradım taradım bulamadım hocam tam açıklamalı olanı da wikileakste ilk açıklandığında okumuştum. yani ücretsiz olması numara istiyor olması vs bunlar en basit kıllanma sebeplerim ki üstüne bir sürü şaibe de çıktı.
silent circle kendi sitesinde bir tablo yapmış şu şekilde onu atayım birde,
Bize böyle anonim olan, birşeyleri şart koşmayan uygulamalar lazım. Altyapı olarak bu bahsettiğim silent circle ve wire her ne kadar güçlü olsa da, bu şirketlerin de ABD'de ofisleri bulunmakta ki bu da ABD'nin istediği an bu şirketlerden veri alabilecekleri anlamına gelir.
yoksa silent circle kendi yazılımı gömülü özel cihaz satışı dahi yapıyor.
Ben sırf bu yüzden içlerinden threemayı seçmiştim sadece isviçrede ofisleri var.
adam uygulamada telefon istemiyor eposta istemiyor hiçbir şey istemiyor, random bir ID veriyor onunla istediğinle görüş. Mesela wire'da numara istiyor.
birde örnek veriyorum, p2p bir uygulamadan birisini aradınız sesli/görüntülü burada karşı tarafın IP bilgilerine erişebilirsiniz. Evet araya girip kimse içeriği dinleyemez şifrelemesine göre ama kim kiminle görüşmüş bu görülebilir.sonuçta p2p bağlantı.
Mesela Threema demiş ki bu sızıntıyı da önlemek için, opsiyonel olarak Relay özelliği var, açtığınız zaman threema üzerinden geçmiş oluyor görüşmeler bu sayede threema harici hiçbir bağlantı gözükmüyor trafikte.
bunu da geçtim, giden arama istekleri standart e2e mesajlaşma protokolü üzerinden gidiyor sonrasında p2p bağlantı kuruluyor yani adamlar bu kadar detay düşünmüşler bu kısımları.
ve yine diğerleri gibi tüm kaynakları opensource, sadece sunucu altyapısını opensource etmiyorlar onu da zaafiyetlere sebep olmamak için paylaşmadıklarını söylüyorlar. ha sunucuya da mı kıllandın, adam diyor ki ver parayı geleyim senin altyapına sistemi kurayım kendi kafana göre at koştur.
meraklısı için; https://threema.ch/press-files/2_documentation/cryptography_whitepaper.pdf
şimdi bu adamlar bu kadar profesyonel yaklaşıyorlar olaya. gidipte ücretsiz diye şaibeli programları mı kullanalım.
haklısın hocam yani sonuçta bi ürüne para vermiyorsak ürün biziz demektir. ama öyle üst düzey bibeklentimiz yok son kullanıcı olarak. bizi mal gibi kullanmasın yeter. diğer yandan kullanıcı sayısı olarak whatsappa mecburuz örneğin. bahsettiğin kadar özel çözümlere girince işler belli bir gruba özelleşiyor. büyük şirketler için bence şart eğer ticari sırlarının çalınma tehlikesi varsa. özellikle savunma sanayi mutlaka kendine özel çözümler buluyordur. bu memleketin normal insanları olarak bizim derdimiz fişlenmemek. google facebook bizi fişliyor big data içinde çorba oluyoruz bu kimsenin hoşuna gitmez.
hiç kimsenin fişlemesi esasında sorun değil dünyada bu işi yapmayan devlet yok çünkü. örnek veriyorum bip kullanıyoruz bipten ben birisine sövdüm saydım haa bu buna sövmüş dur alalım diye birşey yok. istediğin kadar filtre kur bir halta yaramaz çünkü adli delil değil.
Ama ben tutupta mahkemeye başvurursam tabiki de bip elindeki datayı paylaşıcak o zaman delil görevi görecek. ki o kadar güvenilen Facebook hatta güvenlik konusunda FBI'a bile direnen Apple dahi türkiye ile veri paylaştı/paylaşıyor adli konularda. Daha da üst düzeyde durumlarda devletler parasını ödeyerek alıyor verileri.
Mesela FBI'a Apple verileri vermediğinde parasıyla Israilli Cellebrite şirketi sayesinde aldılar verileri. bu arada, Merkezi ABD görünen Apple, Google ve Facebook gibi platformların backdoor'u her zaman Israilli şirketlerdedir ve parayla satarlar bunları. En bilindik iki Şirkette Cellebrite ve NSO Group'tur vaktiniz olursa bunları da araştırın derim.
Herkesin içindeki kaygı şu, ulan çükümüzü bu kıza atıyoruz ama yarın karşımıza çıkmasın rezil olmayalım, ya da kanka akşam kuru getirsene diye mesaj atınca ulan bipten gönderdik acaba polis izliyor mudur, herkesin esasında ortak derdi bu. Yoksa iletişim kuran insanların %95i kozmik gizlilikte şeyler görüşmüyorlar.
Şahsi kullanımım, görüntülü görüşme için bip kalite ve kota konusunda çok iyi olduğu için onu kullanıyorum, genel gevezelik sohbet muhabbette. Whatsapp herkes kullandığı için mecburiyetten kullanıyorum,gruplar vs.
Telegram, belirli başlı grupları takip etmek için kullanıyorum.
Ama yakın çevremde threema kullanıyorum, sesli görüşmeler dahil.
-
TheM4D bunu yazdırakkoc bunu yazdıNoktaliVirgul bunu yazdı
Şöyle bir uygulama geldi aklıma:
Bendeki program client içinde private key üretecek, bu key server'a vs gitmeyecek.
Sen, beni listene eklemek için ya elle o priv key'i gireceksin yada benim telefonumdaki o priv key'i qr kod ile okutacaksın. Yada açık verme pahasına o qr kodu whatsapp,fb vb bir yöntemle resim olarak paylaşacaksın. Tamamen kişiye kalmış.
Dezavantajı: Güvenilir kullanmak isteyen iki kişi birbiriyle fiziki olarak görüşmesi gerekecek (kişi listesine eklemek için)
Avantajı: Tüm bilgiler end-to-end şifreleme olacağı için araya giren okuyamayacak.
Yazılımcı değilim ama çalışır mı bu yöntem?
anlatığın PGP gibi başladı ama tek fark, private key'i asla paylaşmaman gerekir. Public key paylaşılır. Whatsapp private key'i kendi serverina yedekliyor ki tek sıkıntı o. Yeni bir telefona kurulum yaptiğinde güvenli olarak o private key'i senin telefonuna indirip yeni gelen havadaki mesajlarin acilabilmesini sağlıyor. tabi bu iyi niyetli anlatım. Kötü niyette ise bu private key ile sana gelenmesajlari okuyabiliyor.
Public key ile encryption edilen veri sadece private key ile acılır. Private key ile encryption edilen veri de public key ile acilir (ki diğer key herkezde oldugu için bu sifreleme değil, imzalama diye geçer. mesajin senden geldiğinden emin olunur.) end2end de aslında ayni yapıyı kullanır ufak nüyanslar var arada.
Abi private key whatsapp serverlarında tutulmuyor yanlışın var. Eğer öyle olsaydı çoktan insanlar çıldırmıştı. Sohbetlerdeki kelimeleri reklam vs. amaçlı topluyor dersen tamam derim de end-to-end encryption'un güvenliğini yok edecek bir şey yapmıyorlar şuanlık. Hatta bir örnek vereyim, yeni telefondan giriş yapınca doğrulama kodun değişiyor karşı tarafta, uyarı gidiyor karşı tarafa. Yani senin private key'in yeniden oluşturuluyor, sunucuya public key'in yükleniyor. Private key'in yüklenmediği ispatlanabilir ama uygulama üzerinde reverse engineering gerekli ya da internet trafiğinin incelenmesi gerekli.
web whatsapp a mesaji iletmek için priv key'in aktarılması gerekmiyor mu ?
-
https://play.google.com/store/apps/details?id=eu.siacs.conversations
Buradan birşey çıkar mı ? Uygulama şuan ücretsiz.
-
http://www.cs.bilkent.edu.tr/~ozan.karsavuran/CS470/slides/CS470.24.IMsecurity.pdf
cryptocat başarılı demiş.
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla