Es muss definitiv eine Lösung her, die zu 100 % funktioniert und es dem Benutzer ganz einfach ermöglicht, die Chatkontrolle zu umgehen. Dieses Gesetz ist einfach unfassbar!
Das mit „einfach“ ist das Problem.
Der Ansatz hier die Messengerkommunikation zuerst in einem zweiten App zu verschlüsseln und entschlüsseln, degradiert den eigentlichen Messeger zum reinen Transport-App. Aufgrund der in Smartphone-Betriebssystemen implementierten App-Trennung untereinander (Sandbox, Jail) wird sich das Ganze nicht so implementieren lassen, dass Du eine zweite App hast in der Du wie bei einem Messenger arbeitest und direkt versenden und empfangen kannst. Es wäre vom Ablauf vermutlich so wie ich es verstanden habe wie
- In einer App wie Toolicode wir der Inhalt einer Nachricht erstellt und der Empfänger festgelegt
- Die App verschlüsselt die Eingaben und erzeugt verschlüsselte Datei
- Die App übergibt die Datei über Teilen an die Messenger App der Wahl, man wählt bei der Übergabe erneut den den Empfänger für die Datei aus und verschickt die Datei über den Messenger
- Der Empfänger empfängt die Datei und teilt diese wieder mit derselben App wie Toolicode um diese lesen zu können
- In der App wird der Inhalt entschlüsselt und kann gelesen werden.
Bei einer Antwort geht es dann wieder umgekehrt, usw.
Vorteil: Ich könnte mit derselben Verschlüsselung auf beliebigen Kanälen kommunizieren (beliebige Messenger, E-Mail oder auch Dateiupload/Download-Dienste)
Nachteil: Es gibt immer einen Medienbruch bei dem der Anwender zwischen Apps hin- und her wechseln muss. Bei einer Briefkommunikation die in einer sehr niedrigen Frequenz erfolgt für mich persönlich vielleicht noch denkbar. Bei einem Chat / Messenger hingegen wo man ja eher ein Gespräch in Echtzeit mit Dutzenden von Kommunikationsschritten führt, für mich undenkbar.
Meiner Meinung nach werden Benutzer die nicht explizit etwas bewusst vertraulich halten wollen eher auf Verschlüsselung Ihrer Kommunikation verzichten und kehren damit in die Zeit vor den Snowden Veröffentlichungen zurück.
Im Prinzip ist es dasselbe wie beim Thema E-Mail-Verschlüsselung. Wenn es nicht automatisiert einfach bei der normalen Nutzung umgesetzt ist wird es sehr wahrscheinlich keine relevante Verbreitung erfahren. Genau das ist es, was die zumeist geschlossenen Messenger wie Signal, Threema und WhatsApp geschafft haben - nahezu jeder nutzt Messenger und kommuniziert automatisch verschlüsselt.
Eigentlich kommt man aus der Problematik vermutlich nur heraus, wenn man auf verteilte, verschlüsselte Messenger setzt und jeder Dienstebetreiber unterhalb der Vorgaben für eine Chatkontrolle bleibt - im Zweifel muss dann jeder seinen eigenen Messenger-Server betreiben.
Ok aktuell kommt nach der texteingabe in TooliSafe und senden, die Auswahl der app, wie whatsapp, der Chatpartner, und dann send, also drei Schritte zusätzlich. Beim Empfang geht es direkter, da eine Datei mit tsafe automatisch mit der richtigen App geöffnet wird. Also nur ein klick auf die Datei, dann kommt der dekodierte text. Aber ich versuche mal, ob ich im Kontakt den Kanal mit ablegen kann. Also das die drei zusätzlichen Schritte entfallen. Das wäre eine gute Optimierung, Danke für die Idee.
Macht nicht Autocrypt sowas?
Ich verstehe die Vorteile des Konzepts im Kontext Chatkontrolle noch nicht wirklich, um ehrlich zu sein.
Gegen Chatkontrolle 1.0 egal, weil wenn ich mich da schützen will, nehme ich niederschwellig Signal, und wenn die anderen mitmachen auch was obskureres mit E2E. Wenn ich andere mit zu Toolisafe nehmen kann, dann doch sicher auch zu Matrix oder sowas.
Gegen Chatkontrolle 2.0 auf App-Ebene (also… WhatsApp?) mag es helfen, aber wenn es Dir gelingt, lokal unbehelligt verschlüsseln zu können, sehe ich noch nicht warum es nicht auch FOSS-Clients für bestehende Messenger wie Matrix geben soll, die ebenfalls nicht scannen - wir werden sehen (bzw. hoffentlich nicht…).
Und bei Chatkontrolle 2.0 auf OS-Ebene ist vermutlich ohnehin jede Aktion auf dem Gerät als kompromittiert zu sehen, oder?
@Emmeline: Chatkontrolle 1.0 erlaubt es den Anbietern, wie WhatsApp, Signal und co auf eigenen Wunsch die Chats der auser nach Schlüsselworte zu durchsuchen. Aber ob das wirklich freiwillig ist? Niemand arbeitet gratis. Und kein Anbieter will freiwillig seine Kunden spionieren. Und eigentlich sind die Chats ja kodiert, also nur unkodierte Backups könnten gescannt werden.
Diesen Zustand haben wir jetzt, also unklar ob irgendjemand irgendwas macht. Villeicht ja villeicht nein.
Chatkontrolle 2.0 ist etwas anders. Da müssten die Anbieter in ihrer App noch vor der Ende zu Ende Kontrolle die Chatkontrolle machen. Und nicht freiwillig sondern gezwungen.
So das TooliSafe macht jetzt eine eigene Ende zu Ende kodierung und erzeugt eine Datei mit .tsafe, Den key hast nur Du. Diese Datei wird mit irgendwas übertragen, egal ob WhatsApp, Signal, Threema. Und egal ob Chatkontrolle 1.0 oder 2.0, niemand kann die tsafe Datei lesen da nur Du den key hast. Und ds Whatsapp verbieten würde Dateien zu übertragen, glaube ich nicht. Und wenn dann nehmen wir halt was anderes. Die Chatkontrolle 2.0 würde bei der Eingabe des Textes in WhatsApp passieren in der App. Also wären wir geschützt mit TooliSafe.
Und ich passe auf, sollten die zusätzlich die Tastatur von Google scannen, so machen das professionelle Spionageprogramme, dann mache ich eine eigene Tastatur. Das kriege ich hin und ist bereits auf meiner Wunschliste.
Ja, aber das könnte bei Open Source Apps doch rausgepatcht werden? Dann gehen wir alle zu Matrix. Wenn ich Leute zu Toolisafe überreden kann, dann zu Matrix allemal.
Ja, außer wenn statt der Chatanbietenden die OS-Anbietenden verpflichtet werden…
Top!
@Emmeline, ok ich habe mal geschaut was Matrix anders macht. Also vermutlich müssten die in der offiziellen GoogleApp auch Chatkontrolle 2.0 einführen. Aber da openSource wird es dann freie Apps bei F-Droid geben, die irgend ein Entwickler angepasst hat. Aber halt dann auch gefährlich, wer weiß was der sonst so reingemacht hat.
In TooliSafe wird keine Chatkontrolle eingeführt werden müssen. Die App erzeugt nur eine kodierte Datei mit eigenem Key. Die Datei kann auch lokal abgelegt werden oder halt mit WhatsApp und Co übertragen werden. Die Scanner von WhatsApp sehen dann nur Hexzahlen.
Und zur Not kann ich auch noch die tsafe Datei in jpg umbenennen, sollte WhatsApp keine beliebige Dateien mehr erlauben.
Weiß denn jemand, ob schon jetzt mit Chatkontrolle 1.0 die unkodierten Backups auf Schlüsselwörter gescannt werden? Wer gibt die Schlüsselwörter vor und wer bekommt die Ergebnisse?
Die Art/der Inhalt einer Datei bestimmt sich über deren Erweiterung?! Das ist ja beste MS-DOS/Windows-Manier… 
Was ist aber, wenn schon auf Betriebssystem Ebene ausgelesen wird? Dann nützt auch TooliSafe nichts oder sehe ich das falsch? Wenn auf Betriebssystem Ebene ausgelesen wird, dann kann man theoretisch nur auf einem Rechner ohne Internet verschlüsseln und dann per Stick auf den auf einen Rechner mit Internet übertragen. Aber wer macht das schon.
Ketzerisch gesagt: das weiß ich bei TooliSafe auch nicht was da reingemacht wurde ;-), und könnte es auch mit OpenSource nicht prüfen.
Ich hatte an anderer Stelle bereits darauf verwiesen:
In dieser Weise könnte man auch Kryptographie i.A. sanktionieren. Wie „sinnvoll“ das dann am Ende ist, und vor allem wie überhaupt tatsächlich sinnvoll (verpflichtend) umsetzbar(*) ist, mag eine andere Frage sein.
Und dass dies kein Hirngespinst allein ist, zeigt ja der ursprüngliche Fall. Da sollte sich bei genügend „geistiger Kapazität“ ( ) und entsprechender Motivation auch die angedachte Erweiterung finden lassen.
(*) Man könnte z.B. einfach die weitere Entwicklung und den Einsatz von Kryptographie (Algorithmen und SW) in betreffenden Ländern juristisch einschränken (und eventuell sogar unter Strafe stellen). Dann könnte sich zwar jeder (wie z.B. @TooliCode) noch seine eigene „Kryptographie“ selbst „basteln“, aber das ist nach allgemeiner Auffassung keine „gute“ Kryptographie (allgemein offen gelegte, geprüfte, für sicher befundene,… Kryptographie).
Sorry, hatte ich überlesen.
Das ist eine interessante Idee. Ich habe das TooliSafe in c# Maui .Net 9.0 gemacht. Ich kann und habe auch vor noch eine Version für Windows zu machen. Dann wäre das eine Idee. Toolisafe am Pc und die kodierte Datei dann wieder per WhatsApp übertragen. Also ich mache mir auch sorgen das die Eu unkontrolliert in meinem OS rum pfuschen will. Villeicht. Sowas würde ich einfach in einer freien Demokratie mit gewählter Regierung nicht erwarten. Was ich nicht weiß, villeicht würde Chatkontrolle 2.0 in der Tastatur abgreifen. Und da kann ich noch was machen.
und wo bitte soll/muss er für kaufen? Achja…
Sorry, so wird dat nix. FairEmail und NetGuard gibt es auch dort, aber hält auch via F-Droid und Github, und es ist eine alternative Zahlung möglich.
Ebenso stört mich das „natürlich gibt es Werbung“ 
Ich bin, zumindest im momentanen Status, erstmal raus.
Für Android gibt auch noch die quelloffene App „Oversec“, die einem ähnlichen Prinzip folgt.
Oversec is an overlay on top of other apps that transparently sends encrypted text, and shows decrypted text, in place."
Es gibt mehrere Ableger (forks) von Oversec, da das Ursprungsprojekt seit 2019 keine Weiterentwicklung erfahren hat. Zumindest beim „WeiguangTWK“-Fork gab es im letzten Monat ein Update.
Links:
- Projektseite: https://oversec.io
- Allgemein: https://www.freie-messenger.de/serverlos/#oversec
- Github-Forks: https://github.com/oversecio/oversec/forks
@ChrisK : Also wärst Du bereit die App zu kaufen aber willst Google nicht als Zahlungsmedium nutzen? Obwohl Google mit Google Play Store der absolute Marktführer ist?
Das wundert mich, weil hätte ich die App nur bei FDroid veröffentlicht, wäre es genau anders rum.
Und Werbung ist richtig und auch wichtig. Es gibt werbefinanzierte Apps und Kostenpflichtige Apps. Und nur wer ganz groß ist, wie WhatsApp hat andere Einnahmen. Also wer nicht zahlen kann oder zahlen will muss sich halt die Werbung anschauen. Ich versuche aber soweit es geht auf agressive Werbung zu verzichten. Also ich habe nur ein Minibanner, das nicht stört und 5s Vollbildwerbung wer ein Premium Feature dazu haben will. Also zum Beispiel eine Sprachnachricht verschicken.
Ich versuche noch das Handling soweit zu vereinfachen, daß kein wirklicher Unterschied zu WhatsApp o. a. zu bemerken ist. Also ähnliches Handling und genau so viele klicks aber halt zusätzliche Ende zu Ende Kodierung gegen Chatkontrolle.
wenn ich die App kaufen wollen würde, müsste zwingend eine andere Zahlungsmöglichkeit gegeben sein, da ich den PlayStore nicht nutze.
Ein Beispiel, wie es anders umgesetzt wird, brachte ich ja schon.
Abgesehen davon ist ein Googlezwang in einem Datenschutzforum auch irgendwie… nunja…
Ich verstehe es immer noch nicht.
Wenn ich eine verschlüsselte Nachricht/Datei o.ä. verschicken wollen würde und meine Gesprächspartnerin das mit lokaler Verschlüsselung wirklich weniger umständlich fände als Wechsel zu Matrix oder SimpleX, warum würde ich dann Toolisafe kaufen und nicht PGP oder sowas nutzen, das es schon (quelloffen) gibt?
Welches Problem löst Toolisafe, für das es nicht bereits eine Lösung gibt?
Vielleicht verstehe ich da was nicht richtig, aber so wie ich es bisher verstehe, sehe ich keinen Benefit in Pre-Encryption bei Client-Side-Scanning.
- Fall Chatkontrolle 1
- Apps können freiwillig Scannen, aber nicht das OS
- In diesem Fall ist es einfacher den Kommunikationspartner zu einer App zu überreden die nicht scannt, als zu einer App zu überreden, die Pre-Encryption macht
- Waren Ende-zu-Ende-verschlüsselte Apps vom Scanning nicht ohnehin ausgenommen?
- Fall Chatkontrolle 2
- Das OS scannt
- Wenn das OS scannt, bringt einem Pre-Encryption auch nichts und die einzige Lösung ist ein OS-Wechsel
Nun Chatkontrolle 1.0
Hier ist es jedem Messanger Anbieter frei gestellt zu scannen. Aber scannen ist nur mit den unkodierten Backups möglich. Und hier bringt TooliSafe wirklich etwas. Denn jede Datei, Text wird vor dem Transport mit eigenem Kay kodiert. Ein Wechsel zu Matrix oder Signal bringt hier wenig, da auch diese anbieter scannen dürfen. Was niemand weiß Wie bringt die EU aktuell einen Anbieter dazu zu scannen? Wer übergibt die Schlüsselworte? Wer bekommt die Ergebnisse? Das ist aktuell verschleiert.
Chatkontrolle 2.0
Hier ist die technische Umsetzung noch nicht ganz klar. Wahrscheinlich werden die Anbieter gezwungen bei der Texteingabe zu scannen. Oder über Tastaturteiber. Oder im OS. Für Fall 1 oder 2 würde auch hier TooliSafe helfen. Und da TooliSafe kein Messangerdienst ist, muss TooliSafe NICHT bei der Texteingabe scannen.
Leider hat sowohl die US Behörden als auch die EU Kommision ein Interesse daran alle Chats zu kontrollieren. Und vielleicht die Richter, Meinungsfreiheit Liebende etwas dagegen. Auch den Unternehmen, die das umsetzen müssen, ist das sicher auch nicht recht. Mal sehen wer gewinnt.