Das wusste ich so in dieser Weise bisher nicht. Wenn dies wirklich so sein sollte, dann bitte sorry wegen der irreführenden Information.
Aber zumindest wurde das System nicht von außen, sondern nach extra Infiltration von innen gebrochen. Immerhin! Und es ist auch schon fast 10 Jahre alt.
Warum? Ist mir doch egal solange meine Leistung brav bezahlt wird.
Im Ernst, wir alle benutzen unsichere Tools, das Preisschild für Sicherheit hängt so hoch, dass wir ohne Kontakte dastehen würden. Entscheidend ist doch, dass wir uns des Problems bewusst sind (im Unterschied zu Aussagen wie z.B. E2E ist der Goldstandard) und überlegen, worauf wir unser Vertrauen stützen. Das hilft gegen Phishing, Enkel-Trick, und man überlegt zweimal bevor man Credentials oder Geheimnisse auf einem Kanal verschickt. Vielleicht sind Sprachnachrichten doch nicht so schlecht, denn wir erkennen viele enge Kontakte an der Stimme…
Da muss ich dich leider enttäuschen. Mir reichen 10 Sekunden deiner Stimme aus um zumindest deinen Friseur zu überzeugen dir jetzt einen Termin zu machen. KI machts möglich….
Solche Beispiele habe ich bereits erleben dürfen. Beeindruckend! … … … Erschreckend!
Mein echter Friseur würde schmunzeln und den Termin stornieren.
Im Ernst, Stimme allein ist es nicht, der Inhalt muss natürlich auch passen, und das würde er in dem Fall klar nicht.
Das kann natürlich sein, das ist sehr richtig!
Aber um Dich in irgendeiner Weise zu kompromittieren kann es locker reichen.
Nach dem Beispiel, dass einer der großen Präsidenten im TV eine Kriegserklärung äußert…
bin da vermutlich immuner als andere. Warum sind die Menschen im Internet so gutgläubig?
Wir haben schon gestandene ITler die auf fishing und co reingefallen sind
Ich glaube ehrlich gesagt, dass niemand zu 100% davor sicher ist, nicht mal auf irgendeinen Betrug herein zu fallen. Wir sind letztendlich alle nur Menschen. Selbst wenn man alle Maschen kennen sollte, kann ein schlechter Tag und Unaufmerksamkeit ausreichend sein.
100% sicher gibt es bekanntlich nicht. Aber das Problem ist, dass 99% der Anwender überhaupt nicht wissen und verstehen, dass sie belogen werden. Dass die Menschen schlecht sind (zumindest zu viele davon), und dass unser Ausbildungssystem sie weder zur Vorsicht, aber auch nicht zu Wissen und damit Teilhabe führt. Und das eine Generation nach Erfindung des Webs.
Klar, dabei gebe ich dir recht. Es wird zu viel abstraktes Wissen vermittelt statt Dinge, die im Alltag weiterhelfen könnten wie Medienkompetenz, Altersvorsorge ohne Versicherungen usw.
Das der Staat das den Eltern komplett überlässt, die ohnehin schon durch Vollzeitarbeit erschöpft sind und selbst nie all das in der Schule lernen durften, trägt seines dazu bei. (Natürlich alles nur meine subjektive Meinung)
Aber lass uns wieder auf das Thema zurückkommen, die obig genannte Thematik kann einen gesamten anderen Thread füllen 
Ich denke insgesamt hat Mike Kuketz mit der Messenger-Matrix schon einen gut gelungenen Überblick gegeben, der viele Fragen beantworten kann, oder zumindest eine Richtschnur weisen kann.
Ich widerspreche. Das Problem Authentifizierung hat Mike komplett ausgespart, obwohl ich ihn aufgefordert habe, das zu ergänzen.
Okay, ich meinte ja nicht, dass es perfekt ist. Es half mir persönlich schon sehr, überhaupt mal einen Überblick über den ganzen Messenger-Dschungel und viele wichtige Eckdaten zu bekommen. Eine ähnlich gut verständliche Übersicht hatte ich bis dato noch nirgends finden können.
Hattest du den Änderungsvorschlag über den offiziell gebetenen Weg eingereicht? Ich habe es dort nichts gefunden, aber vielleicht habe ich es auch schlicht übersehen.
Dann ergänze doch mal Deine Sicht hier auf das Thema „Authentifizierung bei Messenger“:
Vielleicht können wir dann die Messenger in Mikes Tabelle durchgehen und selbst eine Bewertung hier zusammenstellen, wenn wir ein gemeinsame Bild davon haben, was eigentlich eine saubere Authentifizierung erfüllen müsste.
Sollten wir machen. Im ersten Schritt fände ich es schon hilfreich, wenn wir hinschreiben könnten, was der jeweilige Messenger aktuell verwendet und was die Konsequenzen sind. Z.B. bei WhatsApp und Signal wird laufend die Gerätekonfiguration authentifiziert, ändert sich also bei jedem neuen Endgerät. Bei Signal gibt es dazu eine Benachrichtigung. Bei WhatsApp kann man mit einem neuen Endgerät von vorne beginnen solange man die gleiche Telefonnummer hat, sprich ausleihen der SIM reicht zur Übernahme. Ich denke Du verstehst die Idee. Dummerweise muss man dafür wohl sehr viel ausprobieren. Einige wenige Einsichten stehen in meinem Artikel.
Eine saubere Authentifizierung sollte die Person oder Organisation identifizieren und nicht Geräte. Dazu ist es vermutlich unvermeidlich, dass die Person sich Schlüssel generiert und sichert, bei einer Organisation kann die das für alle Personen tun. Natürlich kann die Person das auch delegieren (z.B. einen - Horror - Google-Account verwenden), aber mir fallen eigentlich keine vertrauenswürdigen IdPs ein (auch nicht Bund-Id).
Matrix kommt dem vermutlich am nächsten, aber auch da sind die Details schlecht dokumentiert, und es ist mir auch nicht gelungen mich mit einem Backupschlüssel am Server neu anzumelden. Vielleicht war die Anleitung nicht gut oder ich zu ungeduldig.. Wofür der Kontakt-Fingerprint steht weiß ich gerade auch nicht (würde dann aber in der Beschreibung im ersten Abschnitt stehen müssen).
Hier gibt genauso eine Benachrichtigung.
Beide bieten die Möglichkeit eines Passwort als zweiten Faktor.
kann man ja ergänzen.
Na dann fange ich mal mit Threema an:
Identität:
Auf dem Endgerät generierte Threema ID basierend auf privatem / öffentlichen Schlüssel.
Threema ID und öffentlicher Schlüssel können optional mit einer Mobilfunknummer und/oder E-Mail-Adresse verknüpft im Threema-Verzeichnis für einen Abgleich des Adressbuch hinterlegt werden.
Die Aufnahme in das Verzeichnis erfolgt nach Zusendung eines Bestätigungscode an die zu verifizierende Adresse und Bestätigung des zugestellte Codes bei Threema durch den Empfänger.
Sicherung / Wiederherstellung / Geräteumzug:
Threema ID, Schlüsselmaterial, Gruppenmitgliedschaften und Kontaktbeziehungen können über den Passwort-Verschlüsselten Threema-Safe auf den Servern von Threema, aber wohl auch anderen Systemen gesichert werden.
Threema ID und Schlüsselmaterial können auch lokal per Passwort-geschützte Datei exportiert werden.
Bei einer Neueinrichtung von Threema können diese Daten bei Kenntnis von Threema ID und dem Verschlüsselungs-Passwort wieder hergestellt werden und somit die Identität bei einem Gerätewechsel mitgenommen werden.
Der Einrichtungsdialog führt einen Anwender zum Einsatz von Threema Safe und warnt vor den Folgen, wenn man auf diese Funktion verzichtet.
Schlüsselaustausch und Vertrauen zwischen Kommunikationspartnern:
Threema ID und öffentliche Schlüssel können in drei Verfahren ausgetauscht werden, die jeweils unterschiedliche Vertrauensstufen darstellen. Diese werden im Rahmen eines Ampel-Systems dem Benutzer klar in der Kontaktliste und in 1-zu-1-Chats dargestellt. Bei Gruppenchats kann der ergänzend Status jedes einzelnen Gruppenmitglieds in der Gruppe nachgesehen werden (schön wäre hier ein Vertrauensdarstellung als kleinster gemeinsamer Nenner aller Gruppenmitglieder).
Grün (drei Punkte) = Kontakt dessen Identität und öffentlichen Schlüssel Sie durch Scannen des QR-Codes persönlich verifiziert haben (QR-Code des öffentlichen Schlüssels)
Gelb (zwei Punkte) = Kontakt, dessen Rufnummer und/oder E-Mail-Adresse in Ihrem Adressbuch enthalten ist. (und der zuvor von Threema durch Zusendung und Bestätigung eines Codes verifiziert wurde)
Rot (ein Punkt) = Unbekannter Kontakt; Dieser hat entweder seine ID weder mit einer Rufnummer noch mit einer E-Mail-Adresse verknüpft, oder Ihr Adressbuch enthält diese Angaben nicht.
Schutz vor Indentitätsübernahme meiner Kontakte:
Wenn ein neue Threema Installation eingerichtet wird, hat diese eine neuen Threema ID und öffentlichen Schlüssel. Diese bedeutet, dass diese Threema ID erst einmal keinerlei Einbindung in bestehende Chats oder Gruppen erhält, sondern eben einfach nur eine neue Threema ID darstellt.
Gelb (zwei Punkte) - eine neue, verifizierte Threema ID eines Kontakts (oder eines erfolgreichen Identitätsdiebstahls)
Rot (ein Punkt) - irgendeine unbekannte Threema ID
Wenn ich das Risiko eines erfolgreichen Identitätsdiebstahl der Mobilfunknummer und/oder E-Mail-Adresse ausschließen möchte, muss ich auf persönlich ausgetauschte Threema IDs bestehen.
Schutz vor Identitätsübernahme meiner Person:
Hier gibt es die Möglichkeit eine Threema ID zu widerrufen, wenn man den Verdacht hat, dass diese in die falschen Hände gelangt ist.
Eine Möglichkeit die Registrierung einer bestimmten Mobilfunknummer oder E-Mail-Adresse bei (temporärer) Übernahme zu unterbinden, z. B. durch ein Passwort, gibt es bei Threema anscheinend nicht.
Das wäre es, was mir zum Thema der Identität in Threema einfällt.
Super Aufschlag und schon 6 Herzen! Für mich bleibt etwas unklar, ob oder unter welchen Voraussetzungen jemand der registrierte Email oder Telefonnummer übernehmen konnte auch die Threema ID übernehmen kann (Ergebnis grün) oder immer auf gelb zurückfällt. Vielleicht liegt es auch daran, dass keiner meiner Kontakte (und damit auch ich nicht) Threema verwendet.
Wenn jetzt weitere vergleichbare Infos zu ihren Messengern beitragen würden könnten wir sehen ob sich eine sinnvolle Klassifikation herauskristallisiert oder erstmal ein Link auf diese Beiträge hier ausreichen muss. Oder wie denkt Ihr?
Du kannst die Threema ID nicht übernehmen, da diese die Darstellung des Schlüssels ist. Du kannst nur eine neue Threema ID mit der E-Mail-Adresse oder Mobilfunknummer im Verzeichnis hinterlegen, wodurch der alte Eintrag überschrieben wird. Aber die bisherige Threema ID und die mit dieser bestehenden Chats kannst Du nicht manipulieren. Hierfür müsstest Du den privaten Schlüssel erlangen.
