WhatsApp non sarà mai sicura: parola di Paul Durov CEO di Telegram. Ecco il motivo

[zappy]

Originariamente inviato da Erotavlas_turbo

...Questa è nuova e non la conoscevo. Da quanto riportato sembra sia possibile ottenere il contenuto delle chat dove sono presenti i bot a patto di riuscire a eseguire un attacco MiM contro il protocollo HTTPS/TLS.

beh, non mi sembra niente di incredibile: se intercetti l'https, mi pare ovvio che leggi cosa passa. Telegram, browser, posta o qualunque altra cosa.

Come descritto nell'articolo ci sono 3 vie per avere un backup delle chat:

in effetti la cosa che più mi secca di telegram è non poter spostare in locale e rimuovere dal cloud le vecchie chat. Un po' come spostare il locale la posta imap...

[Erotavlas_turbo]

Originariamente inviato da zappy

in effetti la cosa che più mi secca di telegram è non poter spostare in locale e rimuovere dal cloud le vecchie chat. Un po' come spostare il locale la posta imap...

In realtà puoi fare entrambe le cose. Per quanto riguarda il backup delle chat puoi farlo da desktop.

Per quanto riguarda la rimozione delle chat dal cloud, a partire dalla versione 5.5 mobile e 1.6 desktop puoi cancellare qualunque contenuto nelle chat per te e anche per il tuo interlocutore (questo ha fatto molto discutere messaggi 24-27 marzo). Nei gruppi puoi cancellare tutti i tuoi contenuti. Entrambe le funzioni sono valide per un tempo illimitato e non più solo per 48 ore come in precedenza.

[zappy]

Originariamente inviato da Erotavlas_turbo

In realtà puoi fare entrambe le cose. Per quanto riguarda il backup delle chat puoi farlo da desktop.

Per quanto riguarda la rimozione delle chat dal cloud, a partire dalla versione 5.5 mobile e 1.6 desktop puoi cancellare qualunque contenuto nelle chat per te e anche per il tuo interlocutore (questo ha fatto molto discutere messaggi 24-27 marzo). Nei gruppi puoi cancellare tutti i tuoi contenuti. Entrambe le funzioni sono valide per un tempo illimitato e non più solo per 48 ore come in precedenza.

grazie delle info
però intendevo esportarle in locale e poter continuare a consultarle da locale tramite l'app.

[Erotavlas_turbo]

Originariamente inviato da zappy

grazie delle info
però intendevo esportarle in locale e poter continuare a consultarle da locale tramite l'app.

Una volta esportate, le chat in HTML sono disponibili tramite qualunque browser.

[lucaf]

Originariamente inviato da Growan

Tralasciando le solite war, quello che fa ridere è che pensiate che nel 2019 nessuno sappia niente di voi, che siate sicuri, e che esista la privacy

La cosa buffa è che cotanta lucida e disincantata analisi socio politica viene fatta da una persona che, molto probabilmente, usa un servizio come WA, un servizio che è palesemente illegale, in quanto permette al software che gestisce il servizio stesso di accedere e compiare i dati della rubrica, dati privati che non appartengono al possessore del telefono in cui viene installato WA (e tutti software analoghi).
Tutto questo comporta da pare di chi lo installa il rendersi responsabile del reato di appropriazione indebita (reato penale).
Facile fare il "disincantato" con il c.... emh.... con i dati degli altri.....

ps
Ed è molto comodo accusare la società, le multinazionali, di predare i nostri dati quando la responsabilità grava sulla libera scelta di ognuno di noi.
Troppo facile fare il disincantato per lavarsi la coscienza.

[Tasslehoff]

Originariamente inviato da Erotavlas_turbo

Tutti i software hanno problemi, nessuno lo mette in dubbio. Tuttavia c'è una grande differenza tra poter leggere le chat e il contenuto di tutto il telefono come nel caso della vulnerabilità in oggetto di whatsapp è i difetti di telegram. Non confondiamo.

Assolutamente, però dobbiamo riconoscere che lato Telegram quello della sicurezza e della riservatezza è sempre stato un cavallo di battaglia, è normale che si versi sale sulle ferite nel momento in cui non tutto risulti trasparente o che ci sia qualche falla proprio su aspetti fondanti, non credi?

Per esempio riprendendo due aspetti che abbiamo trattato prima (perdonami ma il tempo che ho a disposizione per seguire il thread è limitato e solo ora ho avuto modo di approfondire):

• il sito ufficiale che hai linkato sostiene che MTProto 2.0 usa SHA-256, ma a me risulta che per la generazione dell'auth key utilizzi anche l'algoritmo SHA-1 (link)
• Riguardo all'autenticazione multifattore, hai perfettamente ragione, l'utente può utilizzare l'email per richiedere il codice di sblocco, ma non è obbligato a farlo.

[matteop3]

Originariamente inviato da Tasslehoff

Mi limito a quotare questa perchè, con tutto il rispetto, è una scemenza.
Una persona è liberissima di fregarsene del diritto alla riservatezza, ma ciò non toglie che questo diritto resti tale e non cambia di una virgola la sua importanza e ogni sforzo possibile per preservarlo.

Riguardo al resto, invito tutti a lasciar perdere le guerre di religione, lo dico da utente della prima ora di Telegram, che fino a poco tempo fa si è sempre rifiutato di installare Whatsapp (in primis per i rapporti con Facebook), ma che in parte ha cambiato parere dopo attente riflessioni e tanta documentazione.

Che Telegram e Whatsapp non garantiscano in pieno la privacy dell'utente è un dato di fatto per tanti motivi, pertanto sappiamo tutti che entrambi andrebbero usati solo per comunicazioni non critiche.
Che abbiamo dei bug è oggettivo (surprise surprise, it's software! ) e francamente trovo infantile che qualcuno utilizzi questa leva per tifare per un software o l'altro.

E' evidente che le feature di base di Telegram siano maggiori (e per questo lo uso come IM primario, in particolare su desktop), basti pensare ai client decisamente più evoluti, alla possibilità di usarlo senza telefono (sebbene sia un uso marginale), ai limiti (in gruppi, allegati etc etc), ai bot (che personalmente trovo utilissimi in ambito lavorativo per notifiche a gruppi di lavoro), API etc etc...
D'altro canto non si può negare che proprio sul versante sicurezza Whatsapp abbia lavorato maggiormente negli ultimi anni, la cifratura end to end di default è una lacuna SPAVENTOSA di Telegram (poi possiamo pedalare nello yogurt sul discorso backup in chiaro di Whatsapp, ma la lacuna rest ), idem la sua TOTALE mancanza nelle chat di gruppo.

Non solo, ci sarebbero molti altri aspetti meno evidenti ma non meno importanti:

• il protocollo di Telegram è in parte basato su SHA1, che francamente è ormai considerato un algoritmo insicuro e facilmente violabile
• l'autenticazione multifattore si basa su sms e quindi un protocollo ideato nel 1975 e considerano insicuro fin dal 2014
• sulla carta il client di Telegram è open source, in realtà quello che viene distribuito sugli store è un binario offuscato, i sorgenti sono drasticamente più arretrati e mancano di parecchie feature. Il server è totalmente closed.
• api insicure che hanno permesso di utilizzare i bot per diffondere malware
• varie dimostrazioni di attacchi mitm, estrazione di utenti convolti nelle conversazioni anche con cifratura e2e e tutte le feature di sicurezza attive,

Io uso prevalentemente Telegram e il 90% dei miei messaggi passano su quel servizio (il fatto di essere rimasto lontano da Whatsapp per tanti anni ha fatto si che tutti i miei contatti pensassero che non lo usassi, e danno per scontato che sia così anche ora ) ma non posso negare di essere piuttosto deluso dal comportamento del team di sviluppo negli ultimi anni, che sembra aver messa da parte gli aspetti più importanti per concentrare i propri sforzi su features assolutamente secondarie, lasciando il versante sicurezza essenzialmente inalterato da tanto, troppo tempo.

Originariamente inviato da andrew04

A parte fare gli applausi a Tasslehoff per il post completo, abbastanza informato ed imparziale, mi sento di aggiungere un paio di cose:

WhatsApp ha implementato lo stesso sistema di Signal, che però è raccomandato da Snowden, tra i tanti, raccoglie meno dati e cosa più importante è completamente open source, scarno di funzionalità si, ma focalizzato in maniera maniacale sulla sicurezza, con tanto di spiegazione tecnica ad ogni implementazione

Quindi se si vuole quello che sembra essere uno tra i migliori disponibili Signal è un'ottima scelta, se si vogliono principalmente funzionalità e comodità Telegram è il top

Personalmente vedo/utilizzo e mi auguro che la diffusione vada in questa direzione:
Telegram come alternativa a Messenger
Signal come alternativa a WhatsApp

Grazie a entrambi ragazzi, ottime risposte e ne condivido le conclusioni.

Personalmente con Signal mi trovo benissimo e, nonostante abbia delle funzionalità in meno rispetto a WhatsApp, a differenza di quest'ultimo non ha la limitazione dell'app desktop vincolata al telefono. Cosa non da poco se si considera che non è basata sul cloud.

[Wikkle]

Originariamente inviato da matteop3

Personalmente con Signal mi trovo benissimo

Curiosità.. ma lo usi tra tuo telefono e tuo tablet?

Già Telegram lo usano in 3 gatti, ma signal ciaoooo

[ilario3]

Secondo me con questa dichiarazione : "in quasi 6 anni di esistenza, Telegram non ha mai riscontrato perdite di dati o falle nella sicurezza come invece accaduto a WhatsApp"
L'ha lanciata.

A breve sentiremo parlare di un Data Breach Telegram

[Erotavlas_turbo]

Originariamente inviato da Tasslehoff

Assolutamente, però dobbiamo riconoscere che lato Telegram quello della sicurezza e della riservatezza è sempre stato un cavallo di battaglia, è normale che si versi sale sulle ferite nel momento in cui non tutto risulti trasparente o che ci sia qualche falla proprio su aspetti fondanti, non credi?

Certo, sarei il primo a smettere di utilizzarlo nel caso fosse rivelato qualcosa di simile alle backdoor di whatsapp, alle perdite di dati di facebook o instagram. Al momento non c'è traccia di una perdita di dati da parte di telegram.

Originariamente inviato da Tasslehoff

[*]il sito ufficiale che hai linkato sostiene che MTProto 2.0 usa SHA-256, ma a me risulta che per la generazione dell'auth key utilizzi anche l'algoritmo SHA-1 (link)

Come puoi vedere qui MTproto v2.0 e qui MTProto v1.0, le due versioni utilizzano rispettivamente SHA-256 e SHA-1 per ottenere hash del messaggio e la chiave per cifrare il messaggio con AES tramite KDF. Tuttavia, per motivi di retro compatibilità auth_key è generato utilizzando SHA-1 in entrambi, è spiegato bene qui e qui. Nessun motivo di preoccupazione.

Originariamente inviato da Tasslehoff

[*]Riguardo all'autenticazione multifattore, hai perfettamente ragione, l'utente può utilizzare l'email per richiedere il codice di sblocco, ma non è obbligato a farlo.[/list]

Certo, sarebbe meglio se fosse obbligatoria. Comunque una volta iscritto a telegram, il codice di verifica per un nuovo dispositivo arriva tramite telegram e non SMS. L'unica necessità via SMS è al momento dell'iscrizione.

[matteop3]

Originariamente inviato da Wikkle

Curiosità.. ma lo usi tra tuo telefono e tuo tablet?

Già Telegram lo usano in 3 gatti, ma signal ciaoooo

Lo uso sul mio telefono e sul mio desktop.

Confermo che difficilmente ci troverai tanti contatti (io, al tempo, proprio nessuno). Io mi sono costruito una base di utenti suggerendolo nel tempo alle persone con cui chatto di più, con le giuste tempistiche e il giusto atteggiamento.

Il risultato curioso di questo approccio è che, nonostante su Signal abbia numericamente molti meno contatti rispetto a WhatsApp e Telegram, è di fatto il messenger che uso di più (e pure con un certo distacco, per numero di messaggi inviati-ricevuti) proprio per il fatto che i contatti più frequenti li ho lì.

E' palese che non necessariamente servono tanti contatti per utilizzare di più uno o l'altro messenger, ma ne è sufficiente il sotto-insieme più frequente.

Altra cosa curiosa. Sebbene svariati contatti lo utilizzino fondamentalmente solo con me, ho riscontrato (non senza un pizzico di soddisfazione) che alcuni amici comuni che ho portato hanno cominciato poi a scriversi tra di loro su Signal ritrovandosi tra i contatti, senza la mia intercessione.

[Wikkle]

Originariamente inviato da matteop3

Lo uso sul mio telefono e sul mio desktop.

Confermo che difficilmente ci troverai tanti contatti (io, al tempo, proprio nessuno). Io mi sono costruito una base di utenti suggerendolo nel tempo alle persone con cui chatto di più, con le giuste tempistiche e il giusto atteggiamento.

Il risultato curioso di questo approccio è che, nonostante su Signal abbia numericamente molti meno contatti rispetto a WhatsApp e Telegram, è di fatto il messenger che uso di più (e pure con un certo distacco, per numero di messaggi inviati-ricevuti) proprio per il fatto che i contatti più frequenti li ho lì.

E' palese che non necessariamente servono tanti contatti per utilizzare di più uno o l'altro messenger, ma ne è sufficiente il sotto-insieme più frequente.

Altra cosa curiosa. Sebbene svariati contatti lo utilizzino fondamentalmente solo con me, ho riscontrato (non senza un pizzico di soddisfazione) che alcuni amici comuni che ho portato hanno cominciato poi a scriversi tra di loro su Signal ritrovandosi tra i contatti, senza la mia intercessione.

Sei un mago in pratica... riusciresti a vendere anche delle scarpe rotte

[mrk-cj94]

ormai ci vorrebbe il simpson's-meme con l'immagine di telegram che picchia whatsapp e un ragazzo/spettatore che urla "stop it" it's already dead"