Ik ben, net als jullie waarschijnlijk, frequent gebruiker van WhatsApp. Daarnaast gebruik ik sinds 2 jaar Signal voor communicatie waarbij veilige berichten versturen met informatiebeveiliging en/of privacy gevoelige gegevens belangrijk zijn. De laatste tijd komt WhatsApp steeds meer in opspraak en wijken vele gebruikers uit naar alternatieven zoals Signal en Telegram.
Maar hoeveel weet je over deze rivaliserende messaging apps? Als je de krantenkoppen mag geloven, zou je denken dat ze allebei veiliger zijn dan WhatsApp, toch? Ja… en nee. Zoals wel vaker ligt het iets genuanceerder en gecompliceerder. In onderstaand artikel probeer ik duidelijk te maken wat de verschillen zijn zodat je voor jezelf makkelijker de keuze kunt maken welke messenging app het beste bij je past.
Gebruikers stappen over…
Inmiddels heb je vast wel gehoord over een reeks incidenten bij WhatsApp die ertoe hebben geleid dat miljoenen WhatsApp-gebruikers overstappen op alternatieven. Aanleiding waren de privacy labels van Apple die wezen op de uitgebreide metadata die worden verzameld door WhatsApp van haar 2 miljard gebruikers. WhatsApp klaagde en zei dat het oneerlijk was omdat Apple voor eigen iMessage geen privacy label had. Toen Apple dat publiceerde zag dat er voor WhatsApp alleen nog maar slechter uit.
Direct hierna heeft WhatsApp besloten om een verandering van de voorwaarden af te dwingen op al haar gebruikers. Het doel was eigenlijk om zakelijke klanten van Facebook te faciliteren om te kunnen communiceren met en producten/diensten te verkopen aan WhatsApp-gebruikers. Geen echte veiligheid of privacy kwesties vonden ze bij WhatsApp. Maar de verandering was zo onhandig geformuleerd, wat weer leidde tot, in mijn ogen terechte, ophef over het delen van privé-gebruikersgegevens van WhatsApp met Facebook.
WhatsApp probeerde daarna nog een keer het doel van het verzamelen van de metadata te verduidelijken en vervolgens wederom te komen met de redenen voor de gewijzigde servicevoorwaarden. Maar de schade was aangericht. De oorspronkelijke ingangsdatum van 8 februari werd voorlopig verzet naar 15 mei. En nu enkele weken later zijn Signal en Telegram de belangrijkste winnaars van de WhatsApp incidenten van afgelopen maanden. Als je één van de miljoenen bent die al zijn overgestapt of je overweegt dit te doen, dan kan dit artikel helpen beslissen of je moet wisselen naar een nieuwe app.
Ben je echt veiliger als je overschakelt naar Signal of Telegram?
De WhatsApp incidenten en ophef zijn gericht op de verzameling metagegevens: het wie, wanneer en waar van een bericht in plaats van de inhoud ervan. Alhoewel WhatsApp in alle toonaarden ontkent iets privé of gevoeligs te delen met Facebook, verzamelt het bedrijf nog steeds te veel. Waar echter niet aan getwijfeld wordt, is de beveiliging die het op jouw berichten zelf van toepassing is.
End-to-end encryptie
WhatsApp maakte end-to-end encryptie voor eindgebruikers in “messaging land” populair, waar alleen de afzender en ontvangers van een bericht de inhoud ervan kunnen lezen, en verdient hiervoor en voor het verdedigen van het gebruik van dergelijke beveiliging in mijn ogen een grote pluim. Ondanks de inspanningen van Amerikaanse wetgevers om op allerlei manieren backdoors te verplichten. Ja, er zijn voorbeelden van de beveiliging van WhatsApp die in 2019 is aangetast, het meest bekend voorbeeld is door vermeende Israëlische spyware. Dit zijn eigenlijk endpoint-compromissen, aanvallen op een zwakheid van de WhatsApp applicatie op je telefoon meestal in combinatie zonder two-factor-authentication. Dit zijn geen zwakke punten in de eigen infrastructuur van WhatsApp.
Signal opensource
De beveiliging van Signal is beter dan die van WhatsApp. Beide maken gebruik van Signal’s encryptie protocol. Signal is volledig opensource, wat betekent dat het kan worden onderzocht op kwetsbaarheden door security onderzoekers. WhatsApp maakt gebruik van zijn eigen closed source implementatie. Maar beide apps zijn end-to-end versleuteld: met andere woorden jouw berichtinhoud is veilig. De belangrijkste beveiligingszwakte van WhatsApp is de cloud back-up optie, die jouw chatgeschiedenis opslaat, zonder end-to-end-encryptie in de cloud van Google of Apple. Erg handig als je wisselt naar een nieuwe telefoon en je wil jouw chatgeschiedenis meenemen naar je nieuwe telefoon, maar bijna dodelijk als je het zo regelt als Google of Apple dat nu doen in het kader van informatiebeveiliging. Signal biedt om veiligheidsredenen geen gelijksoortige optie.
“Geheime chat” Telegram
De situatie met Telegram is heel anders. Ironisch genoeg verhuizen gebruikers van WhatsApp naar Telegram vanuit een oogpunt van “betere” veiligheid. Telegram biedt standaard echter geen end-to-end encryptie. Er is een “geheime chat” optie, waar een gebruiker kan een bericht een ander met behulp van end-to-end encryptie tussen de twee apparaten en het enigszins omzeilen van de cloud van Telegram. Maar dit geldt helaas niet voor groepen.
Het encryptie probleem maakt het vanuit een puur informatieveiligheidsoogpunt moeilijk om Telegram aan te bevelen. Het ontbreken van standaard end-to-end encryptie geeft gebruikers een vals gevoel van privacy. Technisch gezien heeft Telegram toegang tot al jouw berichten ook die “geheime chat” berichten. Zij worden ook opgeslagen op de servers van Telegram, een back-up van de cloud en waar tevens de sleutel wordt opgeslagen. MTProto, het encryptieprotocol dat door Telegram wordt gebruikt, is eigendom van Telegram en slechts gedeeltelijk opensource. In werkelijkheid vertrouw je Telegram met de inhoud van jouw berichten. Ondanks dat er nog geen ernstige claims en beschuldigen zijn van misbruik door Telegram, is dit toch anders dan een provider die technisch niet in staat is om toegang te krijgen tot jouw inhoud, zelfs als ze dat willen.
Veiligheid grootste zorg?
Als veiligheid jouw grootste zorg is, dan is Signal de beste alternatief van WhatsApp. Signal is bekritiseerd voor het gebruik van telefoonnummers als de primaire ID, hoewel het zegt dat het geen gegevens die zijn gekoppeld aan het nummer te verzamelen. Signal is ook bekritiseerd voor het waarschuwen van gebruikers wanneer een van de contacten van hun telefoon sluit zich aan, bedoeld om virale groei te stimuleren. Nogmaals, Signal zegt dat dit wordt gedaan zonder afbreuk te doen aan de veiligheid, en de matching van nieuwe gebruikers om contacten van een telefoon is geanonimiseerd.
Je zou een nog veiliger alternatief als het Zwitserse Threema ( https://threema.ch/en/ ) kunnen overwegen. Bij deze app is geen telefoonnummer vereist en dus volledig anoniem, maar tegelijkertijd vindt je bijna geen van jouw contacten op het platform.
Sommige informatiebeveiligingsonderzoekers waarschuwen dat elke messaging app die functionaliteit uitbreid klem komt te zitten met zaken als privacy en informatiebeveiliging. Dit zie nu al duidelijk bij WhatsApp maar begint nu ook bij anderen parten te spelen. Bijvoorbeeld: Telegram biedt functies zoals kanalen, dat zijn openbare feeds. Telegram mixt messaging-methoden die end-to-end versleuteld zijn met anderen, zoals normale chats en kanalen, die dat niet zijn. De meeste mensen zullen het verschil niet zien, kiezen mogelijk zonder dat ze dit zelf weten voor een functie die minder veilig is.
Vaarwel WhatsApp: maar wie zit er achter Signal en Telegram?
De meeste van ons kennen de voor en tegens van het gebruik van een Facebook-platform waar WhatsApp al een tijdje deel van uit maakt. Samen met Google vormen ze ‘s-werelds meest data-hongerige bedrijven, maar hoe zit dat met Telegram en Signal?
Telegram
Telegram wordt beheerd en gefinancierd door de Russische sociale media miljardair Pavel Durov, en opereert vanuit geheime locaties. In de beginjaren werd Telegram beroemd als het platform bij uitstek voor dissidenten en demonstranten en, helaas ook voor criminelen en extremisten, die allemaal hun communicatie buiten het bereik van de autoriteiten willen houden. Ondanks het gebrek aan end-to-end encryptie standaard en het feit dat Telegram de decryptie sleutels bezit. Telegram zegt dat ze deze sleutels moet hebben om toegang te krijgen tot berichten en vervolgens alle pogingen van de rechtshandhaving om toegang tot inhoud te frustreren. Dit geeft een goed inzicht in de oorspronkelijke filosofie achter Telegram.
Signal
Signal is opgericht door beveiligingsonderzoeker Matthew Rosenfeld die de beetje obscure naam Moxie Marlinspike gebruikt voor zijn publieke profiel. Tot eind 2018 was het platform vrij niche en tenzij je in een of andere vorm van informatiebeveiliging werkte, was het onwaarschijnlijk dat de app op je telefoon te vinden was. Maar toen verliet Brian Acton, een van de oprichters van WhatsApp, Facebook en investeerde $50 miljoen in Signal om het mainstream en populair te maken. Voordat Brian Acton betrokken was bij de ontwikkeling was Signal vrij onhandig te gebruiken. Maar dat is nu allemaal veranderd. Signal heeft een goede gebruikersinterface en beschikt over, net zoals rivaal WhatsApp, groepsgesprekken, stickers en Voip telefoongesprekken. Eigenlijk is Signal geworden wat WhatsApp voor ogen had voordat ze werden overgenomen door Facebook en er een andere wind ging waaien.
Financiering versnelde groei
Telegram is particulier eigendom en er is sprake van een mogelijke beursgang om de groei te blijven financieren, terwijl Signal opereert als een non-profit stichting. Beide platforms worden nu geconfronteerd met vragen over hoe ze hun versnelde groei zullen financieren. Het runnen van een wereldwijde messenger met tientallen miljoenen gebruikers (Signal) of honderden miljoenen gebruikers (Telegram) is niet goedkoop. Op dit moment komt de financiering van de platformen van rijke investeerders en donaties, maar het is onduidelijk of dat gelijke tred zal houden met de groei.
Telegram is vrij openlijk over deze uitdaging, wat suggereert dat ze mogelijk kosten in rekening gaan brengen aan gebruikers voor premium diensten. De Signal Foundation wordt gefinancierd met donaties en de investering van uitvoerend voorzitter Brian Acton. Het is onduidelijk of die donaties genoeg zullen zijn als Signal zo blijft doorgroeien als de laatste weken.
Zijn Signal en Telegram echt beter voor je dan WhatsApp?
Ja… en nee. Het is ongetwijfeld waar dat de focus van Facebook op het verzamelen en verwerken van gegevens in strijd is met de principes van veilige, privéberichten. Het lijkt ook duidelijk dat de richting voor WhatsApp nu in de richting van commerciële diensten, winkelen en betalingen ligt. Nog zorgwekkender is dat Facebook in zijn lange termijn planning heeft aangegeven dat het WhatsApp platform volledig word geïntegreerd met Facebook, Facebook Messenger en Instagram. Dit is geen goed nieuws voor WhatsApp-gebruikers.
WhatsApp heeft ook op het gebied van functionaliteit zwakke punten. Nog altijd is het ontbreken van echte multi-device opties het belangrijkste zwakke punt. Zowel Telegram als Signal bieden aanzienlijk betere opties dan WhatsApp, met volledige zelfstandige tablet- en desktop-apps.
Maar een messaging-platform is slechts zo nuttig als het aantal gebruikers die er aan deelnemen. Dit was altijd de uitdaging van Signal en Telegram maar met alle negatieve publiciteit rondom WhatsApp lijkt dit opgelost te worden. Gebruikers stappen massaal over. Het lijkt er op dat Signal de race aan het winnen is van Telegram. Dit komt waarschijnlijk mede door de permanente end-to-end encryptie van Signal, een must in mijn ogen. Het negatieve imago van Telegram die populair is het in het criminele circuit en bij de maffia als favoriet communicatie middel zal daar ook vast aan bijdragen.
Afgezien van Apple’s iMessage die beperkt is tot de eigen miljoenen Apple gebruikers, is op dit moment alleen Telegram met 500 miljoen accounts echt een concurrent voor WhatsApp. De enige reden die ik kan bedenken waarom een gebruiker over wil schakelen van WhatsApp naar Telegram is als deze de behoefte heeft om aan Facebook te ontsnappen. Voor extra veiligheid en transparantie hoef je in elk geval niet te doen. Het gebrek aan end-to-end encryptie is in mijn ogen echt een behoorlijk nadeel. Voor mij is dat niveau van bescherming een must, maar misschien is mijn informatiebeveiligingshart aan het spreken. Signal groeide na het slechte nieuws van WhatsApp in januari in één dag van 10 miljoen naar 50 miljoen gebruikers. Op dit moment hebben ze al meer dan 100 miljoen gebruikers en zijn ze een directe serieuze concurrent van Telegram en WhatsApp geworden.
Misschien heeft het er ook wel mee te maken dat Signal’s non-profit status verfrissend is in tegenstelling tot grote ICT bedrijven die op dit moment meer geloven in grootschalige data mining en persoonlijk financieel gewin.
je kunt privacy hebben of je kunt volledige controle hebben over de inhoud van berichten-apps, maar je kunt helaas niet beide hebben.
De experts zijn het er over eens, er zal geen “winner-takes-all” scenario zijn. Waarschijnlijk blijven vele mensen WhatsApp nog lange tijd gebruiken omdat daar hun vrienden en bekenden zich bevinden en daarnaast wordt er als alternatief een veiligere messaging app zoals Signal geïnstalleerd.
Dit brengt ons bij de kern van het probleem en dilemma met beveiligde berichten van dit soort messaging platformen: je kunt privacy hebben of je kunt volledige controle hebben over de inhoud van berichten-apps, maar je kunt helaas niet beide hebben.
Hierboven hadden we het al even over privacylabels van iMessage en WhatsApp, wat verzamelt een applicatie aan gegevens die ze mogelijk weer voor andere doeleinden kunnen gebruiken. Maar hoe zit dat met de rest van messaging landschap. Hieronder zijn de belangrijkste messaging producten van dit moment opgenomen. Hoe meer items worden genoemd, hoe meer gegevens er verzameld worden die terug te herleiden zijn naar jou en mogelijk ook voor andere doeleinden worden gebruikt.
En hoe zit dat nu bij gemeenten?
Bij gemeenten net zoals bij veel ander organisaties worden veel met persoonlijk gevoelige gegevens gewerkt. Denk hierbij vooral aan het sociaal domein en burgerzaken. In vele gemeenten is een omnichannel communicatie strategie in gezet om contacten met burgers mogelijk te maken en te onderhouden. Daar hoort ook vaak WhatsApp bij. Met zo’n 11-12 miljoen Nederlandse gebruikers is dat niet zo gek en een makkelijk manier om met je klant, de burger, in contact te komen.
Helaas kom ik bij gemeenten op KCC’s nog vaak de consument-versie tegen, deze is niet geschikt om in professionele omgevingen zoals gemeenten te gebruiken. Zoals hierboven al gezegd, er wordt wel gebruikt van end-to-end encryptie maar de backup van je smartphone gebeurd zonder encryptie. Gelukkig kiezen de meeste gemeente voor de business versie die met behulp van software een API gebruikt. Hierdoor zijn KCC-applicatieleveranciers in staat om WhatsApp chat functie in te bouwen in hun applicatie en bijvoorbeeld de informatie in een zaaksysteem op te slaan. Omdat er geen smartphone wordt gebruikt voor deze oplossing is er ook geen backup bij google of apple zonder encryptie mogelijk.
Voor werk gerelateerde communicatie tussen ambtenaren onderling raden we WhatsApp altijd af omdat de lijn tussen wat er wel en niet mag in het kader van privacy gevoelige gegevens nog veel meer discussie oplevert. We proberen hierbij altijd de bewustwording te vergroten.
Eigenlijk moet de discussie niet zijn waar staat het maar waar wordt de informatie voor gebruikt.
Ander dilemma waar informatiebeveiligingsadviseurs het altijd over moeten hebben is waar informatie in de cloud wordt opgeslagen. Bij de 3 genoemde platformen ligt deze in Amerika (WhatsApp en Signal) en Rusland (Telegram). WhatsApp en Signal hebben een end-to-end encryptie, Telegram zegt wel dat ze (soms) encryptie gebruiken maar ze bewaren zelf ook de encryptie sleutels, dus eigenlijk is dat geen end-to-end encryptie.
Eigenlijk moet de discussie niet zijn waar staat het maar waar wordt de informatie voor gebruikt zonder dat je het weet.
Het WhatsApp platform is best veilig maar het is van Facebook, de eigenaar van WhatsApp, die geen beste reputatie heeft met het delen van informatie waardoor ook WhatsApp in een kwaad daglicht komt te staan. Gelukkig heeft Europa kunnen afdwingen bij facebook dat de voorwaarden die gaan gelden vanaf 15 mei vanwege de AVG en de overeenkomst die er ligt met Amerika niet voor Europa gaat gelden
Messaging apps zullen altijd blijven bestaan en de grootte van de “userbase” blijft bepalend of mensen deze zullen gebruiken. Daarbij zullen gebruikers en bedrijven bewust een balans moeten vinden in klantvriendelijkheid en privacy. En dat is zeker geen gemakkelijke opgave.
Voorlopig blijf ik WhatsApp en Signal gebruiken. WhatsApp voor familie en vrienden en Signal voor mijn werk.
Meer weten?
Voor meer informatie kunt contact opnemen met John Vloemans, senior informatiebeveiliging en privacy adviseur bij Telengy, via tel. nr. 06 54 34 50 89 of via e-mail: j.vloemans@telengy.nl.
