Whistle.im

whistle.im
[[Datei:|150px]]
Basisdaten
Maintainer
Entwickler	Daniel Wirtz, Michael Bank
Erscheinungsjahr	2013
Aktuelle Version	()
Aktuelle Vorabversion	()
Betriebssystem	Android, Browser
Programmier­sprache
Kategorie	Instant Messaging
Lizenz	proprietäre Software, teilweise Open Source
deutschsprachig	ja
whistle.im

whistle.im war ein in Deutschland entwickelter Instant-Messenger für Smartphones und PCs.<ref>Achim Sawall: Verschlüsselter Whatsapp-Konkurrent kommt aus Deutschland. In: golem.de. 8. August 2013, abgerufen am 18. August 2013. </ref> Der Dienst ist mittlerweile eingestellt.

Verschlüsselungsverfahren

Sowohl die Browser- als auch die Android-App verwenden hybride, d. h. asymmetrische gepaart mit symmetrischer Verschlüsselung mittels des RSA-Verfahrens mit 2048 Bit Schlüsseln und des AES-Verfahrens mit zufälligen 256 Bit Schlüsseln im CBC-Modus.<ref>Encryption Mechanism (Memento vom 6. Mai 2016 im Internet Archive)</ref> Da die eigentliche Kryptographie-Bibliothek jedoch nicht einsehbar ist, kann keine Überprüfung hinsichtlich der korrekten Implementation dieser Verfahren getätigt werden (s. Kritik).

Privatsphäre

Die Android-App benötigt im Gegensatz zu anderen Anwendungen verhältnismäßig wenige Berechtigungen. So wird beispielsweise keine Berechtigung zum Zugriff auf die auf dem Smartphone hinterlegten Kontakte benötigt und für die Nutzung der Anwendung wird einzig eine fiktive ID und ein Passwort benötigt.<ref>Vorlage:Cite book/NameVorlage:Cite book/Name: [ "Wir wollen gar nicht wissen, wer da schreibt".] In: sueddeutsche.de. , archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am Vorlage:Cite book/URL; abgerufen im 1. Januar 1. Vorlage:Cite book/URLVorlage:Cite book/MeldungVorlage:Cite book/Meldung2Vorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/Meldung</ref> Zusätzlich haben die Entwickler diejenigen Daten, die auf den Servern zumindest zeitweise abgelegt werden, in einer Datenschutzerklärung offengelegt.<ref>Privacy Policy (Memento vom 3. März 2016 im Internet Archive)</ref>

Kritik

Bei einer Untersuchung der einige Wochen alten Beta-Version<ref>Vorlage:Cite book/Name: [ Whistle.im ist 'Fuckup as a Service'.] In: golem.de. , archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am Vorlage:Cite book/URL; abgerufen im 1. Januar 1. Vorlage:Cite book/URLVorlage:Cite book/MeldungVorlage:Cite book/Meldung2Vorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/Meldung</ref> durch Falk Garbsch vom Chaos Computer Club wurden erhebliche Sicherheitsmängel festgestellt,<ref>Vorlage:Cite book/NameVorlage:Cite book/Name: [ whistle.im: FaaS - Fuckup as a Service.] In: ccc.de. , archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am Vorlage:Cite book/URL; abgerufen im 1. Januar 1. Vorlage:Cite book/URLVorlage:Cite book/MeldungVorlage:Cite book/Meldung2Vorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/Meldung</ref> auf die die Entwickler innerhalb von drei Tagen mit einem Sicherheitsupdate reagiert haben<ref>Vorlage:Cite book/NameVorlage:Cite book/Name: [ whistle.im: Messenger stellt sich der CCC-Kritik.] In: stadt-bremerhaven.de. , archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am Vorlage:Cite book/URL; abgerufen im 1. Januar 1. Vorlage:Cite book/URLVorlage:Cite book/MeldungVorlage:Cite book/Meldung2Vorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/Meldung</ref>, das Garbsch generell begrüßt, sich jedoch weiterhin skeptisch zeigt, da die Entwickler lediglich auf seine Kritik reagiert hätten und die gefundenen Mängel nur die Spitze des Eisberges darstellen würden. Des Weiteren wurden die Sicherheitslücken den Anwendern nicht offen kommuniziert, es findet sich lediglich ein Eintrag in der Pressemappe<ref>whistle.im: Neuer Messenger aus Deutschland mit sehr starker Verschlüsselung (Update) (Memento vom 18. August 2013 im Internet Archive)</ref>.

Ein weiterer von Garbsch geäußerter Kritikpunkt war, dass die Aussage „Unsere Kryptographie ist Open Source“ auf der Webseite irreführend sei. Zwar ist ein Teil der Aufrufe von Funktionen der Kryptographie-Bibliothek als Quelltext verfügbar, nicht aber die Bibliothek selbst sowie die Hauptanwendung. Die Entwickler stellten den bereits veröffentlichten Code daraufhin im September 2013 unter die GPL-Lizenz, so dass sie seitdem auch die Anforderungen hinsichtlich freier Software erfüllt. Die Kritik bleibt insofern berechtigt, als dass lediglich die Lizenz geändert wurde, der von der Kritik betroffene Code ist weiterhin nicht veröffentlicht.<ref>Commit "Now licensed under GPLv3" (Memento vom 14. Dezember 2015 im Internet Archive)</ref>

Einzelnachweise

<references />