Browser-Filesharing via Wormhole - was taugt das?
Ein paar Gedanken zu Services wie diesem hier: Wormhole bietet an, Dateien verschlüsselt über den Browser zu versenden. So, dass nur der Absender und der erwünschte Empfänger die Daten tatsächlich einsehen können sollen. Gibt auch noch andere Anbieter in diesem Bereich, aber da mir Wormhole zuletzt über den Weg lief, nehme ich mir den mal stellvertretend vor.
Your Wormhole files are end-to-end encrypted, and only you hold the keys to decrypt them. We can’t see your Wormhole files, so we can’t use them, share them, or sell them.
Okay. Mission verstanden, finde ich grundsätzlich prima. (+1)
There are no ads and no creepy tracking in Wormhole. So focus on sharing the files that matter with the people who matter to you.
Oh cool. Schmissiger Satz - und die scheinen Privatsphäre ernst zu nehmen! Haben wir zwar schon Millionen Mal gehört. Aber immerhin: Ein schneller Blick in den Code lässt vermuten, dass das Versprechen zumindest nicht offensichtlich gebrochen wird. Was die serverseitig protokollieren, ist nochmal eine eigene Frage, aber im Quellcode tauchen zumindest keine der üblichen Trackingmaßnahmen auf. (+2)
Wormhole encrypts all files with 128-bit AES-GCM encryption before they leave the browser.
Okidoki, geht in Ordnung. (+3)
For streaming encryption and decryption, we use Encrypted Content-Encoding for HTTP.
[...]
We use the browser's built in cryptography primitives via the Web Crypto API to encrypt files in the browser before they are sent to the recipient.[...]
End-to-end encrypted files may be:
- Sent directly to the recipient via a peer-to-peer WebRTC connection
- Uploaded to our servers (assuming they are within the file size limit)
[...]
In addition to Wormhole's end-to-end encryption, your files are protected by an additional layer of encryption on our servers.
[...]
We support TLS 1.3 for modern devices and TLS 1.2 for all remaining devices. Deprecated versions of TLS and SSL are not used.
Und so weiter und so fort. Da steht noch ein paar mehr Kram in deren Security-Beschreibung. Pauschal drei weitere Pluspunkte von mir für den gezeigten guten Willen. (+6)
The secret key used for end-to-end encryption is never shared with our servers. It is sent directly to your intended recipient when you send them the share link.
**FIZZLE**, Sicherheitsblase furzt in sich zusammen (-6).
Und einen extrafetten Minuspunkt oben drauf für mangelhafte Kommunikation.
------------------------
Punkte-Endergebnis: (-1)
------------------------
Jedenfalls für den Otto Normal, der ganz offensichtlich das Zielsubjekt für diese Art von Tool ist (Erfahrenere würden andere Wege für einen sicheren Datenaustausch wählen). Und jetzt überlegen wir mal, warum die Blase geplatzt ist.
Noch mal diesen Satz anschauen: "It is sent directly to your intended recipient when you send them the share link."
Warum reite ich da so drauf rum? Ganz einfach: Wenn ich mich als Anbieter geriere, dessen Produkt krasse Datensicherheit bietet, dann aber am Ende nicht mal ein deutliches Wort darüber verliere, welche Risiken das Verpacken des Secrets in die URL beinhaltet, dann ist das ein unentschuldbares Versäumnis.
Otto Normal schnappt sich den von Wormhole angegebenen Link, der das Secret beinhaltet, und verteilt den dann auf dem ersten Weg, der ihm einfällt. Auf einem PC wäre das wohl E-Mail. Natürlich unverschlüsselt. Auf dem Handy vielleicht Whatsapp oder Facebook Messages. Oder WeChat. Oder Skype. Jeder, der den Link kriegt (auch Men-in-teh-Middles), kann sich die Daten holen. Egal, ob es der erwünschte Rezipient ist oder nicht. Von irgendwelchen Browsererweiterungen, die eure URL-Historie ausleiten oder sowas, will ich gar nicht reden.
Da kannste noch so gut client- und server- und finger- und fußseitig verschlüsseln wie Du willst, alles für den Lokus.
Mehr als ein paar harmlose Handyfotos oder eine PDF-Speisekarte würde ich über so einen Dienst wie Wormhole nicht verteilen.