5 vragen aan eBuddy: zijn chatberichten via eBuddy XMS wel versleuteld?

Gisteren was in het nieuws dat WhatsApp je persoonlijke gegevens en chatberichten onbeveiligd over het netwerk stuurt. Wie toegang heeft tot een onbeveiligd netwerk waarover Whatsapp-berichten worden verstuurd, kan daardoor eenvoudig met sniffer-software de chatberichten onderscheppen. We waren daarom benieuwd hoe het zit met eBuddy XMS, een Nederlandse messengerdienst die een tijdje geleden live ging. We spraken daarvoor met productmanager mobile Ivar Pruijn en productverantwoordelijke Guido Hosman van eBuddy.

Hoe is de beveiliging van eBuddy XMS geregeld?

Op dit moment is slechts een deel van de app beveiligd. Alle authenticatie, dus het invoeren van je telefoonnummer en gebruikersgegevens zijn al beveiligd. Dat geldt ook voor het scannen van je telefoonboek. Die gegevens worden volledig versleuteld tijdens het uploaden. Dat geldt nog niet voor de berichten zelf. We zijn druk bezig met het testen van een volledig beveiligde verbinding, waarbij dus ook het berichtenverkeer wordt versleuteld.

Wat valt er momenteel te onderscheppen?

Als je gebruik maakt van Wi-Fi bij een onbeveiligd netwerk, zou een kwaadwillende de berichten kunnen zien. In het eerste bericht is ook de naam van het contact te zien. En als er tijdens de sessie een telefoonnummer wordt toegevoegd, is die ook te zien. Maar de authenticatie (Red.: inloggen) binnen eBuddy niet.

Waarom is er bij lancering van de app niet meteen de mogelijkheid geboden om het berichtverkeer te versleutelen?

Er is een impact tijdens het gebruik. We hebben dit afgelopen week getest. Bij gebruik van Wi-Fi duurt het een seconde langer om te connecten, bij gebruik via een GSM-netwerk heb je daarnaast ook te maken met latency (Red.: benodigde tijd voor een datapakketje van punt A naar punt B), waardoor het nog iets langer duurt, zo’n 4 seconden. Tijdens het chatten zul je van de versleuteling op een Wi-Fi-netwerk dus weinig merken. Alleen wanneer je de app een tijdje niet gebruikt hebt, zul je merken dat eBuddy XMS iets langer nodig heeft om weer verbinding te maken. We gaan de beveiligde verbinding optioneel aanbieden.

Voor welke vorm van beveiliging hebben jullie gekozen?

We zijn nu live in twee markten: Australië en Nederland. Onze (optionele) encryptie-methode voor de wereldwijde lancering is om al het verkeer tussen de apps en onze servers via secure sockets (SSL) met TLS 1.2 te encrypten. We hebben de industriestandaarden voor TLS 1.2 geïmplementeerd, met 2048 bits encryptie voor al het berichtverkeer.

Waarom zijn de berichten niet gewoon standaard versleuteld?

We willen de keuze open houden voor gebruikers. Een groot deel van de mensen gebruikt eBuddy XMS via het GSM-netwerk en daar is al het verkeer over het algemeen al beveiligd. Je hebt die extra beveiliging dan niet nodig.