Krönika: Ingen bakdörr har hittats i Whatsapp

I fredags skrevs många artiklar om att det skulle finnas en bakdörr i meddelandetjänsten #Whatsapp. Det finns ingenting som tyder på det! Anmärkningen som The Guardian (och efterföljande tidningar) har hittat är definitivt ingen bakdörr.

När en konversation startas på Whatsapp, sparar de involverade parterna varandras digitala fingeravtryck. Fingeravtrycken är kort och gott säkerhetskoder som används för att identifiera varandras appar. Om någon byter mobil eller installerar om appen förändras säkerhetskoden (fingeravtrycket). Det gör att ingen kan låtsas vara någon annan än den de är. Om en tredje part skulle utgöra sig för att vara en person som jag redan har pratat med, hade min Whatsapp-app poängterat att hans eller hennes fingeravtryck inte stämde överens med det som jag har sparat.

Den så kallade bakdörren

Det som upprör The Guardian är att standardinställningen i Whatsapp är att appen inte ska varna vid förändrad/felaktig säkerhetskod (fingeravtryck). Detta är självfallet dåligt ur ett säkerhetsperspektiv, men jag förstår varför Whatsapp har valt att stänga av varningsfunktionen som standard. Det beror på att många av deras användare ominstallerar appen och byter mobiler. Om funktionen hade varit påslagen som standard, hade många icke-tekniska användare fått notiser om att en av deras kontakters säkerhetskod (fingeravtryck) var felaktig och att någon kanske avlyssnade deras konversation. Det hade, helt i onödan, skrämt upp många användare som inte hade förstått innebörden.

Vi vet också vad som händer om vi presenterar massvis av tekniska notiser för användare som inte förstår innebörden: användarna slutar bry sig. Tänk bara på alla notiser om kakor på webbsidor (cookies) som alla klickar bort slentrianmässigt. Att användare slutar bry sig är det sista vi vill i säkerhetssammanhang, och det kommer ta tid att utbilda världens befolkning så att de förstår vad Whatsapp-varningen innebär.

Alla tekniska datasäkerhetslösningar balanserar mellan användarvänlighet och säkerhet. Om lösningen är för komplicerad att använda kommer ingen att använda den (och säkra lösningar utan användare gör inte världen säkrare). Det viktiga enligt mig är att utvecklingen går i rätt riktning och att apparna fyller ändamålsenliga säkerhetskrav. Se exempelvis min gamla rekommendation av meddelandetjänsten Telegram. I den skriver jag att Telegram inte är den säkraste meddelandetjänsten, men att jag gillar den ändå.

Det som The Guardian anmärker på är alltså inte ens en designmiss. Det är ett designval. Det är minst av allt en bakdörr, eftersom det handlar om en inställning som både syns och förklaras i appen. Om Whatsapp hade velat bygga in en bakdörr, hade de för övrigt kunnat göra det utan att det märktes (i och med att vi installerar förkompilerade appar). Ordet bakdörr är därför ett ord som inte får missbrukas. Jag hoppas verkligen att medierna som rapporterat om den så kallade ”bakdörren i Whatsapp” går ut med korrigeringar.

Vad innebär detta för mig?

Du som har orkat läsa ända hit undrar säkert vad detta innebär för dig. Nu förstår du förhoppningsvis mer om vad dessa säkerhetskoder (fingeravtryck) innebär, så varför inte passa på att slå på varningsfunktionen? Öppna Inställningar, gå till Konto och välj Säkerhet. Där kan du slå på säkerhetsnotiser. Om du sedan får en varning kan du ringa till din kompis och fråga om han eller hon har bytt mobil. Det förklarar i så fall varningen.

Jag själv föredrar idag att använda Signal och Telegram som meddelandetjänster. Signal är överlägset säkrast av de två, och det är för övrigt Signals säkra protokoll som både Whatsapp och Google Allo använder. Problemet med Signal är att systemet har lite buggigt stöd för gruppchatter och saknar helt stöd för att chatta från flera klienter samtidigt. Därför använder jag även fortfarande den något mindre säkra Telegramappen.

Om du vill testa något nytt kan jag rekommendera dig att ge Signal en chans. Om du är nöjd med Whatsapp tycker jag att du ska fortsätta använda den meddelandetjänsten.

Tips! Läs även Moxie Marlinspikes artikel på ämnet. Han grundade Open Whisper Systems vars teknik används av Whatsapp (och Signal).