Nicht alles, was leakt, ist ein Mangel. Manchmal legt ein Messenger ein Datum bewusst offen, weil er es gegen etwas abgewogen hat, das ihm wichtiger ist. Olvid, um Privatsphäre herum gebaut, tut genau das an zwei Stellen, die ich mir genau angesehen habe. Hier steht, was passiert, und warum der Hersteller jede davon für vertretbar hält.
die IP des Empfängers
Wenn du jemanden über Olvid anrufst, läuft der Anruf über einen Relais-Server (TURN). Auf Android kann der Anrufer dieses Relais benennen. Richtest du es auf einen Server, den du kontrollierst, verbindet sich das Gerät der Gegenseite damit, sobald sie annimmt — und ihre IP-Adresse wird für dieses Relais sichtbar.
Olvids Position. Der Hersteller hat entschieden, sein eigenes Relais nicht mehr zu erzwingen, in Vorbereitung auf eine künftige Funktion. Er argumentiert zudem, dass jeder Weg, eine Olvid-Unterhaltung zu beginnen, ohnehin voraussetzt, dass der Angreifer mehr über das Ziel weiß — Name, Telefonnummer — als das Einzige, was hier leakt: die öffentliche IP des Telefons. Auf dieser Grundlage hält Olvid das Leck für nicht bedeutsam und stuft es nicht als Schwachstelle ein.
Meine Sicht, fürs Protokoll. Eine öffentliche IP ist eine andere Art von Datum als die Kontaktdaten, die man braucht, um jemanden zu erreichen: Sie zeigt auf einen ungefähren Ort und kann sich über die Zeit ändern, ist also nicht einfach dadurch gegeben, dass man schon Kontakt ist. Das ist allerdings eine Frage des Bedrohungsmodells, und ich akzeptiere Olvids Schluss, dass das Restrisiko für sein Modell vertretbar ist.
iOS — feste eigene Relais
Android — nimmt die des Anrufers
Olvids iOS-Client nutzt eigene, feste Relais-Adressen und ignoriert die eines Anrufers; der Android-Client nimmt die des Anrufers an. Olvid beschreibt das Android-Verhalten als bewusste Rücknahme für eine geplante Funktion, nicht als Versehen.
Link-Vorschauen: der Absender, nicht der Empfänger.
Olvid baut Link-Vorschauen auf dem Gerät des Absenders und bettet das Ergebnis in die verschlüsselte Nachricht ein. Der Empfänger zeigt sie, ohne etwas abzurufen — anders als bei vielen Messengern gibt es also kein Zero-Click-Leck auf der Empfängerseite. Was bleibt: Das Gerät des Absenders ruft die URL direkt ab, ohne Proxy, und legt die eigene IP des Absenders gegenüber dem Betreiber dieser URL offen.
Olvids Position. Ein Server-Proxy, wie ihn Signal betreibt, würde bedeuten, dass Olvid selbst jeden geteilten Link sieht — was der Hersteller als Widerspruch zu seinem Ziel „Privacy by Design" betrachtet. Er merkt außerdem an, dass der Absender den Link meist ohnehin schon geöffnet hat. Olvid behält das aktuelle Design bei, solange kein Ansatz gefunden ist, der die Absender-IP schützt, ohne dass eine zentrale Stelle jeden Link sieht.
Ich akzeptiere diese Begründung. Es ist eine echte Abwägung zwischen zwei Arten von Privatsphäre, und Olvid hat die gewählt, die zu seinem Modell passt.
Eine Meinungsverschiedenheit, gut gelöst.
Beide Verhalten sind real, und beide sind bewusst. Gemeldet über ANSSI / CERT-FR, mit dem Hersteller geprüft und — nachdem ich die Begründung gesehen hatte — als Abwägungen statt als Mängel akzeptiert. Mehrere meiner anfänglichen Beobachtungen habe ich dabei zurückgezogen. So soll koordinierte Offenlegung funktionieren: Nicht jeder Fund endet in einem Fix, und ein Hersteller, der sein Modell klar erklärt, ist ebenfalls ein gutes Ergebnis.