@bastibayer nein, weil #Threema ne #proprietär|e +#SingleVendor & #SingleProvider) Lösung ohne #SelfCustody der Keys ist, und damit inhärent unsicher (#KerckhoffsPrinciple)...
Meine Empfehlung ist @monocles / #monoclesChat & @gajim für #XMPP+#OMEMO, ducht gefolgt.von @delta / #deltaChat für echte #E2EE!
@kkarhan @bastibayer ich nehme an "ihne" sollte "ohne" heissen? die aussage ist falsch, die keys werden auf den endgeräten generiert und gehalten. alle clients sind open source (AGPL), wo möglich auch mit reproducible builds. dank E2EE ist der server nicht relevant für die nachrichtensicherheit.
nirgends wird das kerckhoff'sche prinzip verletzt. die verschlüsselung ist offen und dokumentiert. es ist kein "trust us"-modell.
mehr details findest du im crypto whitepaper: https://threema.ch/press-files/2_documentation/cryptography_whitepaper.pdfk
@dbrgn @bastibayer es ist ein "#TrustMeBro" - Modell weil deren #Server sind #zentralisiert und damit #SinglePointOfFailure.
Basti Bayer
Kevin Karhan 
Danilojabber.ccc.de down sind, aber dies nicht die generelle Verfügbarkeit jener Lösung sicherstellt.Ich betrachte etwas nur als #offen und #sicher wenn es komplett #dezentralisiert und ohne Möglichkeit der externen Angriffe gibt.
Zumal es mangels #ReproduzierbarerBuilds nicht möglich ist zu verifizieren ob der veröffentlichte #Quellcode von #Threema das ist was die per #AppStore & #GooglePlay verteilen.
@kkarhan @bastibayer @monocles sorry, hast du meinen toot überhaupt gelesen? die android app von google play *ist* reproduzierbar. auch auf #fdroid verfügbar. reproduzierbarkeit der desktop-app ist noch WIP, partiell bereits möglich.
kerkhoff sagt nichts aus über die dezentralität. nur, dass die sicherheit nicht von der geheimhaltung von algorithmen abhängig sein soll. dezentralität ist dein eigenes kriterium.
@kkarhan @bastibayer @monocles sicherheit ist nie absolut. immer abhängig von threat models. dezentrale systeme *können* auch nachteilig sein, nämlich bei metadaten und privacy.
übrigens, threema ist in russland und china mindestens in teilen blockiert.
@dbrgn @bastibayer @monocles ich meine generell in den RICS-Staaten blockiert und verboten weil gegen deren "#LawfulInteeception"-Standards verstoßend...
.onion-Adresse entspricht der Schlüssel-ID: Daher selbstverwaltender Addressraum!)
Lenny