ibimsWieso hypen eigentlich alle #Wero, wenn die App zwingend Zugriff auf alle Kontakte verlangt? Das habe ich hier jetzt schon öfters gelesen. Das ist doch ein Nogo...
Claudius
Jürgen 𐐘@claudius @ibims Nur so am Rande: Falls eure Banking App Zugriff auf eure Kontakte möchte. Der Abgleich, ob einer eurer Kontakte Wero hat geschieht identisch zu dem Verfahren vom Signal Messenger. Es werden nur Hashes (also eine Art Checksum) der Email Adressen und Telefonnumern übertragen. Falls ihr also im Allgemeinen bereit wart Signal den Zugriff zu geben, um zu sehen, mit wem ihr kommunizieren könnt, dann könnt ihr das auch bei Wero machen.
@juergen @ibims die Empfehlung finde ich unangemessen. Signal ist Open Source, und man kann verifizieren, was sie mit dem Adressbuch machen. Signal hat weitere Mechanismen, die deutlich über Industriestandard sind ("Zero Knowledge Contact Discovery") - ich Wette, dass Banken *nicht* auf diesem Level arbeiten.
@claudius @ibims Die Wette kann keiner von uns beiden gewinnen weil wir es nicht wissen. In so fern hast du recht.
Ich will aber trotzdem darauf hinweisen, dass eben lt. Wero die notwendigen Kontaktdaten eben nicht im Klartext transferiert oder gespeichert werden. Bei vielen Banken kann man ja auch darauf verzichten das Adressbuch freizugeben. Ist ja eh nur eine Komfortfunktion.
Ich will aber trotzdem darauf hinweisen, dass eben lt. Wero die notwendigen Kontaktdaten eben nicht im Klartext transferiert oder gespeichert werden. Bei vielen Banken kann man ja auch darauf verzichten das Adressbuch freizugeben. Ist ja eh nur eine Komfortfunktion.
Frederik
bijramDie Dinger nicht im Klartext zu übertragen ist halt absolutes Minimum.
Hashes von Telefonnummern mittels Rainbow Tables wieder aufzulösen ist nicht gerade kompliziert, speziell weil du ja einen Großteil des Zahlenraumes kennst: Fängt mit +43 (AT) oder +49 (DE) an, dann kommen 3 Zahlen, die durch die limitierte Anzahl von Anbietern sehr eingeschränkt sind (664, 699, 676,...) und der Rest ist eben auch keine "Zufallszahl"
@juergen @bijram @ibims Salt hilft bei Passwörtern, hier leider aber nicht. Damit Du die Nummern woanders zusammen puzzlen kannst, muss das Salt ja auch das Gleiche sein, und damit hast Du dann trotzdem nur die erwähnten wenigen Stellen (sagen wir mal 1 Billionen Kombinationen für eine naive 12-stellige Telefonnummer).
Eine GTX5090 macht 5-10 Milliarden Hashes pro Sekunde (SHA512), du kannst den gesamten Nummernraum also in vier Minuten durchnudeln und einen Rainbow-Table aufbauen.
@bijram @claudius @ibims Hier noch ein Link zum Thema. Kuketz hat ja schon ein gewisses Ansehen: https://www.kuketz-blog.de/wero-europaeisches-bezahlen-mit-datenschutz-fokus-nun-auch-auf-dem-kuketz-blog/
