ZIS - Zero Information System

[ZeRoAnGeL]

Hallo Zusammen,
ich war schon lange nicht mehr aktiv ....
Ich habe vor eine Whatsapp alternative zu programmieren (Opensource). Das ganze erstmals auf Android und nachher später nochmals neu zu programmieren fürs iOS.
Ich war lange auf der Suche nach einem "verschlüsselten" Whatsapp habe jedoch nie etwas gefunden was opensource ist.

Ich brauche eure Hilfe! Ich nehme jede Hilfe an egal ob Ihr meine geschätzten 193489 Grammatikfehler ausbessert oder mir bei Sicherheitsfragen (Stichwort: insecure by Design) helft....



Mein Ziel:
1. Schritt: Text only
PGP als verschlüsselungstechnick
SHA512 als Checksumme
Android 4.x als Umgebung
2. Schritt: Dateien
PGP schlüsselaustausch, AES oder ähnliches für die Datei selbst....
SHA512 Checksumme
3. Schritt: "Neue" Funktionen
- Empfangsbestätigung
- Time über NTP Server voll synchronisiert (wann abgeschickt, wann empfangen)
- Anzeigebilder
- ... weiteres das mir gerade nicht einfällt
4. Schritt: Video und Audio -übertragung ("telefonieren").
- Übertragung von Video und Audio als bitsream bzw. als solcher verschlüsselt (müsste mir mal redphone anschauen wie die das gelöst haben)

Sollte es so etwas schon geben teilt mir das bitte mit

Was ich bereits habe:
-2 ESX-Server (Entwicklungsumgebung etc.)
-2 Android Geräte für den "real" Test
-15 TB an Speicher für Daten
-Meine Hoffnung das ich nicht nach zwei Minuten scheitere...

Konzeptionell würde eine Nachrichtenversendung so ausschauen:
Original Text->ZIS verschlüsselt anhand vorhandenem PGP Key *siehe INITPROC->ZIS sendet an Server->Server sendet an ZIS empfänger-> Empfänger entschlüsselt PGP Nachricht

*InitProc-> für JEDEN User nötig....
PGP Key wird erstellt> Public Key auf Server...-> KontaktA vergleicht seinen Key mit dem auf dem Server -> KontaktA sendet dem neuen KontaktB das der Server X okay ist -> KontaktA lässt nun von KontaktB über den definierten Server Nachrichten zu.

Dadurch erhält der Server immer nur den PublicKey und die Nachricht -> Mithören unmöglich.
Das abfragen des Publickey könnte man auch auf separaten Servern machen... Bzw. auf bestehenden. Dann kann jeder seinen PublicKey mit dem auf dem Server vergleichen.

Das Registrieren auf dem Nachrichtenserver da muss ich mir noch etwas einfallen lassen.... Die Identität überprüfe ich einfach damit das ich ein Handshake mittels PGP mache und somit weiss wer der Rechtmässige Empfänger ist... Sonst könnte ja jeder über eine fake ID die Nachrichten abholen.....

Nicht änderbar:
Folgende dinge werden sich nie ändern vorher stampfe ich das Projekt ein:
- Opensource (ich liefere jeden Quelltext denn ich verwende!)
- Keine Werbung (Nein keine Werbung! Wenn ich jemals zu viele Nutzer habe und ich den Server nicht mehr bezahlen kann dann wird der halt abgestellt... )
- Kommerzielle Nutzung durch Spenden Gelder möglich... Als Beispiel: Firma X möchte eigenen Server betreiben -> jährlich 50 teuronen damit die Kosten für Privatuser gedeckt sind --> SÄMTLICHES Geld kommt dem Projekt zugute

Grüsse
ZA

edit:
Ah mir ist eingefallen wie ich sichergehe das der Key gültig ist (falls man das Checken möchte^^)
Publickey und ein timestamp werden mittels Hash als ZIS-Nachricht übertragen an KontaktB. Das kommt als verified zurück per SMS an KontaktA. Darauf schickt KontaktB eine ZIS-Nachricht das er dies auch angefordert hat (akzeptiert). Nun noch eine ZIS-Nachricht von KontaktA an KontaktB damit der Handhsake abgeschlossen ist.

Damit kann sichergestellt werden das die Nachricht angefordert und für beide als gültig befunden wurde....

 

[ZeRoAnGeL]

Habe bereits die Webseite erstellt Ich poste den Link aber nicht möchte vorher ne bestätigung das es keine Werbung als solches ist? ^^

Hab euch mal ne PDF vorbereitet damit ihr mal einen Blick draufwerfen könnt
Anhang anzeigen algo.pdf

Bitte äussert eure ZIS-Kommentare an mich per PN oder hier in diesem Thread

 

[Flatsch]

Im Prinzip gibt es das was Du machen möchtest doch schon... Nennt sich viber... Telefonieren, Daten, SMS, Audio Video Übertragung und das alles verschlüsselt

 

[ZeRoAnGeL]

Im Prinzip gibt es das was Du machen möchtest doch schon... Nennt sich viber... Telefonieren, Daten, SMS, Audio Video Übertragung und das alles verschlüsselt

Wo ist der sourcecode? "Verschlüsselt"... das möchte ich sehen das da keine Binärdaten drin sind die vorgegebene oder geänderte Schlüssel benutzen damit irgendwer mithören kann.... Das wäre für mich das gleiche Problem wie wenn Truecrypt closed source wäre. Ja verschlüsselt sollte es sein.... dem traue ich aber nicht ^^



UND:
A copy of your address book will be stored on our servers and will be used strictly for the following purposes:
In order to provide you with Viber products you have requested, Viber may sometimes, if necessary, share your Personal and traffic data with trusted partner service providers and/or agents. […]

Nö ist klar..... Exploits auch schon vorhanden!
https://www.os3.nl/_media/2011-2012/students/jeffrey_bosma/ssn_report.pdf


Viber ist weder sicher noch vertrauenswürdig.

 

[Flatsch]

Sicherer als whats app und Vertrauenswürdiger...
So jetzt programmierst du deine Alternative und wer soll sie nutzen?
Willst Du es kostenfrei anbieten? Wie finanzierst Du dann die Server usw?
willst Du es kostenpflichtig anbieten? Wie willst Du whats app Nutzer zum umsteigen bewegen, die whats app bezahlt haben und keinen Sinn im Wechsel sehen,da kein Mehrwert.... Sicherheitsaffine Leute nutzen nichts dergleichen

 

[ZeRoAnGeL]

Sicherer als whats app und Vertrauenswürdiger...
So jetzt programmierst du deine Alternative und wer soll sie nutzen?
Willst Du es kostenfrei anbieten? Wie finanzierst Du dann die Server usw?
willst Du es kostenpflichtig anbieten? Wie willst Du whats app Nutzer zum umsteigen bewegen, die whats app bezahlt haben und keinen Sinn im Wechsel sehen,da kein Mehrwert.... Sicherheitsaffine Leute nutzen nichts dergleichen

Ja kostenfrei für Privatnutzung & 1 Gerät pro Account... 100mbit Leitung als Flat krieg ich schon ziemlich günstig und Servermaterial ist auch Wuppe (16GB als 1 Modul ECC RAM ungefähr 130 SFr).
Zum umsteigen bewegen? Naja es ist gratis und verschlüsselt und wird in einem späterer Version auch mehr Funktionen als Whatsapp haben. Ich möchte ja auch nicht DIE Konkurrenz sein sondern wollte eigentlich nur eine Alternative bieten

Sonst würde ich sagen die ersten tausend die es benutzen kriegen FREIBIER

 

[Flatsch]

ok also homeserver... das geht bis zu nem bestimmten nutzerkreis.. sobald es dann 4stelli 5 stellig wird, wirds schwer... aber viel erfolg bei deinem unterfangen..

 

[0711]

Ich finds zwar soweit interessant was du vorhast aber was mir nicht einleuchtet, was ist der Vorteil gegenüber z.B. jabber? (alternativen sollten ja gewisse Vorteile gegenüber der konkurenz haben)

Das was du beschreibst hört sich etwa an wie ein open source IM Service wie die langsam aber sicher verdrängten im`s icq, aim und co....eben wie jabber.

Der Vorteil von wa, viber und co ist ja dass man keine 2. kontaktliste pflegen muss wie es auch bei icq, aim und co üblich ist, deshalb auch "A copy of your address book will be stored ...". Ja man muss in diesen fällen den anbietern (mehr) vertrauen als den klassischen IMs.
Exploits zu 100% vermeiden ist dann so ein punkt der doch quasi nicht erreichbar ist.

Ich frage nur mal so rein aus Interesse weil so wie ich das betrachte könntest du mit einem vernünftigen jabber Server und meinetwegen eigenen jabber Client einfacher ans ziel kommen.