Wire: Open-Source gibt es nur im Eigenbau
Gerade macht ja der Security-Audit von Wire die Runde: Im Zuge des Audits haben Kudelski Security und X41 D-Sec das Wire-Protokoll Proteus (basiert auf Axolotl, dass bspw. in Signal eingesetzt wird), die High-Level API Cryptobox und den C Wrapper Cryptobox-C auf Schwachstellen geprüft. Ergebnis: Keine kritischen Lücken – Daumen hoch!
Wirklich Open-Source?
Der Wire-Messenger im Google Play Store wird mit diversen Bibliotheken ausgerollt: API Keys für YouTube, Localytics, HockeyApp and andere 3rd-Party Dienste – last but not least: Google Cloud Messaging (GCM). Das widerspricht dem Open-Source Gedanken, weshalb diese nicht im Quelltext von Wire auf GitHub eingebunden sind. Wer also »wirklich« Open-Source bei Wire möchte bzw. gerne auf unnötige proprietäre Abhängigkeiten verzichtet, muss sich den Client selbst kompilieren. Unter F-Droid ist Wire jedenfalls noch nicht verfügbar, da existiert lediglich ein Request und mehrere Diskussionen auf GitHub.
Hinweis: Beim iOS Client sieht es übrigens ähnlich aus.
Update: Bei mir gehen gerade E-Mails von verunsicherten Wire-Usern ein. Kernaussage: Auf der Wire-Webseite ließe sich eine APK herunterladen, die doch vollkommen ohne Drittsoftware und Google Bibliotheken auskomme. Dann ladet euch doch bitte einmal die APK von der Webseite und dem Play Store herunter. Anschließend macht ihr einen Vergleich der SHA256-Checksummen. Na, fällt euch etwas auf?
Hinweis: Ein Wire-Mitarbeiter hat mir übrigens ebenfalls bestätigt, dass es sich um die exakt gleichen APKs handelt – aber zur Sicherheit könnt ihr ja nochmal selbst nachfragen.
Es ist immer wieder erschreckend zu sehen, wie sich Leute persönlich angegriffen fühlen, wenn man auf etwas hinweist. Hauptaussage von diesem Beitrag war lediglich: Wenn ihr Wire ohne proprietäre Abhängigkeiten bzw. Bestandteile nutzen möchtet, dann müsst ihr es euch selbst kompilieren.
Wire: Vertrauen verspielt – Messenger Teil4
F-Droid: Freie und quelloffene Apps – Take back control! Teil5
F-Droid und App-Alternativen – Android unter Kontrolle Teil3
F-Droid und AFWall+ – Android ohne Google?! Teil4
