Die Website von Yuilop
Die Website von Yuilop (Bild: Screenshot Golem.de)

Instant Messenger Yuilop ist doch keine Alternative zu Whatsapp

Vorsicht bei der Verwendung des Instant Messengers Yuilop: Der Dienst verschickt Nachrichten unverschlüsselt im Klartext. Uns hatten die Entwickler etwas anderes gesagt.

Anzeige

"Yuilop verschlüsselt grundsätzlich alle Textnachrichten": Mit dieser Erklärung hat uns Yuilops Marketingmanager Jacques Frisch bei unserer Recherche nach Alternativen zu dem als unsicher geltenden Messenger Whatsapp überzeugt. Leider war sie unwahr.

Kurz nach der Veröffentlichung unseres Artikels über Instant Messenger schrieb uns Sicherheitsforscher Thomas Roth in einer E-Mail: "Eine Analyse des Netzwerkverkehrs von mir zeigte eindeutig, dass die Textnachrichten [bei Yuilop] in unverschlüsseltem XMPP versendet werden." Das bedeutet, Nachrichten der App für iOS und Android werden im Klartext übertragen und können zum Beispiel in einem offenen WLAN mitgelesen werden.

  • Das Sniffer-Tool Wireshark zeigt eine ausgehende Yuilop-Nachricht von Sicherheitsforscher Thomas Roth im Klartext. Die Nachricht wurde in einem offenen WLAN abgefangen. (Bild: Thomas Roth/Screenshot: Golem.de)
  • Auch bei unserem Test konnten wir mit Whiteshark eine ausgehende Yuilop-Nachricht im WLAN im Klartext einsehen. (Bild: Screenshot Golem.de)
Das Sniffer-Tool Wireshark zeigt eine ausgehende Yuilop-Nachricht von Sicherheitsforscher Thomas Roth im Klartext. Die Nachricht wurde in einem offenen WLAN abgefangen. (Bild: Thomas Roth/Screenshot: Golem.de)

Roth hatte sich bereits am 12. November per Twitter an die Entwickler des Dienstes gewandt. Er schrieb: "Congratulations to @yuilop for doing their SIP/XMPP stuff in cleartext. Glad we learned things from @whatsapp" - "Gratulation an Yuilop, das seine Nachrichten im Klartext überträgt." Er erhielt keine Antwort.

In einem weiteren Tweet an die Entwickler machte Roth deutlich, dass es sich um eine ernsthafte Sicherheitslücke handele. Er fragte, an wen er sich wegen der Sicherheitsbedenken wenden könne. Er wurde auf ein Supportformular hingewiesen, in dem er sein Anliegen schildern könne. Das machte er auch. Eine Antwort kam nicht.

Nachrichten im Klartext mit Wireshark

Mit den Recherchen Roths konfrontiert, teilte uns Marketingmanager Frisch heute Morgen nochmals mit, dass alle Nachrichten bei Yuilop verschlüsselt seien, nur die Anrufe nicht, wie wir auch in unserem Artikel erwähnten. Ein eigener Test mit Wireshark, einem Programm, das den Datenverkehr in WLANs aufzeichnen und auswerten kann, ergab aber etwas anderes: Eine von uns mit Yuilop versendete Nachricht konnte mit dem Sniffer im Klartext ausgelesen werden.

Wir haben uns daraufhin erneut mit Yuilop in Verbindung gesetzt. Eine Erklärung, wie es zu der Falschaussage kommen konnte, blieb bisher aus. Thomas Roth hat unterdessen weitere Sicherheitslücken gefunden: "Ich habe auch Probleme mit der Authentification festgestellt", schreibt er. "Es ist ziemlich kaputt."

Den Abschnitt Yuilop haben wir aus unserem Beitrag über Alternativen zu Whatsapp entfernt.

Nachtrag vom 16. November 2012, 13:15 Uhr

Mittlerweile hat sich Yuilop-Gründer und -CEO Jochen Doppelhammer schriftlich bei uns gemeldet. "Wir sind über das aufgedeckte Problem sehr betroffen, da wir sehr viel Wert auf die Extra-Sicherheit unseres Services gegenüber anderen ähnlichen Messaging Diensten legen", schreibt er in einer E-Mail. Sein Team habe die Situation falsch eingeschätzt. Außerdem sei eine Bugfix-Version von Yuilop bei Apple eingereicht worden, um den Sicherheitsstandard wieder herzustellen.


Okkarator 17. Nov 2012

Yuilop hat im eigenen Blog ein Dankesschreiben an Golem.de samt Erklärung abgegeben...

IrgendeinNutzer 16. Nov 2012

Soll er eingestellt haben, was auch zu erwarten war.

ryazor 16. Nov 2012

Wen interessiert das?

y.m.m.d. 16. Nov 2012

Naja prinzipell ist das nicht verwerflich. Aber wenn man aufgrund Sicherheitsbedenken...

tingelchen 16. Nov 2012

Es handelt sich hierbei natürlich um ein Softwarefehler. Entstanden durch die Debug...

Kommentieren



Anzeige

  1. IT-Spezialist/IT-Systemadmin- istrator (m/w)
    Salzgitter Mannesmann Line Pipe GmbH, Siegen
  2. Funktionsentwickler (m/w) für modellbasierte Embedded Software-Entwicklung
    GIGATRONIK Technologies GmbH, Ulm
  3. Ange­stell­ter (m/w) in der Daten­ver­arbeitung zur Administration VMware-Infrastruktur
    Universität Hamburg, Hamburg
  4. Immobilienkaufmann / -frau
    DOMUS Software AG, Ottobrunn

 

Detailsuche


Top-Angebote
  1. Titanfall Origin-Code
    9,99€
  2. TIPP: Blu-ray Box-Sets reduziert
    (u. a. Fast & Furious 1-6 26,97€, Zurück in die Zukunft 1-3 14,97€, Jurassic Park Ultimate...
  3. TIPP: Robin Hood / Gladiator (Director's Cut / Extended Edition, 2 Discs) [Blu-ray]
    7,97€ (Tiefpreis!)

 

Weitere Angebote


Folgen Sie uns
       


  1. Steam Controller ausprobiert

    Konkurrenz für WASD und Maus

  2. Fujitsu Laboratories

    Software wertet Bewegungen auf schlechten Videos aus

  3. Spionage

    Auf der Jagd nach einem Gespenst

  4. Bundesnetzagentur

    Telefónica klagt gegen Mobilfunkauktion

  5. Vivaldi-Browser

    Neue Technical Preview bringt Verbesserungen

  6. Jugendliche und soziale Netzwerke

    Geh sterben, Facebook!

  7. TLS-Schwachstelle

    Freak-Angriff auch unter Windows möglich

  8. Apple

    iPad Pro soll mit USB 3.0 und Maussteuerung kommen

  9. Harmonix

    Rock Band 4 mit Gitarre und Schlagzeug

  10. Patentanmeldung

    Apple will iPhone wasserdicht machen



Haben wir etwas übersehen?

E-Mail an news@golem.de



OxygenOS von Oneplus: "Wir wollen keine Funktionen entwickeln, die nerven"
OxygenOS von Oneplus
"Wir wollen keine Funktionen entwickeln, die nerven"
  1. Oneplus One-Smartphone bekommt Lollipop erst im März
  2. Alternatives ROM Paranoid Android schließt sich Oneplus an
  3. OxygenOS Oneplus greift auf Paranoid-Android-Entwickler zurück

Modulares Smartphone im Hands on: Kinder spielen Lego, Große spielen Ara
Modulares Smartphone im Hands on
Kinder spielen Lego, Große spielen Ara
  1. Project Ara Erster Hersteller hat rund 100 Smartphone-Module fertig
  2. Modulares Smartphone Googles neuer Project-Ara-Prototyp
  3. Project Ara Erstes modulares Smartphone vorerst nur für Puerto Rico

Leistungsschutzrecht: Wie die VG Media der Google-Konkurrenz das Leben schwermacht
Leistungsschutzrecht
Wie die VG Media der Google-Konkurrenz das Leben schwermacht
  1. Anhörung im Bundestag Leistungsschutzrecht findet Unterstützer
  2. Google-Chef Eric Schmidt sieht schon wieder das Ende des Internets
  3. Europäisches Leistungsschutzrecht Oettinger droht wieder mit der Google-Steuer

  1. Re: IMHO: asoziale Netzwerke

    Clown | 12:09

  2. Re: goodyear erfindet perpetuum mobile

    gadthrawn | 12:08

  3. Re: GPL und freie Software

    Geistesgegenwart | 12:07

  4. Re: Firewall?

    violator | 12:06

  5. Re: Kaugummiautomat

    Wolfgang D. | 12:06


  1. 12:04

  2. 11:55

  3. 11:36

  4. 11:27

  5. 10:30

  6. 10:06

  7. 09:07

  8. 08:16


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel