Waarom Telegram NIET privacy-vriendelijk is

Telegram is een berichten-app welke in recente jaren enorm is gestegen in populariteit. Momenteel heeft de Russische app wereldwijd 800 miljoen gebruikers en het wordt door vele gezien als een van de grootste concurrenten van WhatsApp. Dit heeft meerdere redenen. Telegram is Open Source waardoor de code inzichtelijk is voor iedereen. Dit vinden wij natuurlijk fantastisch!

Telegram heeft ook de zogeheten ‘Open Groups’ groot gemaakt. Open Groups zijn chatrooms waar mensen aan kunnen deelnemen zonder door een specifiek iemand toegevoegd te hoeven worden. Als een groepseigenaar daar voor kiest, kunnen alle leden andere mensen uitnodigen. Deze groepen worden gebruikt voor het voeren van gesprekken maar ook voor het posten van interessante links. Veel mensen gebruiken dit soort chats om op de hoogte te blijven van het nieuws via bepaalde bronnen. Daarnaast geeft Telegram aan op hun website aan dat alle chats privacy-vriendelijk zijn, wat de indrukt wekt dat men niet bang hoeft te zijn voor pottenkijkers of andere indringende entiteiten.

Dit klinkt natuurlijk heel goed. Een populaire open source app die groepchats toegankelijk maakt en privacy-vriendelijk is! Hoewel de eerste twee standpunten waar zijn, is het privacy-vriendelijk zijn van Telegram ver van de waarheid. Waarom is dit? Een essentiële functie van een berichten-app welke niet mag ontbreken is End-to-End Encryption (versleuteling). Berichten die via Telegram worden verzonden en ontvangen zijn niet versleuteld. Dit zorgt ervoor dat ze niet alleen kunnen worden onderschept door hackers, maar ook andere instanties zoals Big Tech bedrijven, overheden en vooral ook Telegram zelf.

‘Secret chats’ zijn optioneel en onveilig

Je kunt 1-op-1 chats (wel) versleutelen door een zogeheten Secret Chat te starten. Deze optie staat niet standaard aan, waardoor deze functionaliteit handmatig ingeschakeld moet worden. Wij zijn bij proprivacy.io absoluut geen voorstander van optionele privacy. Dit om de doodsimpele reden dat mensen dit in de praktijk altijd vergeten. De harde realiteit is vervolgens dat bijna niemand zo’n functionaliteit gebruikt.

Daarnaast is deze optie enkel een mogelijkheid voor 1-op-1 chats. Naast dat je berichten niet standaard worden versleuteld, geldt dit ook voor alle bijbehorende content zoals foto’s, video’s, links, audio-opnames etc. Telegram vereist voor het gebruik een telefoonnummer (en dus een simkaart). De private-messaging app Signal doet dit ook, maar dan versleuteld (standaard en automatisch) voor alle vormen van chats, inclusief groepchats. Mocht je nu denken: zolang ik maar 1-op-1 chats gebruik en ik de Secret Chat functie inschakel ben ik veilig, dan loop je alsnog tegen de versleutelmethode aan die Telegram gebruikt. De app gebruikt een versleutelprotocol welke ze zelf hebben ontwikkeld genaamd: MT Proto (Mobile Telegram Protocol). Dit wordt door veel veiligheidsexperts gezien als een onveilig en ouderwets protocol welke niet meegaat met de veiligheidsstandaarden van vandaag de dag.

Heeft Telegram zelf toegang tot de data?

Een belangrijk punt van aandacht is ook de reputatie van een applicatie. In het geval van Telegram zijn er in het verleden verdachte situaties geweest waarin Telegram betrokken is geweest bij de overdracht van data aan overheden. Telegram is in 2018 verbannen uit Rusland omdat ze weigerden gegevens van een persoon af te geven aan de Russische overheid. Een nobel standpunt natuurlijk en dit heeft Telegram in de privacy wereld veel goede publiciteit gebracht.

Echter heeft Rusland er later voor gekozen om Telegram toch weer toe te laten. Waarom? Omdat Telegram heeft toegezegd te helpen met onderzoeken die gericht zijn op ‘extremisme’. In 2023 werd Telegram verbannen door Irak omdat er sprake was van een ‘veiligheidsrisico’ waarbij contactgegevens werden verspreid. De Iraakse overheid verzocht Telegram om de bronnen te achterhalen van deze lekken. De ban werd weer opgeheven nadat Telegram besloot om ‘mee te werken’. Tot op de dag van vandaag is het nog steeds gissen welke afspraak er hier precies is gemaakt. Een ding weten we in ieder geval wel: Telegram heeft zelf toegang tot de data. Dit is op zichzelf al een probleem, want het creëert een ‘central point of failure’. Telegram kan door externe entiteiten onder druk gezet worden om data af te staan.

End-to-end encryption is altijd de norm

Onze favoriete privacy-vriendelijke messaging apps zijn Signal en Session. De berichten die je via deze applicaties uitwisselt worden altijd end-to-end encrypted (E2EE). De versleuteling vindt plaats op het apparaat van de verzender, waar daarna de decodering van de gegevens plaatsvindt op het apparaat van de ontvanger. Zowel Signal als Session hebben dus geen toegang tot de berichten die je uitwisselt!

Van Signal weten we dat ze geen enkele data in de vorm van contactgegevens en chats opslaan. In het verleden heeft Signal overheidsverzoeken om data te verkrijgen geweigerd, simpelweg omdat ze de gegevens niet hebben. Signal krijgt enkel een code te zien welke wordt gegenereerd bij het aanmaken van een nieuw account. Deze code wordt ook gelogd tijdens alle vormen van activiteit op Signal. Deze unieke code kan echter niet worden gelinkt aan een identiteit, wat er weer voor zorgt dat het niet naar een persoon kan worden herleid. Dus ook niet het telefoonnummer dat je gebruikt om toegang te krijgen tot Signal. Signal is op dit moment zelfs bezig om berichtuitwisseling zonder de uitwisseling van een telefoonnummer te testen. Dit is iets waar wij heel vrolijk van worden!

Onze andere favoriete E2EE messaging app is Session. Session vereist geen telefoonnummer om te kunnen werken en dus ook geen simkaart. De app heeft je contacten niet nodig omdat je met Session handmatig mensen kunt toevoegen aan je contactenlijst met een link of QR-code. Session heeft dus geen reden om je contacten te kunnen inzien. Daarnaast heeft Session geen centrale servers zoals Signal en Telegram. Als de servers plat liggen bij Signal en/of Telegram, kun je geen berichten sturen via deze apps. Dankzij het decentrale blockchain-netwerk van Session is deze app nog nooit offline geweest! Alle communicatie is E2EE en Session heeft daarmee dus ook geen ‘central point of failure’.

De Pro Privacy Phone en het Pro Privacy Platform

Voor zowel Signal als Session hebben we zeer uitgebreide handleidingen op ons Pro Privacy Platform. Hier leggen we je uit hoe je deze berichtenapps kunt gebruiken en met welke instellingen je je privacy en veiligheid het beste kunt waarborgen.