Review: Nederlandse SecuText beveiligt berichten in WhatsApp

Je kan naar een andere chatapplicatie overstappen als je de privacy van berichten in WhatsApp in twijfel trekt, zoals het nu populaire Telegram of het veilige Threema. Maar je kan ook WhatsApp blijven gebruiken. De iPhone-app SecuText van de Nederlander Martijn Koopman zorgt ervoor dat je versleutelde berichten kan versturen per sms, iMessage, e-mail of WhatsApp Messenger. Je wisselt eenmalig een sleutel uit en verstuurt elkaar daarna afgeschermde berichten.

Kluis op je berichten

Een screenshot van SecuText in de App Store laat zien hoe en waarom je de app kan gebruiken. Je hebt een ontzettend geheime mededeling voor je beste vriend die niemand mag zien of onderscheppen. Om daar zeker van te zijn, stuur je het volgende bericht niet vanuit WhatsApp (of iMessage, sms of e-mail), maar open je de app SecuText en schrijf je daarin het bericht. Je kiest de applicatie waarmee je het bericht wilt versturen; het bericht wordt gecodeerd weergegeven in de app van keuze en de ontvanger krijgt een link te zien naar een bericht die alleen hij kan openen.

Zelfs kwaadwillende personen die het bericht in een of ander verbindingslek konden onderscheppen, horen het beveiligde bericht niet te kunnen lezen. Zij hebben namelijk niet de beschikking over de unieke sleutel die jij met de ontvanger hebt gedeeld – en de sleutel die de ontvanger jou heeft teruggestuurd.

Voorbeeld: bericht ontvangen in iMessage, link openen in SecuText

Verscherpte beveiliging

SecuText kwam eerder in het nieuws bij Tweakers omdat de app door Apple geweigerd zou zijn vanwege een NSA-verwijzing in de app-omschrijving. Het techblog schreef toen dat de app niet veilig genoeg was, omdat de sleutels toen deels werden verstuurd en deels al in de app stonden. Het laatste gedeelte zou achterhaald kunnen worden door de app te reconstrueren; te reverse-engineeren. Daar heeft Koopman op geanticipeerd met ingang van de nieuwste update, de reden dat we nu over de applicatie schrijven:

Het versleutelingsalgoritme is verbeterd door het gebruik van 1024 bits asymmetrische sleutels. Als gevolg dien je je publieke sleutel te delen met ieder contact, voordat je een gesprek kunt starten of vervolgen. SecuText genereert hiervoor automatische berichten. Alleen je eigen geheime privésleutel (welke veilig wordt opgeslagen in de iCloud Sleutelhanger) is in staat om de berichten van jouw contacten te ontcijferen. De berichten worden dusdanig versleuteld dat ze er bij Facebook niks mee kunnen.

Gedoe

Je moet elke persoon waarmee je beveiligde berichten wilt uitwisselen, dus eerst jouw sleutel toesturen. Je verstuurt je sleutel in een behoorlijk lang Nederlandstalig bericht waarin de ontvanger ook krijgt uitgelegd dat ie SecuText moet downloaden. En dat diegene na het downloaden op de sleutel moet drukken. Als verzender van de sleutel krijg je in SecuText de bevestiging dat je sleutel is aangekomen en kan je ook rekenen op een sleutel terug. Pas dan is de beveiligde verbinding tot stand gekomen. Het is dan wel te hopen dat de link met de sleutel voor de ander klikbaar is. Bij onze test was dat niét het geval (zie screenshot), waardoor het verbinding leggen niet mogelijk was. De belofte dat je niet hoeft te kopiëren en te plakken om berichten te ontcijferen, wordt dan dus niet waargemaakt.

Het is goed in te denken waarom Koopman er vóór de nieuwe update voor koos om je maar één keer zo’n sleutel te laten delen. Het zijn stappen die je niet graag neemt als je even snel een bericht wilt verzenden. Daarnaast hangt SecuText er een beetje raar bij naast WhatsApp of iMessage. Je schrijft je bericht in SecuText, verstuurt hem dan via WhatsApp of iMessage, en de ontvanger opent de link in dat bericht dan weer in SecuText. Gelukkig kan je ook gewone berichten uitwisselen in SecuText, zodat je niet de hele tijd tussen apps hoeft te schakelen.

Betere alternatieven

Je mag 25 beveiligde berichten gratis versturen met SecuText. Daarna betaal je eenmalig 99 cent om oneindig van de beveiliging gebruik te kunnen maken. Die beveiliging die dus gepaard gaat met (lomp) grote berichten vol tekens, waar de ontvanger in WhatsApp mogelijk niet op kan drukken. En beveiliging die dus het gebruik van een extra chat app vereist.

Als je een extra app tolereert om beveiligde berichten mee te versturen, zijn er simpelweg fijnere alternatieven. In de gratis chat app SureSpot kan je beiden een (tijdelijke) identiteit aanmaken en kan je elkaar zwaar beveiligde berichten versturen. Als de een daarin een bericht verwijdert, verdwijnt ie bij de ander ook. Die app is gratis, maar niet erg fraai en ondersteunt geen groepsgesprekken. Threema is een ander alternatief voor 1,79 euro, met groepsgesprekken en een Zwitserse ‘bankkluis-beveiliging’. Beide apps voelen fijner en natuurlijker dan SecuText gebruiken naast WhatsApp of iMessage, en werken ook beter.

Downloaden: SecuText voor WhatsApp, SMS en Mail (gratis, universeel, iOS 6.0+)