Telegram ohne Google-Push über die eigene Nextcloud absichern – Datenschutz in Perfektion |
Telegram ohne Google-Push über die eigene Nextcloud absichern – Datenschutz in Perfektion
Es geht tatsächlich. Man kann Telegram auch ohne Google-Push Token nutzen. NextPush, Nagram, Mercurygram und Nextcloud helfen dabei.
Wie das FBI Messenger-Nutzer über Push-Tokens identifizierte
Mercurygram und Nagram statt der offiziellen Telegram-App
NextPush auf der eigenen Nextcloud einrichten
Nextcloud mit DynDNS und Let's Encrypt veröffentlichen
Nextcloud zu Hause über HAProxy und Tailscale anbinden
Ohne VPS funktioniert es mit Tailscale Funnel
Den aesgcm-Proxy selbst betreiben
Tailscale-IP ermitteln
Nagram und Mercurygram mit NextPush verbinden
Google bleibt draußen, Telegram nicht
Eine verschlüsselte Nachricht nützt wenig, wenn man den Empfänger über den Push-Dienst identifizieren kann. Der Dienst sorgt dafür, dass man auf dem Smartphone eine Benachrichtigung erhält, obwohl die App gar nicht aktiv ist. Im ersten Schritt verschickt jemand eine Mitteilung. Telegram veranlasst in der Folge eine Benachrichtigung. Der externe Push-Dienst transportiert die Daten zum Smartphone des Adressaten. Am Ende der Transportkette sieht man auf dem Sperrbildschirm beispielsweise die Mitteilung: „Neue Nachricht bei Telegram“.
Das FBI hat bereits gezeigt, wie einfach die Identifikation des Empfängers trotz der aktiven Ende-zu-Ende-Verschlüsselung und der Nutzung von Pseudonymen funktionieren kann. Anstatt sich um den Messenger zu kümmern, forderten die Ermittler bei Google Informationen zu einem Push-Token an. Die Daten führten sie über die Betreibergesellschaft von Teleguard schließlich zum gesuchten Nutzer.
Gerade wenn Telegram nicht nur für öffentliche Kanäle, sondern auch für vertrauliche Gespräche oder journalistische Kontakte genutzt wird, sollte man die Nutzung von Drittanbietern vermeiden. Mit NextPush und einer eigenen Nextcloud kann man Google aus der Push-Zustellung entfernen. Das funktioniert auch unter GrapheneOS und anderen Android-Systemen, die ohne Google Play Services auskommen.
Wie das FBI Messenger-Nutzer über Push-Tokens identifizierte
Im Februar 2024 berichtete die „Washington Post“ über eine Ermittlungsmethode, bei der Push-Benachrichtigungen zur Identifizierung von Personen genutzt wurden. Die Journalisten deckten mehr als 130 Durchsuchungsbeschlüsse und gerichtliche Anordnungen auf, in denen entsprechende Daten angefordert wurden oder bei denen Push-Tokens eine Rolle spielten.
Das einst neuartige Vorgehen betraf die Swisscows AG, die den Schweizer Messenger TeleGuard bereitstellt. Der Anbieter wirbt bis heute mit verschlüsselter Kommunikation und der Speicherung möglichst weniger Nutzerdaten. Das stimmt soweit auch. Dennoch gelang es dem FBI auf diese Weise, einen Verdächtigen zu identifizieren.
Die Ermittler erhielten einen Push-Token, den TeleGuard für Benachrichtigungen an das Smartphone des Nutzers verwendete. Mit den Daten des Token fragten sie bei Google nach den zugehörigen Informationen. Google LLC lieferte unter anderem verknüpfte Konten und IP-Adressen. Eines der Konten führte schließlich zum Verdächtigen.
Das Entscheidende daran: Niemand musste dafür die Verschlüsselung von TeleGuard knacken. Die benötigten Informationen besaß Google auf ihren Servern. Sie mussten sie nach Eingang des „exigent request“, also einer dringenden Anfrage des FBI-Mitarbeiters, preisgeben.
Auch Apple stellt man immer wieder Behördenanfragen zu Push-Tokens zu. Über die geänderte Vorgehensweise haben wir auf Tarnkappe.info bereits berichtet.
Unter Android werden Benachrichtigungen häufig über den Dienst Firebase Cloud Messaging (FCM) abgewickelt. Jede registrierte App-Instanz erhält einen Token, über den Google das richtige Gerät erreichen kann. FCM & Co. erhalten zwar keinen Klarnamen, sie können sie aber mit anderen gespeicherten Informationen verknüpfen.
Für Ärzte, Anwälte, Gewerkschaftsvertreter, Informanten, Journalisten und andere Personen, die vertrauliche Kontakte schützen müssen, ist dies ein unnötiges Risiko. Die Inhalte der Nachrichten müssen nicht einmal bekannt sein. Schon die Daten rund um ihre Zustellung können für eine Zuordnung ausreichend sein.
Mercurygram und Nagram statt der offiziellen Telegram-App
Die offizielle Telegram-App erlaubt keine freie Auswahl eines Unified-Push-Anbieters. Dafür benötigen wir einen alternativen Client wie Mercurygram. Unified-Push-Anbieter (sogenannte Distributoren und Server) ermöglichen den Empfang von Push-Benachrichtigungen unter Android und Linux, ohne auf die Google Play Services oder andere proprietäre Push-Dienste angewiesen zu sein.
Die App Mercurygram ist ursprünglich aus Telegram-FOSS hervorgegangen und wird inzwischen eigenständig weiterentwickelt. Während von Telegram-FOSS schon länger keine neuen Releases mehr veröffentlicht wurden, bearbeiten die Mercurygram-Entwickler aktuelle Telegram-Versionen und ergänzen sie um die Änderungen für den Betrieb ohne Google-Dienste. Der Client unterstützt Unified Push und erlaubt die Verwendung eines eigenen Web Push-Gateways.
Nagram unterstützt ebenfalls Unified Push und Web Push. Dort ist bereits ein öffentliches Gateway hinterlegt. Im Quellcode ist dafür derzeit die Adresse https://p2p.hoyolab.pp.ua/ hinterlegt. Ein eigener AESGCM-Proxy wie dieser hier, ist damit nicht zwingend erforderlich.
Der Hintergrund ist das ältere Format für verschlüsselte Push-Benachrichtigungen von Telegram. UnifiedPush kann diese nicht unverändert weiterleiten, da dabei Informationen zur Entschlüsselung verloren gehen würden. Das Gateway passt die Daten entsprechend an. Die Nachrichten selbst kann es dabei jedoch nicht entschlüsseln.
Der voreingestellte Server von Telegram erspart zwar die Installation, dafür ist jedoch........