
De Envelop van Metadata: De illusie van mobiele privacy
In deze podcastaflevering wordt de schijnveiligheid van moderne messaging-apps grondig ontleed. Het geruststellende hangslotje en de term end-to-end encryptie (E2EE) geven een gevoel van absolute veiligheid, maar de praktijk toont een heel ander beeld. 1. Metadata vs. Inhoud: De Envelop rond het Kistje Wat is metadata?: Encryptie beveiligt de inhoud van de brief (het stalen kistje), maar verzamelt wel de envelop: IP-adressen, locaties, contactgrafieken (wie praat met wie), tijdstippen en de frequentie van berichten. WhatsApp / Meta: Meta heeft de tekst van je berichten niet nodig voor hun verdienmodel. Door de metadata van WhatsApp te combineren met Instagram, Facebook en cookies bouwen ze gedetailleerde schaduwprofielen op. 2. Dichtgetimmerde Apps, Lekkende Infrastructuur Pushmeldingen: Om batterij te besparen lopen meldingen via centrale diensten zoals Google Firebase Cloud Messaging (FCM). Bij 11 van 21 geteste "veilige" apps lekt er metadata naar Google bij een ping, en bij 4 apps zat zelfs de ruwe, onversleutelde tekst rechtstreeks in de pushmelding. Cloud-back-ups: Berichten worden op het toestel versleuteld, maar reservekopieën (op Google Drive of iCloud) stonden historisch onversleuteld in de cloud. Opsporingsdiensten vorderen simpelweg deze back-ups op in plaats van de versleuteling te kraken. 3. Vergelijking: WhatsApp, Telegram en Signal WhatsApp: Gebruikt het sterke Signal-protocol voor encryptie, maar verzamelt op grote schaal metadata, IP-adressen en locatiegegevens. Telegram: Heeft een imago van absolute privacy, maar is standaard niet end-to-end versleuteld. Berichten staan leesbaar op hun servers voor gebruiksgemak en de app staat zelfs onversleutelde cleartext toe op het netwerk. Secret chats moet je handmatig zoeken en aanzetten. Signal: De duidelijke winnaar op het gebied van privacy. Signal is extreem minimalistisch gebouwd, vraagt het laagste aantal permissies, bevat geen trackers en vernietigt alle metadata zo snel mogelijk. 4. Surveillance, Hacking en AI Zero-click Spyware (bijv. Pegasus): Als de telefoon zelf gehackt wordt via onzichtbare exploits, helpt encryptie niet meer. De spion leest mee via de camera, microfoon en het scherm voordat de app het bericht kan versleutelen. JavaScript Scraping: De politie monitort via WhatsApp Web 24/7 profielfoto's en de "online/aan het typen"-status. Als twee verdachten wekenlang exact tegelijk online komen en typen, is een netwerkverbinding bewezen. AI Surveillance: AI-systemen (zoals Lavender) verwerken metadata (zoals het zitten in dezelfde WhatsApp-groep als een verdachte) om volautomatisch risicoscores en doelwitten vast te stellen. Conclusie & Actiepunten Beperk app-permissies, gebruik versleutelde (of geen) cloud-back-ups en overweeg een overstap naar Signal. Het grootste gevaar is echter fysiek: stop met het bewaren van jaren aan chatgeschiedenis op je telefoon. Een verloren of gestolen telefoon met een archief van 10 jaar maakt je een wandelende tijdbom voor je hele sociale netwerk.


















