- Οι ερευνητές αποκάλυψαν αρκετές ευπάθειες του WhatsApp κατά τη διάρκεια της διάσκεψης Black Hat 2019.
- Τα τρωτά σημεία επιτρέπουν στους κακούς ηθοποιούς να χειριστούν τη συνομιλία.
- Το Facebook δεν έχει μια λύση για τις ευπάθειες.
Οι πρόσφατες αδυναμίες ασφαλείας του WhatsApp επιτρέπουν στους κακούς ηθοποιούς να απαλύνουν τις συνομιλίες και να τους κάνουν να μοιάζουν σαν να προέρχονται από εσάς, ανέφερε χθες Check Point Research. Η Check Point Research ανακοίνωσε τα συμπεράσματά της κατά τη διάρκεια της διάσκεψης ασφάλειας του Black Hat 2019.
Σύμφωνα με τους ερευνητές, υπήρχαν τρεις τρόποι εκμετάλλευσης των τρωτών σημείων:
- Χρησιμοποιήστε τη λειτουργία "απόσπασης" σε μια ομαδική συζήτηση για να αλλάξετε την ταυτότητα του αποστολέα, ακόμη και αν αυτό το άτομο δεν είναι μέλος της ομάδας.
- Αλλάξτε το κείμενο της απάντησης κάποιου άλλου, τοποθετώντας ουσιαστικά λόγια στο στόμα τους.
- Στείλτε ένα ιδιωτικό σε άλλο συμμετέχοντα ομάδας που είναι μεταμφιεσμένο ως κοινό για όλους, έτσι όταν το στοχευόμενο άτομο απαντά, είναι ορατό σε όλους στη συνομιλία.
Ο Check Point ενημέρωσε το WhatsApp για τις ευπάθειες τον Αύγουστο του 2018. Στη συνέχεια, η WhatsApp διόρθωσε την τρίτη μέθοδο. Ωστόσο, οι ερευνητές διαπίστωσαν ότι είναι ακόμα δυνατό να χειριστούν τα αναγραφόμενα και να τα παραπλανήσουν. Ο Check Point χρησιμοποίησε την Επέκταση κοστουμιών Burp για να σπάσει την κρυπτογράφηση End-to-End της WhatsApp και να αποκρυπτογραφήσει τη συνομιλία. Το εκμεταλλεύσιμο στοιχείο εδώ είναι η διαδικτυακή έκδοση της WhatsApp, η οποία χρησιμοποιεί τους QR κώδικες για τη σύζευξη στο τηλέφωνό σας.
Το Check Point απέκτησε για πρώτη φορά το ζεύγος δημόσιου και ιδιωτικού κλειδιού που δημιουργήθηκε πριν η WhatsApp δημιουργήσει έναν κώδικα QR. Σε συνδυασμό με την παράμετρο "μυστικό" που στέλνεται από το τηλέφωνό σας στο web client του WhatsApp κατά τη σάρωση του QR κώδικα, η Extension Suit Extension διευκολύνει την παρακολούθηση και αποκρυπτογράφηση του s.
Ένας εκπρόσωπος του Facebook έδωσε την ακόλουθη δήλωση στο Ο επόμενος ιστός:
Εξετάσαμε προσεκτικά αυτό το θέμα πριν από ένα χρόνο και είναι ψευδές να υποδείξουμε ότι υπάρχει μια ευπάθεια με την ασφάλεια που παρέχουμε στο WhatsApp. Το σενάριο που περιγράφεται εδώ είναι απλώς το κινητό ισοδύναμο αλλαγής απαντήσεων σε ένα νήμα ηλεκτρονικού ταχυδρομείου για να φανεί σαν κάτι που ένα άτομο δεν έγραψε. Πρέπει να έχουμε κατά νου ότι η αντιμετώπιση των ανησυχιών που ανακύπτουν από αυτούς τους ερευνητές θα μπορούσε να κάνει το WhatsApp λιγότερο ιδιωτικό - όπως η αποθήκευση πληροφοριών σχετικά με την προέλευση των s.
Δυστυχώς, η εταιρεία δεν φαίνεται να έχει ψήφισμα για τις αδυναμίες WhatApp. Επειδή η υπηρεσία ανταλλαγής μηνυμάτων χρησιμοποιεί κρυπτογράφηση από άκρο σε άκρο, το Facebook δεν μπορεί να αποκτήσει πρόσβαση σε αποκρυπτογραφημένες εκδόσεις του s. Αυτό σημαίνει ότι το Facebook δεν μπορεί να παρέμβει εάν κακοί παίκτες εκμεταλλευτούν τα προαναφερθέντα τρωτά σημεία.
