Поделиться
Найден способ перехватывать чужие сообщения в WhatsApp
В сервисе мгновенного обмена сообщениями WhatsApp обнаружена серьезная уязвимость, позволяющая посторонним перехватывать и читать чужую переписку. Проблема заключается в том, как реализован протокол сквозного шифрования. В Facebook утверждают, что WhatsApp работает именно так, как должен, и что выявленная уязвимость – это «ожидаемое поведение» и опровергли саму возможность перехвата сообщений.Дыра в шифровании WhatsApp
В сквозном шифровании, используемом в популярном сервисе WhatsApp, обнаружилось слабое место, которое эксперты уже назвали бэкдором. Уязвимость в теории позволяет третьим лицам перехватывать и читать передаваемые в WhatsApp сообщения.
Правозащитники считают эту уязвимость «колоссальной угрозой свободе слова», «обманом доверия пользователей» и предупреждают, что государственные органы вполне могут пользоваться найденной брешью для чтения приватной переписки, в то время как пользователи уверены в защищенности соединения. Facebook продолжает настаивать, что перехват сообщений в WhatsApp невозможен.
Неперехватываемый Signal
Сквозное шифрование в WhatsApp появилось в апреле 2016 г. Оно реализовано на базе протокола Signal, разработанного Open Whisper Systems.
Протокол включает генерацию уникальных ключей, которыми в начале соединения обмениваются клиентские приложения собеседников, и их взаимную верификацию, исключающую перехват и чтение содержимого посланий посторонними.
Однако, как сообщает The Guardian, в WhatsApp существует функция принудительной генерации новых ключей шифрования для оффлайновых пользователей, причем отправитель и получатель сообщений о появлении новых ключей ничего не сообщается.
позволяющая посторонним перехватывать и читать чужую переписку
Более того, не доставленные сообщения отправителя перешифровываются с помощью новых ключей, и отправляются повторно. Это перешифровывание и повторная отправка сообщений - как минимум, в теории - позволяет сотрудникам WhatsApp перехватывать и читать пользовательские сообщения.
Получатель сообщения вообще не узнает ничего об изменениях в шифровании, в то время как отправитель получит уведомление только в том случае, если в настройках шифрования указал обязательную отправку таких уведомлений, и только в случае повторной отправки сообщений.
Проблему обнаружил Тобиас Бельтер (Tobias Boelter), эксперт по криптографии и информационной безопасности в Университете штата Калифорния. По его утверждению, он уведомил Facebook об уязвимости в апреле 2016 г., однако ему ответили, что проблемы не существует: так, дескать, WhatsApp и должен работать.
Интересно, что в самом Signal этой уязвимости нет, автоматическая повторная отправка сообщений с новыми ключами шифрования там не предусматривается.
«Кто-то может сказать, что уязвимость можно использовать исключительно для просмотра отдельных сообщений, а не всего разговора. Однако это не так, учитывая, что сервер WhatsApp может просто перенаправлять сообщения без отправки уведомлений о доставке сообщений... чего пользователи могут и не заметить. Благодаря уязвимости, связанной с повторной отправкой сообщений, сервер WhatsApp может получить весь лог разговора, а не только одно сообщение», - утверждает Бельтер.
Слово подозреваемого
Представители WhatsApp заявили, что повторная отправка сообщений была реализована, поскольку «во многих регионах мира люди часто меняют устройства и SIM-карты», и что в таких ситуациях WhatsApp заботится о том, чтобы сообщения были доставлены адресату и не терялись.
«Сегодня более миллиарда людей используют WhatsApp, потому что это простая, быстрая, надежная и безопасная разработка. Мы всегда верили в то, что общение людей должно быть защищенным и приватным», - заявили The Guardian в пресс-службе WhatsApp.
Впоследствии представители WhatsApp категорически заявили, что отмеченная Guardian уязвимость не является бэкдором.
«Является ли эта особенность WhatsApp бэкдором или нет, вопрос неоднозначный; заявления о бэкдоре опровергают даже разработчики Signal», - говорит Дмитрий Гвоздев, генеральный директор компании "Монитор безопасности». – Но в целом этот пример - лишнее доказательство тому, как важно для самих пользователей не полагаться на «честное слово» разработчиков и проверять все, что связано с настройками безопасности, самостоятельно, насколько это вообще возможно.
Facebook выкупил WhatsApp в 2014 г. за $22 млрд. В августе 2015 г. политика безопасности личных данных была изменена, и Facebook начал комбинировать данные о пользователях WhatsApp и Facebook (в том числе, телефонные номера и статистику использования приложения) в рекламных целях и для дальнейшего совершенствования.
Под давлением европейской правозащитной группы Article 29 Working Party Facebook отказался использовать эти комбинированные данные в рекламных целях. Впоследствии Еврокомиссия возбудила дело против Facebook за подачу регуляторам «вводящих в заблуждение» сведений в период, предшествовавший покупке WhatsApp.
Еще задолго до покупки WhatsApp критиковали за слабый алгоритм генерации пароля, отсутствие шифрование и прочие проблемы с безопасностью.
Короткая ссылка
