Недавно было много разговоров о новом способе эксплойта. WhatsApp и обходить сквозное шифрование, которое компания любит упоминать, когда это возможно. Я видел твиты и комментарии, которые варьируются от «это FUD» до разговоров о каком-то бэкдоре, который установил Facebook.
Хорошая новость в том, что это не так. На самом деле, это не одна из тех вещей, о которых вам нужно беспокоиться, а вместо этого одна из тех вещей, которые заставляют вас задаться вопросом, как это вообще могло произойти, потому что это довольно небрежно. Но не волнуйтесь — это будет исправлено задолго до того, как что-то случится.
Что это
Исследователи Пауль Рёслер, Кристиан Майнка и Йорг Швенк из Рурского университета в Бохуме, Германия. выпустил исследовательскую работу (ссылка в формате .pdf), которая обнаружила своеобразный недостаток в администрировании группового чата WhatsApp. WhatsApp предлагает такое же сквозное шифрование для групповых чатов, как и для индивидуальных чатов, и это обычно означает, что мы должны иметь возможность чувствовать себя в безопасности, зная, что то, что мы говорим, не будет прочитано теми, кто не должен это читать, если только один из членов группы не позволит это сделать. случаться.
По-видимому, теоретически возможно, что незнакомец может добавить себя в групповой чат в WhatsApp. Ключевые слова здесь «теоретически» и «возможно». Я объясню.
WhatsApp предлагает групповой обмен сообщениями, в котором используется надежное сквозное шифрование.
В групповом чате WhatsApp один или несколько первоначальных участников являются администраторами. С точки зрения сервера это означает, что эти люди могут добавлять и удалять людей из группы. Пока все хорошо, хотя принцип работы — администратор отправляет сигнал каждому участнику группы со своими ключами подписи, а в ответ каждый участник отправляет ответ сообщение с их ключами подписи, тогда составитель сообщения уведомляет каждого участника о том, что теперь в группе появился новый человек — это немного кладж, чтобы создать хорошего пользователя интерфейс. Если вы не являетесь администратором, единственное, что вы знаете, это то, что вы видите сообщение о том, что Джерри теперь является членом группы. Вы можете принять это или выйти из чата.
Аналогичный недостаток был обнаружен при групповом обмене сообщениями через Signal.
Проблема в том, что WhatsApp неправильно аутентифицирует эти запросы на управление группами на своих серверах. Сервер WhatsApp должен правильно идентифицировать отправителя сообщения, которое добавит человека в групповой чат. Человек отправляет сообщение, которое идентифицирует как группу, так и участника, которого он хочет добавить, и сервер проверяет, чтобы убедиться, что человек, отправивший его, действительно является администратором чата. Эти сообщения не зашифрованы сквозным шифрованием, а вместо этого используют стандартное транспортное шифрование — сообщение, поступающее от администратора чата и идущее на сервер, который запрашивает добавление пользователя в чат не подписано отправителем своим ключом шифрования.
Это означает, что сервер WhatsApp может добавить любого пользователя в любую группу в любое время. сервер может, не другой пользователь. Это важно, и это означает, что любая конфиденциальность, ожидаемая в групповом чате WhatsApp, зависит исключительно от доверия к серверу чата WhatsApp. Это сводит на нет всю цель сквозного шифрования, разработанного таким образом, чтобы гарантировать конфиденциальность, даже если сервер скомпрометирован, потому что только отправитель и получатель могут расшифровать сообщение.
И тогда Интернет теряет свой коллективный разум, потому что Интернет действительно хорош в этом.
Этого не произойдет, но все еще нуждается в исправлении
Единственный способ использовать эту уязвимость — сделать это кем-то, у кого есть доступ к серверу. Это означает, что сервер скомпрометирован, или сотрудник стал мошенником, или правительственное агентство из трех букв выдает ордер. Любое из этих событий могло произойти, могло произойти в прошлом и даже может происходить прямо сейчас. Но нужно учитывать еще одну вещь — вы узнаете, если это произойдет с вашим чатом.
Вы получаете уведомление всякий раз, когда человек добавляется в групповой чат, зашифрованный или нет.
Первое, что делает сервер после добавления члена, — это уведомляет всех остальных членов группы о том, что «Джерри добавился в чат». Вы увидите сообщение о том, что кто-то был добавлен, как и все еще. Когда Джерри приходит на приватную вечеринку со своими плохими шутками и дешевым пивом, а его никто не приглашал, это будет признаком того, что что-то не так, и никто не должен рассматривать то, что он собирается напечатать, как частный. Собирайтесь и переходите к другому чату без Джерри и, возможно, даже к другому сервису, который не даст ему вылететь.
Таким образом, никто не сможет тайно проверить ваш зашифрованный групповой чат, но это все равно подрывает сквозное шифрование всеми возможными способами. Это нужно исправлять немедленно, а может быть, и пересмотреть весь метод управления группой. Как минимум, нам всем нужно почесать затылок и задаться вопросом, как что-то подобное ускользает от программистов и аудиторов кода. Это нелепая предпосылка, которая никогда не будет использована, но все же.
Что тебе необходимо сделать
Не важно. Высоко оцениваем работу, проделанную Рёслером, Майнкой и Швенком по обнаружению этой уязвимости, поскольку исследования в области безопасности это неблагодарная и часто утомительная работа, но после этого вам действительно не нужно менять свой распорядок в все. Способ проверки подлинности запроса на добавление участника в зашифрованный групповой чат будет решаться теми, кто хранит учетную запись WhatsApp. колеса быстро вращаются, и это превратится из недостатка, который никогда не будет использован в недостаток, который больше не может быть использован в все.
Важно то, что вы обращали внимание, потому что следующий недостаток вполне может быть тем, который действительно требует действий с вашей стороны. И будет еще один недостаток, поэтому убедитесь, что вы продолжаете обращать внимание.