Nedavno se je veliko govorilo o novem načinu izkoriščanja WhatsApp in zaobiti šifriranje od konca do konca, ki ga podjetje rado omenja, da ima, kadar koli lahko. Videl sem tvite in komentarje, ki segajo od "to je FUD" do govorjenja o nekaterih stranskih vratih, ki jih je namestil Facebook.
Dobra novica je, da ni ne eno ne drugo. Pravzaprav to ni ena tistih stvari, ki bi vas morale skrbeti, ampak je ena tistih stvari, zaradi katerih se sprašujete, kako se je sploh zgodilo, ker je precej površno. Vendar ne skrbite – popravljeno bo veliko prej, preden se kar koli zgodi.
kaj je
Raziskovalci Paul Rösler, Christian Mainka in Jörg Schwenk z Ruhr-Universität v Bochumu v Nemčiji izdal raziskovalno delo (.pdf povezava), ki je našel nenavadno napako v administraciji skupinskega klepeta WhatsApp. WhatsApp ponuja enako šifriranje od konca do konca za skupinske klepete kot za posamezne klepete, kar običajno pomeni, da bi morali imeti možnost počutite se varne, če veste, da stvari, ki jih rečemo, ne bo prebral nihče, ki tega ne bi smel brati, razen če eden od članov skupine tega dovoli zgoditi.
Očitno je teoretično mogoče, da se neznanec doda v skupinski klepet na WhatsApp. Tu sta ključni besedi "teoretično" in "možno". Bom razložil.
WhatsApp ponuja skupinsko sporočanje, ki uporablja močno šifriranje od konca do konca.
V skupinskem klepetu WhatsApp je eden ali več prvotnih članov skrbnik. Z vidika strežnika to pomeni, da lahko te osebe dodajajo in odstranjujejo osebe iz skupine. Zaenkrat je vse v redu, čeprav tako deluje - administrator pošlje signal vsakemu članu skupine s svojimi podpisnimi ključi, v zameno pa vsak član pošlje povratni sporočilo z njihovimi ključi za podpisovanje, potem avtor sporočila obvesti vsakega člana, da je zdaj nova oseba v skupini - je malo zadrege, da bi ustvarili dobrega uporabnika vmesnik. Če niste skrbnik, veste le to, da vidite sporočilo, da je Jerry zdaj član skupine. To lahko sprejmete ali zapustite klepet.
Podobno napako so našli pri skupinskem sporočanju prek Signala.
Težava je v tem, da WhatsApp ne preverja pravilno pristnosti teh zahtev za upravljanje skupine na svojih strežnikih. Strežnik WhatsApp mora pravilno identificirati pošiljatelja sporočila, ki bi osebo dodal v skupinski klepet. Oseba pošlje sporočilo, ki identificira skupino in člana, ki ga želi dodati, strežnik pa preveri, ali je oseba, ki ga je poslala, dejansko skrbnik klepeta. Ta sporočila niso šifrirana od konca do konca in namesto tega uporabljajo standardno transportno šifriranje – sporočilo, ki prihaja od skrbnika klepeta in gre na strežnik, ki zahteva dodajanje uporabnika v a klepet je pošiljatelj ni podpisal s svojim šifrirnim ključem.
To pomeni, da lahko strežnik WhatsApp kadar koli doda katerega koli uporabnika v katero koli skupino. The strežnik lahko, ne drug uporabnik. To je pomembno in pomeni, da je morebitna zasebnost, pričakovana v skupinskem klepetu WhatsApp, odvisna izključno od zaupanja strežniku za klepet WhatsApp. To izpodbija celoten namen šifriranja od konca do konca, ki je zasnovano tako, da je zasebnost zagotovljena, tudi če je strežnik ogrožen, ker lahko samo pošiljatelj in prejemnik dešifrirata sporočilo.
In potem internet izgubi svoj kolektivni um, ker je to tisto, v čemer je internet res dober.
To se ne bo zgodilo, vendar je še vedno treba popraviti
To napako je mogoče izkoristiti le tako, da to stori nekdo z dostopom do strežnika. To pomeni, da je strežnik ogrožen, da zaposleni postane lopov ali da vladna agencija s tremi črkami izda nalog. Karkoli od tega se lahko zgodi, morda se je zgodilo v preteklosti in se lahko celo dogaja prav zdaj. Upoštevati je treba še eno stvar — vedeli boste, če se to zgodi vašemu klepetu.
Obveščeni ste vsakič, ko je oseba dodana v skupinski klepet, šifriran ali ne.
Prva stvar, ki jo strežnik naredi po dodajanju člana, je, da obvesti vse druge člane skupine, da "Jerry je bil dodan v klepet." Videli boste sporočilo, ki vam pove, da je bil nekdo dodan, in prav tako bodo vsi drugače. Ko Jerry pride na zasebno klepetalnico s svojimi slabimi šalami in poceni pivom in ga nihče ni povabil, je to bo to znak, da je nekaj narobe in nihče ne sme obravnavati ničesar, kar namerava vtipkati, kot zasebno. Spakirajte in se premaknite na drug klepet brez Jerryja in morda celo z drugo storitvijo, ki mu ne bo dovolila, da bi se zrušil.
Torej nihče ne bo mogel na skrivaj preveriti vašega šifriranega skupinskega klepeta, vendar to še vedno na vse možne načine spodkopava šifriranje od konca do konca. To je treba takoj popraviti in morda je treba prenoviti celo metodo upravljanja celotne skupine. Vsaj najmanj se moramo praskati po glavah in se spraševati, kako se kaj takega izmuzne programerjem in revizorjem kode. To je smešna premisa, ki je ne bomo nikoli izkoristili, a vseeno.
Kaj morate storiti
Nič zares. Cenim delo, ki so ga opravili Rösler, Mainka in Schwenk pri iskanju te napake, ker varnostne raziskave je nehvaležno in pogosto omrtvičeno delo, a mimo tega vam pravzaprav ni treba spreminjati svoje rutine vse. Način preverjanja pristnosti zahteve za dodajanje člana v šifrirani skupinski klepet bodo določili ljudje, ki hranijo WhatsApp kolesa se bodo kmalu zavrtela in to se bo spremenilo iz napake, ki je nikoli ne bo mogoče izkoristiti, v napako, ki je ne bo več mogoče izkoristiti vse.
Pomembno je, da ste bili pozorni, ker Naslednji pomanjkljivost je morda tista, ki zahteva ukrepanje z vaše strani. Pojavila se bo še ena napaka, zato poskrbite, da boste še naprej pozorni.