Petr Szkuta Podczas trwającej konferencji dotyczącej bezpieczeństwa Black Hat ujawniono wiele luk w zabezpieczeniach. Wśród nich znajdują się błędy w aplikacji WhatsApp, które umożliwiają atakującym zmianę treści wiadomości.
Dziury w WhatsApp można wykorzystać na trzy możliwe sposoby. Najciekawsze jest to, kiedy zmieniasz treść wysyłanej wiadomości. W rezultacie wyświetlony zostanie tekst, którego tak naprawdę nie napisałeś.
Mogłoby być interesują Cię
Istnieją dwie możliwości:
- Osoba atakująca może użyć funkcji „odpowiedz” na czacie grupowym, aby zmylić tożsamość nadawcy wiadomości. Nawet jeśli dana osoba w ogóle nie uczestniczy w czacie grupowym.
- Ponadto może zastąpić cytowany tekst dowolną treścią. Może w ten sposób całkowicie zastąpić oryginalną wiadomość.
W pierwszym przypadku łatwo jest zmienić cytowany tekst tak, aby wyglądał tak, jakbyś go napisał. W drugim przypadku nie zmieniasz tożsamości nadawcy, a jedynie edytujesz pole z cytowaną wiadomością. Tekst można całkowicie przepisać, a nowa wiadomość będzie widoczna dla wszystkich uczestników czatu.
Poniższy film pokazuje wszystko graficznie:
Eksperci Check Point znaleźli również sposób na połączenie wiadomości publicznych i prywatnych. Jednak Facebookowi udało się to naprawić w aktualizacji WhatsApp. I odwrotnie, ataki opisane powyżej nie zostały skorygowane przez a prawdopodobnie nawet nie da się tego naprawić. Jednocześnie luka jest znana od lat.
Błąd jest trudny do naprawienia ze względu na szyfrowanie
Cały problem leży w szyfrowaniu. WhatsApp opiera się na szyfrowaniu między dwoma użytkownikami. Następnie luka wykorzystuje czat grupowy, na którym możesz już zobaczyć przed sobą odszyfrowane wiadomości. Ale Facebook Cię nie widzi, więc w zasadzie nie może interweniować.
Do symulacji ataku eksperci wykorzystali internetową wersję WhatsApp. Dzięki temu możesz sparować komputer (przeglądarkę internetową) za pomocą kodu QR, który wczytasz do swojego smartfona.
Po powiązaniu klucza prywatnego i publicznego generowany jest kod QR zawierający „tajny” parametr, który jest wysyłany z aplikacji mobilnej do klienta internetowego WhatsApp. Gdy użytkownik skanuje kod QR, osoba atakująca może wykorzystać ten moment i przechwycić komunikację.
Gdy atakujący zdobędzie szczegółowe informacje o osobie, czacie grupowym, w tym unikalny identyfikator, może na przykład zmienić tożsamość wysyłanych wiadomości lub całkowicie zmienić ich treść. W ten sposób można łatwo oszukać innych uczestników czatu.
W normalnych rozmowach między dwiema stronami ryzyko jest bardzo małe. Ale im szersza rozmowa, tym trudniej jest poruszać się po wiadomościach i tym łatwiej jest fałszywym wiadomościom wyglądać jak prawdziwe. Dlatego dobrze jest zachować ostrożność.
Mogłoby być interesują Cię
Dawid Hanak Źródło: 9to5Mac
