- Cercetătorii au descoperit mai multe vulnerabilități WhatsApp în cadrul conferinței Black Hat 2019.
- Vulnerabilitățile permit actorilor răi să manipuleze chat-urile.
- Facebook nu are o soluție pentru vulnerabilități.
Defecțiunile recente de securitate ale WhatsApp permit actorilor răi să difuzeze chat-urile și să le facă să pară că au venit de la tine, a raportat Check Point Research ieri. Check Point Research și-a anunțat rezultatele în cadrul conferinței de securitate Black Hat 2019.
Potrivit cercetătorilor, au existat trei moduri de exploatare a vulnerabilităților:
- Utilizați funcția „citat” într-o conversație de grup pentru a schimba identitatea expeditorului, chiar dacă persoana respectivă nu este membru al grupului.
- Modificați răspunsul altcuiva, punând în esență cuvinte în gură.
- Trimiteți un privat unui alt participant al grupului, care este deghizat în public pentru toți, astfel încât atunci când persoana vizată răspunde, acesta este vizibil pentru toată lumea în conversație.
Check Point a informat WhatsApp despre vulnerabilitățile din august 2018. WhatsApp a rezolvat apoi a treia metodă. Cu toate acestea, cercetătorii au descoperit că este încă posibil să manipuleze citatele și să le răsfețe. Check Point a folosit extensia Burp Suit pentru a sparge criptarea de la capăt la sfârșit a WhatsApp și decriptarea chat-urilor. Elementul exploatabil aici este versiunea web a WhatsApp, care folosește coduri QR pentru a se asocia cu telefonul.
Check Point a obținut pentru prima dată perechea de chei publice și private creată înainte ca WhatsApp să genereze un cod QR. În combinație cu parametrul „secret” trimis de telefonul dvs. către clientul web WhatsApp la scanarea codului QR, extensia Burp Suit ușurează monitorizarea și decriptarea s.
Un purtător de cuvânt Facebook a furnizat următoarea declarație pentru Următorul Web:
Am analizat cu atenție această problemă în urmă cu un an și este fals să sugeram că există o vulnerabilitate cu securitatea pe care o oferim pe WhatsApp. Scenariul descris aici este doar echivalentul mobil al modificării răspunsurilor într-un thread de e-mail pentru a face să pară ceva ce nu a scris o persoană. Trebuie să fim atenți că abordarea preocupărilor ridicate de acești cercetători ar putea face ca WhatsApp să fie mai puțin privat - cum ar fi stocarea informațiilor despre originea s.
Din păcate, compania nu pare să aibă o rezoluție pentru vulnerabilitățile WhatApp. Deoarece serviciul de mesagerie folosește criptarea end-to-end, Facebook nu poate accesa versiunile decriptate ale s. Asta înseamnă că Facebook nu poate interveni dacă actorii răi exploatează vulnerabilitățile menționate anterior.
