- По време на конференцията Black Hat 2019 изследователите откриха няколко уязвимости в WhatsApp.
- Уязвимостите позволяват на лошите участници да манипулират чат.
- Facebook няма поправка на уязвимите места.
Последните недостатъци на сигурността на WhatsApp позволяват на лошите актьори да излъжат чата и да ги направят така, че да дойдат от вас, съобщи вчера Check Point Research. Check Point Research обяви своите открития по време на конференцията за сигурност на Black Hat 2019.
Според изследователите е имало три начина за използване на уязвимостите:
- Използвайте функцията „цитат“ в групов разговор, за да промените самоличността на изпращача, дори ако този човек не е член на групата.
- Променете текста на отговора на някой друг, като по същество сложите думи в устата си.
- Изпратете частно лице на друг участник в групата, който е прикрит като публичен за всички, така че когато целевият индивид отговори, той е видим за всички в разговора.
Check Point информира WhatsApp за уязвимостите през август 2018 г. Тогава WhatsApp определи третия метод. Въпреки това, изследователите откриха, че все още е възможно да се манипулира цитираните и да ги подправят. Check Point използва разширението си Burp Suit, за да прекъсне крайното криптиране на WhatsApp и да дешифрира чата. Експлоатационният елемент тук е уеб версията на WhatsApp, която използва QR кодове, за да се свърже към вашия телефон.
Check Point първо получи двойката публичен и частен ключ, създадена преди WhatsApp да генерира QR код. В комбинация с „секретния“ параметър, изпратен от вашия телефон до уеб клиента WhatsApp, когато сканирате QR кода, разширението Burp Suit улеснява наблюдението и дешифрирането на s.
Говорител на Facebook предостави следното изявление на Следващата мрежа:
Ние внимателно прегледахме този проблем преди година и е невярно да предполагаме, че има уязвимост със сигурността, която предоставяме в WhatsApp. Описаният тук сценарий е просто мобилен еквивалент на промяна на отговорите в имейл тема, за да изглежда като нещо, което човек не е написал. Трябва да имаме предвид, че справянето с проблемите, повдигнати от тези изследователи, може да направи WhatsApp по-малко частен - като съхраняване на информация за произхода на s.
За съжаление изглежда, че компанията няма резолюция за уязвимостите на WhatApp. Тъй като услугата за съобщения използва криптиране от край до край, Facebook няма достъп до декриптирани версии на s. Това означава, че Facebook не може да се намеси, ако лошите участници използват гореспоменатите уязвимости.
