Petr Škuta A folyamatban lévő Black Hat biztonsági konferencián számos sebezhetőségre derült fény. Köztük vannak a WhatsApp alkalmazás hibái, amelyek lehetővé teszik a támadók számára, hogy módosítsák az üzenetek tartalmát.
A WhatsAppban lévő lyukak háromféleképpen aknázhatók ki. A legérdekesebb az, amikor megváltoztatod az elküldött üzenet tartalmát. Ennek eredményeként az a szöveg jelenik meg, amelyet valójában nem írt.
Lehet, hogy érdekel téged
Két lehetőség van:
- A támadó a csoportos csevegésben használhatja a "válasz" funkciót, hogy megzavarja az üzenet küldőjének kilétét. Még akkor is, ha az illető egyáltalán nem vesz részt a csoportos csevegésben.
- Továbbá az idézett szöveget bármilyen tartalommal helyettesítheti. Így teljesen felülírhatja az eredeti üzenetet.
Az első esetben könnyen megváltoztatható az idézett szöveg, hogy úgy nézzen ki, mint ahogy Ön írta. A második esetben nem módosítja a feladó személyazonosságát, hanem egyszerűen módosítja az idézett üzenetet tartalmazó mezőt. A szöveg teljesen átírható, és az új üzenetet minden chat résztvevő láthatja.
Az alábbi videó mindent grafikusan mutat be:
A Check Point szakértői megtalálták a módját a nyilvános és privát üzenetek keverésének is. A Facebooknak azonban sikerült ezt kijavítania a WhatsApp frissítésében. Ezzel szemben a fent leírt támadásokat nem korrigálta a valószínűleg nem is tudja megjavítani. A sérülékenység ugyanakkor évek óta ismert.
A hiba nehezen javítható a titkosítás miatt
Az egész probléma a titkosításban rejlik. A WhatsApp a két felhasználó közötti titkosításra támaszkodik. A sérülékenység ezután csoportos csevegést használ, ahol már láthatja maga előtt a visszafejtett üzeneteket. De a Facebook nem lát téged, tehát alapvetően nem tud beavatkozni.
A szakértők a WhatsApp webes verzióját használták a támadás szimulálására. Ez lehetővé teszi a számítógép (webböngésző) párosítását az okostelefonjába betöltött QR-kód segítségével.
A privát és a nyilvános kulcs összekapcsolása után egy QR-kód jön létre, amely egy "titkos" paramétert tartalmaz, és elküldi a mobilalkalmazásból a WhatsApp webes kliensnek. Amíg a felhasználó beolvassa a QR-kódot, a támadó megragadhatja a pillanatot és elfoghatja a kommunikációt.
Miután a támadó adataival rendelkezik egy személyről, egy csoportos csevegésről, beleértve az egyedi azonosítót, megváltoztathatja például az elküldött üzenetek azonosságát, vagy teljesen megváltoztathatja azok tartalmát. A chat többi résztvevője így könnyen megtéveszthető.
A két fél közötti normál beszélgetésekben nagyon kicsi a kockázat. De minél nagyobb a beszélgetés, annál nehezebb eligazodni a hírekben, és annál könnyebben néz ki az álhír az igazinak. Szóval jó vigyázni.
Lehet, hogy érdekel téged
David Hanak Forrás: 9to5Mac
