Petr Škuta Πολλά τρωτά σημεία αποκαλύφθηκαν στο συνέδριο ασφαλείας Black Hat που βρίσκεται σε εξέλιξη. Μεταξύ αυτών υπάρχουν σφάλματα στην εφαρμογή WhatsApp που επιτρέπουν στους εισβολείς να αλλάζουν το περιεχόμενο των μηνυμάτων.
Οι τρύπες στο WhatsApp μπορούν να αξιοποιηθούν με τρεις πιθανούς τρόπους. Το πιο ενδιαφέρον είναι όταν αλλάζετε το περιεχόμενο του μηνύματος που στέλνετε. Ως αποτέλεσμα, θα εμφανιστεί το κείμενο που στην πραγματικότητα δεν γράψατε.
Θα μπορούσε να είναι σε ενδιαφέρει
Υπάρχουν δύο επιλογές:
- Ένας εισβολέας μπορεί να χρησιμοποιήσει τη δυνατότητα "απάντηση" σε μια ομαδική συνομιλία για να μπερδέψει την ταυτότητα του αποστολέα του μηνύματος. Ακόμα κι αν το εν λόγω άτομο δεν είναι καθόλου στην ομαδική συνομιλία.
- Επιπλέον, μπορεί να αντικαταστήσει το παρατιθέμενο κείμενο με οποιοδήποτε περιεχόμενο. Μπορεί έτσι να αντικαταστήσει πλήρως το αρχικό μήνυμα.
Στην πρώτη περίπτωση, είναι εύκολο να αλλάξετε το παρατιθέμενο κείμενο για να φαίνεται ότι το γράψατε εσείς. Στη δεύτερη περίπτωση, δεν αλλάζετε την ταυτότητα του αποστολέα, αλλά απλώς επεξεργάζεστε το πεδίο με το μήνυμα που αναφέρεται. Το κείμενο μπορεί να ξαναγραφτεί πλήρως και το νέο μήνυμα θα είναι ορατό από όλους τους συμμετέχοντες στη συνομιλία.
Το παρακάτω βίντεο δείχνει τα πάντα γραφικά:
Οι ειδικοί του Check Point βρήκαν επίσης έναν τρόπο να συνδυάζουν δημόσια και ιδιωτικά μηνύματα. Ωστόσο, το Facebook κατάφερε να το διορθώσει στην ενημέρωση του WhatsApp. Αντίθετα, οι επιθέσεις που περιγράφηκαν παραπάνω δεν διορθώθηκαν από α μάλλον δεν μπορεί καν να το διορθώσει. Ταυτόχρονα, η ευπάθεια είναι γνωστή εδώ και χρόνια.
Το σφάλμα είναι δύσκολο να διορθωθεί λόγω της κρυπτογράφησης
Το όλο πρόβλημα έγκειται στην κρυπτογράφηση. Το WhatsApp βασίζεται στην κρυπτογράφηση μεταξύ των δύο χρηστών. Στη συνέχεια, η ευπάθεια χρησιμοποιεί μια ομαδική συνομιλία, όπου μπορείτε ήδη να δείτε τα αποκρυπτογραφημένα μηνύματα μπροστά σας. Αλλά το Facebook δεν μπορεί να σε δει, οπότε βασικά δεν μπορεί να παρέμβει.
Οι ειδικοί χρησιμοποίησαν την web έκδοση του WhatsApp για να προσομοιώσουν την επίθεση. Αυτό σας επιτρέπει να αντιστοιχίσετε έναν υπολογιστή (πρόγραμμα περιήγησης ιστού) χρησιμοποιώντας έναν κωδικό QR που φορτώνετε στο smartphone σας.
Μόλις συνδεθούν το ιδιωτικό και το δημόσιο κλειδί, δημιουργείται ένας κωδικός QR που περιλαμβάνει μια «μυστική» παράμετρο και αποστέλλεται από την εφαρμογή για κινητά στον υπολογιστή-πελάτη ιστού WhatsApp. Ενώ ο χρήστης σαρώνει τον κωδικό QR, ένας εισβολέας μπορεί να αδράξει τη στιγμή και να υποκλέψει την επικοινωνία.
Αφού ένας εισβολέας έχει στοιχεία για ένα άτομο, μια ομαδική συνομιλία, συμπεριλαμβανομένου ενός μοναδικού αναγνωριστικού, μπορεί, για παράδειγμα, να αλλάξει την ταυτότητα των απεσταλμένων μηνυμάτων ή να αλλάξει εντελώς το περιεχόμενό τους. Οι άλλοι συμμετέχοντες στη συνομιλία μπορούν έτσι εύκολα να εξαπατηθούν.
Υπάρχει πολύ μικρός κίνδυνος σε κανονικές συνομιλίες μεταξύ δύο μερών. Αλλά όσο μεγαλύτερη είναι η συζήτηση, τόσο πιο δύσκολο είναι να πλοηγηθείτε στις ειδήσεις και τόσο πιο εύκολο είναι για μια ψευδή είδηση να μοιάζει με την αληθινή. Καλό είναι λοιπόν να είστε προσεκτικοί.
Θα μπορούσε να είναι σε ενδιαφέρει
Ντέιβιντ Χανάκ Πηγή: 9to5Mac
