Innehållsförteckning:
En hel del pratade nyligen om ett nytt sätt att utnyttja WhatsApp och kringgå den slutkryptering som företaget gillar att nämna att det har närhelst det kan. Jag har sett tweets och kommentarer som kör allt från "det är FUD" till att prata om någon bakdörr som Facebook hade installerat.
Den goda nyheten är att det inte är varken. I själva verket är det inte riktigt en av de saker du behöver oroa dig för och istället är det en av de saker som får dig att undra hur det någonsin hände i första hand eftersom det är ganska slarvigt. Men oroa dig inte - det kommer att fixas länge innan något händer.
Vad det är
Forskarna Paul Rösler, Christian Mainka och Jörg Schwenk vid Ruhr-Universität i Bochum, Tyskland släppte ett forskningsdokument (.pdf-länk) som fann en speciell brist i WhatsApps gruppchattadministration. WhatsApp erbjuder samma kryptering för gruppchattar som för enskilda chattar, och det betyder vanligtvis att vi borde kunna känna oss säkra när vi vet att de saker vi säger inte kommer att läsas av någon som inte borde vara läser den om inte en av gruppmedlemmarna låter det hända.
Tydligen är det teoretiskt möjligt för en främling att lägga till sig själva i en gruppchatt på WhatsApp. "Teoretiskt" och "möjligt" är nyckelorden här. Jag ska förklara.
WhatsApp erbjuder gruppmeddelanden som använder stark kryptering från en till ände.
I en WhatsApp-gruppchatt är en eller flera av de ursprungliga medlemmarna en administratör. Ur serverns synvinkel betyder det att dessa människor kan lägga till och ta bort personer från gruppen. Allt är bra hittills, även om det fungerar - en administratör skickar en signal till varje medlem i gruppen med sina signaturnycklar och i gengäld skickar varje medlem ett returmeddelande med sina signaturnycklar sedan upphovsmannen till meddelandet meddelar varje medlem att det nu finns en ny person i gruppen - är lite av en kludge för att skapa ett bra användargränssnitt. Om du inte är en administratör är det enda du vet att du ser ett meddelande om att Jerry nu är medlem i gruppen. Du kan antingen acceptera det eller lämna chatten.
En liknande brist hittades med gruppmeddelanden genom Signal.
Problemet är att WhatsApp inte korrekt verifierar dessa grupphanteringsförfrågningar på sina egna servrar. En WhatsApp-server måste identifiera avsändaren av ett meddelande som skulle lägga till en person till en gruppchatt korrekt. Personen skickar ett meddelande som anger både gruppen och den medlem den vill lägga till och servern kontrollerar för att se till att personen som skickade den faktiskt är en chattadministratör. Dessa meddelanden är inte krypterade från slutet till slut och använder istället standard transportkryptering - meddelandet kommer från en chattadministratör och går till en server som begär en användare läggs till i en chatt undertecknas inte av avsändaren med deras krypteringsnyckel.
Detta betyder att en WhatsApp-server kan lägga till alla användare den vill ha till någon grupp när som helst. Servern kan inte en annan användare. Det är viktigt, och det betyder att all integritet som förväntas i en WhatsApp-gruppchatt endast beror på att lita på WhatsApp-chattservern. Det besegrar hela syftet med en-till-ende-kryptering, som är utformad så att integritet garanteras även om en server äventyras eftersom endast avsändaren och mottagaren kan dekryptera ett meddelande.
Och då tappar internet sitt kollektiva sinne eftersom det är vad internet är riktigt bra på att göra.
Detta kommer inte att hända men måste fortfarande fixas
Det enda sättet denna fel kan utnyttjas är av någon med tillgång till servern som gör det. Det innebär att en server kompromitteras, eller att en anställd blir oseriös, eller att en myndighet med tre bokstäver lämnar in en order. Någon av dessa saker kan hända, kan ha hänt tidigare och kan till och med hända just nu. Men en annan sak måste övervägas - du vet om det händer med din chatt.
Du meddelas när en person läggs till i en gruppchatt, krypterad eller inte.
Det första som en server gör efter att en medlem har lagts till är att meddela alla andra medlemmar i gruppen att "Jerry lades till i chatten." Du kommer att se meddelandet som berättar att någon lades till, och det kommer alla andra att göra. När Jerry anländer till det privata chattpartiet med sina dåliga skämt och billig öl, och ingen bjöd in honom, kommer det att vara ett tecken på att något är fel och ingen bör betrakta något de håller på att skriva som privat. Packa upp och gå till en annan chatt utan Jerry och kanske till och med en annan tjänst som inte låter honom krascha.
Så ingen kommer att kunna i hemlighet kolla in din krypterade gruppchatt, men det undergräver fortfarande kryptering från alla till alla ändamål. Det måste fixas direkt, och kanske till och med hela grupphanteringsmetoden måste renoveras. Som ett minimum, måste vi alla klåra oss i huvudet och undra hur något som detta glider av programmerare och kodrevisorer. Det är en löjlig premiss som aldrig kommer att utnyttjas, men ändå.
Vad du behöver göra
Ingenting egentligen. Uppskatta det arbete som Rösler, Mainka och Schwenk har gjort för att hitta denna brist eftersom säkerhetsforskning är ett tacklöst och ofta sinnesrikt jobb, men tidigare har du inte behövt ändra din rutin alls. En metod för att autentisera begäran om att lägga till en medlem i en krypterad gruppchatt kommer att sorteras ut av de människor som håller WhatsApps hjul snurrande inom kort och detta kommer att ändras från en brist som aldrig kommer att utnyttjas till en brist som inte längre kan utnyttjas på Allt.
Vad som är viktigt är att du var uppmärksam, eftersom nästa brist kan mycket väl vara en som behöver åtgärder från din sida. Och det kommer att finnas en annan brist, så se till att du fortsätter att vara uppmärksam.
