| 13 янв 2017 — 7:16 утра по тихоокеанскому времени
Обновление: Добавлен ответ WhatsApp ниже.
Исследователь безопасности обнаружил уязвимость в системе сквозного шифрования, используемой в WhatsApp. Эта уязвимость позволила бы Facebook читать сообщения, отправляемые через якобы защищенную систему, а также давала бы компании возможность выполнять судебные приказы о предоставлении сообщений государственным органам.
Хотя сквозное шифрование обычно означает, что даже компания, управляющая сервисом, не может расшифровать сообщения, а только предполагаемый получатель, конкретная реализация, используемая в WhatsApp, включает в себя серьезную дыру в безопасности…
The Guardian сообщает, что Тобиас Болтер, специалист по криптографии и безопасности из Калифорнийского университета в Беркли, обнаружил, что WhatsApp имеет возможность принудительно изменять ключ шифрования в автономном режиме. Любые неотправленные сообщения будут передаваться с новым ключом. При стандартных настройках приложения ни отправитель, ни получатель не будут знать об этом.
Получатель не уведомляется об этом изменении шифрования, в то время как отправитель уведомляется только в том случае, если он включил предупреждения о шифровании в настройках, и только после повторной отправки сообщений. Это повторное шифрование и переизлучение фактически позволяет WhatsApp перехватывать и читать сообщения пользователей.
Хотя WhatsApp основан на протоколе Signal, разработанном Open Whisper Systems, такая же уязвимость отсутствует в приложении Signal, что ставит вопросы о том, как она оказалась в WhatsApp – и было ли это недосмотром или преднамеренным действием.
[В Signal], если получатель меняет ключ безопасности в автономном режиме, например, отправленное сообщение не будет доставлено, и отправитель будет уведомлен об изменении ключей безопасности без автоматической повторной отправки сообщения.
Еще более тревожно то, что когда Болтер сообщил об этой проблеме Facebook в апреле прошлого года, ему сказали, что это «ожидаемое поведение».
Обновление: WhatsApp снова подтвердил, что его подход является преднамеренным.
The Guardian опубликовал сегодня утром статью, в которой утверждается, что преднамеренное дизайнерское решение в WhatsApp, предотвращающее потерю миллионов сообщений, является «уязвимостью», позволяющей правительствам заставлять WhatsApp расшифровывать потоки сообщений. Это утверждение ложно.
WhatsApp не предоставляет правительствам «уязвимость» к своим системам и будет бороться с любыми правительственными запросами на создание такой уязвимости. Описанное в статье Guardian решение предотвращает потерю миллионов сообщений, а WhatsApp предлагает пользователям уведомления о безопасности, чтобы предупредить их о потенциальных рисках. WhatsApp опубликовал технический документ о своем дизайне шифрования и был прозрачен в отношении полученных правительственных запросов, публикуя данные об этих запросах в Facebook.
Однако The Guardian не утверждал, что WhatsApp «предоставил правительствам уязвимость», а лишь то, что компания могла получить доступ к сообщениям, и, следовательно, могла бы делать это для правительств при получении судебного приказа. Примечательно, что на собственной странице безопасности WhatsApp утверждается, что компания не может этого сделать (выделенный жирным шрифт – наш акцент):
Сквозное шифрование WhatsApp гарантирует, что только вы и человек, с которым вы общаетесь, можете читать отправленное, и никто между вами, даже WhatsApp.
Поскольку правительства США и Великобритании могут перехватывать данные всего населения своих стран без необходимости подозрения в какой-либо преступной деятельности, активисты по защите конфиденциальности заявили, что наличие уязвимости имеет огромное значение.
Профессор Кирсти Болл, содиректор и основатель Центра исследований информации, слежения и конфиденциальности, назвала существование уязвимости в шифровании WhatsApp «золотой жилой для спецслужб» и «огромным предательством доверия пользователей» […]
Джим Киллок, исполнительный директор Open Rights Group, сказал: «Если компании заявляют, что предлагают сквозное шифрование, они должны быть честны, если оно оказалось под угрозой – будь то из-за преднамеренно установленных уязвимостей или недостатков безопасности. В Великобритании Закон об следственных полномочиях означает, что уведомления о технических возможностях могут быть использованы для принуждения компаний к внедрению недостатков, что может сделать данные людей уязвимыми».
Facebook отказался комментировать, использовал ли он уязвимость для доступа к сообщениям, или был ли такой доступ выполнен по запросу государственных учреждений. Компания уже подвергалась критике за сбор данных у пользователей WhatsApp после приобретения сервиса.
WhatsApp часто используется осведомителями и активистами в странах с плохой репутацией в области прав человека. Любой, кто обеспокоен конфиденциальностью своих сообщений, вероятно, должен использовать iMessage или Signal вместо WhatsApp.
Гораздо менее серьезная уязвимость была ранее обнаружена в WhatsApp, та же проблема присутствовала и в iMessage, но она требовала либо незаблокированного доступа к одному из ваших устройств, либо доступа к вашему резервному копированию iCloud.