Petr Škuta Maraming mga kahinaan ang nahayag sa patuloy na kumperensya ng seguridad ng Black Hat. Kabilang sa mga ito ang mga bug sa WhatsApp application na nagpapahintulot sa mga umaatake na baguhin ang nilalaman ng mga mensahe.
Ang mga butas sa WhatsApp ay maaaring samantalahin sa tatlong posibleng paraan. Ang pinakakawili-wili ay kapag binago mo ang nilalaman ng mensahe na iyong ipinapadala. Bilang resulta, ang teksto na hindi mo talaga isinulat ay ipapakita.
Maaaring ito ay interesado ka
Mayroong dalawang mga pagpipilian:
- Maaaring gamitin ng isang umaatake ang feature na "tugon" sa isang panggrupong chat upang malito ang pagkakakilanlan ng nagpadala ng mensahe. Kahit na wala sa group chat ang pinag-uusapan.
- Higit pa rito, maaari niyang palitan ang sinipi na teksto ng anumang nilalaman. Kaya nitong ganap na ma-overwrite ang orihinal na mensahe.
Sa unang kaso, madaling baguhin ang naka-quote na teksto upang magmukhang isinulat mo ito. Sa pangalawang kaso, hindi mo babaguhin ang pagkakakilanlan ng nagpadala, ngunit i-edit lang ang field gamit ang naka-quote na mensahe. Ang teksto ay maaaring ganap na muling isulat at ang bagong mensahe ay makikita ng lahat ng mga kalahok sa chat.
Ipinapakita ng sumusunod na video ang lahat nang graphical:
Nakahanap din ang mga eksperto sa Check Point ng paraan upang paghaluin ang mga pampubliko at pribadong mensahe. Gayunpaman, nagawa itong ayusin ng Facebook sa pag-update ng WhatsApp. Sa kabaligtaran, ang mga pag-atake na inilarawan sa itaas ay hindi naitama ng a malamang ay hindi na rin ito maaayos. Kasabay nito, ang kahinaan ay kilala sa loob ng maraming taon.
Ang error ay mahirap ayusin dahil sa pag-encrypt
Ang buong problema ay nakasalalay sa pag-encrypt. Umaasa ang WhatsApp sa pag-encrypt sa pagitan ng dalawang user. Ang kahinaan ay gumagamit ng isang panggrupong chat, kung saan makikita mo na ang mga naka-decrypt na mensahe sa harap mo. Ngunit hindi ka nakikita ng Facebook, kaya karaniwang hindi ito maaaring mamagitan.
Ginamit ng mga eksperto ang web na bersyon ng WhatsApp upang gayahin ang pag-atake. Nagbibigay-daan ito sa iyo na ipares ang isang computer (web browser) gamit ang isang QR code na nilo-load mo sa iyong smartphone.
Kapag na-link na ang pribado at pampublikong key, ang isang QR code na may kasamang "lihim" na parameter ay bubuo at ipinapadala mula sa mobile app patungo sa WhatsApp web client. Habang ini-scan ng user ang QR code, maaaring samantalahin ng isang attacker ang sandali at harangin ang komunikasyon.
Pagkatapos magkaroon ng mga detalye ang isang umaatake tungkol sa isang tao, isang panggrupong chat, kabilang ang isang natatanging ID, maaari niyang, halimbawa, baguhin ang pagkakakilanlan ng mga ipinadalang mensahe o ganap na baguhin ang kanilang nilalaman. Ang ibang mga kalahok sa chat ay madaling malinlang.
Napakakaunting panganib na kasangkot sa normal na pag-uusap sa pagitan ng dalawang partido. Ngunit kung mas malaki ang pag-uusap, mas mahirap i-navigate ang balita at mas madali para sa isang pekeng balita na magmukhang tunay na bagay. Kaya mabuting mag-ingat.
Maaaring ito ay interesado ka
David Hanak Pinagmulan: 9to5Mac
