الضعف ال WhatsApp يسمح التطفل على الرسائل المشفرة

تم العثور على ثغرة أمنية يمكن أن تستخدم للسماح الفيسبوك وغيرها لاعتراض وقراءة الرسائل المشفرة ضمن خدمة رسائل ال WhatsApp لها.

يدعي الفيسبوك أن لا أحد يستطيع اعتراض رسائل ال WhatsApp، ولا حتى الشركة وموظفيها، وضمان الخصوصية لمستخدمي مليار زائد لها. ولكن الأبحاث الجديدة تظهر أن الشركة يمكن في الواقع أن قراءة بعض الرسائل بسبب الطريقة التي نفذت ال WhatsApp بروتوكول التشفير من نهاية إلى نهاية.

يجب أن أكون قلقا بشأن التشفير مستتر ال WhatsApp؟
 اقرأ أكثر
وقال نشطاء خصوصية الضعف هو "تهديد كبير لحرية التعبير"، وحذرت من أنها يمكن أن تستخدم من قبل وكالات حكومية كما مستتر للتجسس على المستخدمين الذين يعتقدون رسائلهم إلى تكون آمنة.

ويقول بعض الخبراء الأمنيين أن الضعف هو "المفاضلة" معروف ومقبول أن من المنطقي بالنسبة لغالبية مستخدمي ال WhatsApp، لأنه يجعل التطبيق أسهل في الاستخدام على أساس يومي. وهي تصف المخاطر التي يتعرض لها معظم المستخدمين بأنه "بعيد" منذ الضعف يسمح فقط استهداف أفراد أو مجموعات من الأفراد في أوقات محددة، بدلا من مراقبة كتلة واسعة من مستخدمي ال WhatsApp، ونحث المستخدمين عدم التحول إلى منصات أقل أمنا.

جعلت ال WhatsApp الخصوصية والأمن نقطة بيع الأولية، وأصبح الذهاب إلى أداة اتصال من النشطاء والمعارضين والدبلوماسيين.

يعتمد ال WhatsApp في التشفير من النهاية إلى النهاية على توليد مفاتيح الأمان فريدة من نوعها، وذلك باستخدام بروتوكول الإشارة المشهود، التي وضعتها الأنظمة الهمس المفتوحة، التي يتم تداولها والتحقق منها بين المستخدمين لضمان الاتصالات آمنة ولا يمكن اعترضت من قبل وسيط.

ومع ذلك، ال WhatsApp لديه القدرة على إجبار توليد مفاتيح التشفير الجديدة للمستخدمين حاليا، دون علم المرسل والمتلقي من الرسائل، وجعل رسائل المرسل إعادة تشفير مع مفاتيح جديدة وإرسالها مرة أخرى للأي الرسائل التي لم تم وضع علامة على تسليمها.

لن يتم إعلان هذا المتلقي على بينة من هذا التغيير في التشفير، في حين يتم إعلام المرسل فقط إذا كان لديهم اختارت في لتحذيرات التشفير في الإعدادات، وفقط بعد أن الرسائل تم إعادة إرسالها. هذا إعادة التشفير وإعادة بثها من الرسائل التي لم يتم تسليمها سابقا تسمح فعال ال WhatsApp لاعتراض وقراءة الرسائل بعض المستخدمين.

تم اكتشاف ثغرة أمنية من قبل توبياس Boelter، وهو باحث التشفير والأمن في جامعة كاليفورنيا، بيركلي. وقال للجارديان: "إذا طلب ال WhatsApp من قبل وكالة حكومية للكشف عن سجلات الرسائل، فإنه يمكن أن تمنح على نحو فعال الوصول إليها بسبب التغيير في مفاتيح".

ضعف ليست متأصلة في بروتوكول الإشارة. مفتوحة الهمس سيستمز "تطبيق المراسلة، الإشارة، التطبيق المستخدمة والتي أوصت بها المبلغين إدوارد سنودن، لا تعاني من الضعف نفسه. إذا تغير مستلم مفتاح الأمان دون اتصال، على سبيل المثال، سوف تفشل رسالة بعث بها إلى أن يتم تسليم وسيتم إخطار المرسل من التغيير في مفاتيح الأمان دون تلقائيا إعادة إرسال الرسالة.

تنفيذ ال WhatsApp تلقائيا إعادة إرسال رسالة لم يتم تسليمها مع مفتاح جديد بدون تحذير المستخدم مقدما أو منحهم القدرة على منع ذلك.

ذكرت Boelter أكثر عرضة للتأثر الفيسبوك في نيسان عام 2016، ولكن قيل أن الفيسبوك كان على علم بالقضية، وأنه كان "السلوك المتوقع"، وكان لا يجري العمل بنشاط على. تمت التحقق من الجارديان ثغرة لا يزال موجودا.



ستيفن تور جنسن، رئيس أمن المعلومات والرقمية مضادة المراقبة في المنظمة الأوروبية البحرينية لحقوق الإنسان، التحقق من النتائج Boelter ل. وقال: "ال WhatsApp يمكن أن تستمر على نحو فعال التقليب مفاتيح الأمان عند الأجهزة حاليا وإعادة إرسال الرسالة، دون السماح للمستخدمين معرفة من التغيير حتى بعد أن تم ذلك، وتوفير منصة آمنة للغاية."

وقال Boelter: "[بعض] قد يقول أن هذا الضعف يمكن أن يساء استخدامها فقط للتحري عن رسائل المستهدفة" واحدة "، وليس الأحاديث كلها. هذا غير صحيح إذا كنت تنظر إلى أن ملقم ال WhatsApp يمكن رسائل فقط إلى الأمام من دون ارسال "رسالة وردت من قبل المتلقي الإعلام (أو القراد مزدوجة)، والتي قد لا تلاحظ المستخدمين. باستخدام الضعف إعادة الإرسال، ويمكن بعد ذلك في وقت لاحق الحصول على الخادم ال WhatsApp نسخة من هذا الحديث كله، وليس فقط رسالة واحدة ".

ويدعو الضعف في مسألة خصوصية الرسائل المرسلة عبر هذه الخدمة، والتي تستخدم في جميع أنحاء العالم، بما في ذلك من قبل الناس الذين يعيشون في الأنظمة القمعية.

ودعا أستاذ كريستي الكرة، المدير المشارك ومؤسس مركز البحوث في المعلومات والمراقبة والخصوصية، وجود ضعف في تشفير ال WhatsApp في "منجم ذهب لأجهزة الأمن" و "خيانة عظمى للثقة المستخدم". وأضافت: "إنه تهديد كبير لحرية التعبير، من أجل أن تكون قادرة على النظر في ما تقوله إذا كان يريد. سيقول المستهلكين، أنا عندي شيء نخفيه، ولكن كنت لا تعرف ما هي المعلومات التي بحثت عن وما صلات تبذل ".

في المملكة المتحدة، وقانون سلطات التحقيق الذي صدر مؤخرا يسمح للحكومة لاعتراض بيانات مجمعة من المستخدمين التي تحتفظ بها الشركات الخاصة، دون اشتباه في النشاط الإجرامي، على غرار النشاط من وكالة الأمن القومي الأمريكية التي كشف عنها الوحي سنودن. كما أن الحكومة السلطة لاجبار الشركات على "الحفاظ على القدرات التقنية" التي تسمح جمع البيانات من خلال القرصنة واعتراض، ويتطلب الشركات لإزالة "الحماية الإلكترونية" من البيانات. مقصودا أم لا، والضعف ال WhatsApp في التشفير من النهاية إلى النهاية يمكن أن تستخدم في مثل هذه الطريقة لتسهيل اعتراض الحكومة.

وقال جيم Killock، المدير التنفيذي لمجموعة الحقوق المفتوحة،: "إذا تدعي الشركات لتقديم التشفير من النهاية إلى النهاية، يجب أن تأتي نظيفة إذا وجدت أن خطر ... وفي المملكة المتحدة، وقانون سلطات التحقيق يعني أن التقنية ويمكن استخدام الإشعارات القدرة على إجبار الشركات على إدخال العيوب - والتي يمكن أن تترك البيانات الناس ضعفا ".

وقال متحدث باسم ال WhatsApp للجارديان: "أكثر من 1 مليار شخص يستخدم ال WhatsApp اليوم لأنها بسيطة وسريعة وآمنة وموثوق بها. في ال WhatsApp، لقد اعتقدت دائما أن المحادثات الناس يجب أن تكون آمنة والخاص. في العام الماضي، وأعطينا كل مستخدمينا أفضل مستوى من الأمن بجعل كل رسالة، صورة، فيديو، ملف، وندعو نهاية إلى نهاية مشفرة افتراضيا. كما نقدم ميزات مثل التشفير من النهاية إلى النهاية، ونحن نركز على الحفاظ على المنتج بسيطة وتأخذ بعين الاعتبار كيف انها تستخدم كل يوم في جميع أنحاء العالم.

"في تنفيذ ال WhatsApp من بروتوكول الإشارة، لدينا" عرض الإخطارات الأمن "وضع (الخيار ضمن إعدادات> الحساب> الأمن) ان يخطر لك عندما غيرت رمز الحماية لجهة الاتصال. ونحن نعلم أن الأسباب الأكثر شيوعا يحدث هذه هي لشخص ما تحولت الهواتف أو إعادة تثبيت ال WhatsApp. هذا هو لأنه في أجزاء كثيرة من العالم، والناس في كثير من الأحيان تغيير أجهزة وبطاقات سيم. في هذه الحالات، ونحن نريد للتأكد من تسليم الرسائل الناس، لا يخسر في عملية عبور ".

طلب منه التعليق تحديدا على ما إذا كان الفيسبوك / WhatApps كان الوصول إلى الرسائل المستخدمين وعما إذا كان قد فعل ذلك بناء على طلب من الجهات الحكومية أو أطراف ثالثة أخرى، وجهت صحيفة الغارديان إلى موقعه أن تفاصيل بيانات مجمعة على طلبات الحكومة حسب البلد.

أصدر ال WhatsApp في وقت لاحق بيانا آخر قائلا: "ال WhatsApp لا يعطي الحكومات من 'الباب الخلفي' في أنظمتها وسيحارب أي طلب من الحكومة لخلق مستتر."

وقد أبرزت مخاوف بشأن خصوصية مستخدمي ال WhatsApp مرارا وتكرارا منذ المكتسبة الفيسبوك الشركة ل22bn $ في عام 2014. وفي أغسطس عام 2015، أعلنت الفيسبوك تغيير على سياسة الخصوصية التي تحكم ال WhatsApp الذي سمح للشبكة الاجتماعية لدمج البيانات من المستخدمين ال WhatsApp والفيسبوك، بما في ذلك أرقام الهاتف واستخدام التطبيق، لأغراض الدعاية والتنمية.