Ряд экспертов кибербезопасности утверждают, что мессенджер WhatsApp имеет уязвимость, из за которой порядка 450 млн. человек являются потенциально жертвами хакеров или кибершпионажа. К примеру, специалисты консалтагентства Praetorian заявляют, что в WhatsApp имеются некоторые слабости в работе криптографического протокола.
Среди основных уязвимостей мессенджера они в частности назвали метод использования WhatsApp технологии SSL 2.0, версия которого подвержена ряду широко применяемых кибератак, позволяющих отслеживать соединения двух конечных точек и дешифровать проходящий трафик, а иногда просто манипулировать им.
Кроме этого, WhatsApp должным образом не смог развернуть технологию, называемую Certificate Pinning, специально созданную для блокировки нападений с поддельными web-сертификатами и обходом web-шифрования. Технология позволяет месенджеру работать в защищенном канале в случае, когда сервером используется определенный сертификат. Поскольку сертификат что называется «встроен» в приложение, то он прекращает соединение с любыми иными «неправильными» сертификатами, даже если они и выписаны легитимным удостоверяющим центром, а потому принимаются и браузером и самой операциокой.
Ранее Certificate Pinning буквально вышла боком разработчикам Chrome, когда этот обозреватель работал с сертфикатами от DigiNotar, которые и выдают виртуальный сервер, впоследствии оказавшимися похищенными киберперступниками, которые тогда получили возможность перехватывать трафик Gmail.
Эксперты Praetorian отметили еще пару проблем WhatsApp, как то использование мессенджером нулевого шифрования SSL и возможности экспорта шифров SSL. Эти уязвимости облегчают потенциальным нападающим обход службы шифрования при перехвате трафика, когда тот проходит между сервером самого WhatsApp и устройством пользователя. Именно такие штуки, специально отметили в Praetorian, любят использовать в АНБ. Проще говоря, эти слабости позволяют организовать нападение man-in-the-middle с последующей дешифровкой защищенного канала и прослушиванием трафика.
Так что, подвели итог в Praetorian, наличие подобных уязвимостей должно привлечь внимание как пользователей WhatsApp, так и IT-администраторов.
- Об авторе
- Последние статьи
Подробнее
- Олимпиада Яндекс.Root для системных администраторов - 3 апреля 2015
- Полезная накрутка друзей Вконтакте - 2 января 2015
- Обзор игры Rail Nation - 31 декабря 2014
5 марта, 2022 
Алексей Терентьев 