Petr Škuta Molte vulnerabilità sono state rivelate durante la conferenza sulla sicurezza Black Hat in corso. Tra questi ci sono bug nell'applicazione WhatsApp che consentono agli aggressori di modificare il contenuto dei messaggi.
I buchi in WhatsApp possono essere sfruttati in tre modi possibili. La cosa più interessante è quando cambi il contenuto del messaggio che stai inviando. Di conseguenza, verrà visualizzato il testo che non hai effettivamente scritto.
Potrebbe essere ti interessa
Ci sono due opzioni:
- Un utente malintenzionato può utilizzare la funzione "rispondi" in una chat di gruppo per confondere l'identità del mittente del messaggio. Anche se la persona in questione non è affatto presente nella chat di gruppo.
- Inoltre può sostituire il testo citato con qualsiasi contenuto. Può quindi sovrascrivere completamente il messaggio originale.
Nel primo caso, è facile modificare il testo citato per farlo sembrare come se lo avessi scritto tu. Nel secondo caso non si cambia l'identità del mittente, ma si modifica semplicemente il campo con il messaggio citato. Il testo può essere completamente riscritto e il nuovo messaggio verrà visto da tutti i partecipanti alla chat.
Il seguente video mostra tutto graficamente:
Gli esperti di Check Point hanno anche trovato un modo per mescolare messaggi pubblici e privati. Tuttavia, Facebook è riuscita a risolvere questo problema nell'aggiornamento di WhatsApp. Al contrario, gli attacchi sopra descritti non sono stati corretti da a probabilmente non riesco nemmeno a risolverlo. Allo stesso tempo, la vulnerabilità è nota da anni.
L'errore è difficile da correggere a causa della crittografia
L'intero problema sta nella crittografia. WhatsApp si basa sulla crittografia tra i due utenti. La vulnerabilità utilizza quindi una chat di gruppo, dove puoi già vedere i messaggi decrittografati davanti a te. Ma Facebook non può vederti, quindi sostanzialmente non può intervenire.
Gli esperti hanno utilizzato la versione web di WhatsApp per simulare l’attacco. Ciò ti consente di associare un computer (browser web) utilizzando un codice QR caricato sullo smartphone.
Una volta collegate la chiave privata e quella pubblica, viene generato un codice QR contenente un parametro "segreto" che viene inviato dall'app mobile al client web WhatsApp. Mentre l'utente scansiona il codice QR, un utente malintenzionato può cogliere l'attimo e intercettare la comunicazione.
Dopo che un utente malintenzionato ottiene i dettagli di una persona, di una chat di gruppo, incluso un ID univoco, può, ad esempio, modificare l'identità dei messaggi inviati o modificarne completamente il contenuto. Gli altri partecipanti alla chat possono quindi essere facilmente ingannati.
Ci sono pochissimi rischi coinvolti nelle normali conversazioni tra due parti. Ma più grande è la conversazione, più difficile è navigare tra le notizie e più facile è che una notizia falsa assomigli alla realtà. Quindi è bene fare attenzione.
Potrebbe essere ti interessa
David Hanak Fonte: 9to5Mac
