目次:
WhatsAppを活用し、エンドツーエンドの暗号化をバイパスする新しい方法について、最近多くの話がありました。 「it's FUD」からFacebookがインストールしたバックドアの話まで、さまざまなツイートやコメントを見てきました。
良いニュースは、どちらでもないということです。 実際、それは実際にあなたが心配する必要のあるものの1つではなく、代わりにそれがかなりずさんなのでそれが最初にどこで起こったのか不思議に思うものの1つです。 しかし、心配しないでください。何かが起こるずっと前に修正されます。
それは何ですか
ドイツのボーフムにあるルール大学のPaulRösler、Christian Mainka、およびJörgSchwenkの研究者が、WhatsAppのグループチャット管理に特有の欠陥を発見した研究論文（.pdfリンク）をリリースしました。 WhatsAppは、個々のチャットと同じグループチャットのエンドツーエンド暗号化を提供します。これは、通常、私たちが言うことを読むべきではない人が読んでいないことを安全に感じることができることを意味しますグループメンバーの1人がそれを起こさない限り、それを読んでください。
どうやら、見知らぬ人がWhatsAppのグループチャットに自分自身を追加することは理論的には可能です。 「理論的に」および「可能」がここのキーワードです。 説明します。
WhatsAppは、強力なエンドツーエンド暗号化を使用するグループメッセージングを提供します。
WhatsAppグループチャットでは、元のメンバーの1人以上が管理者です。 サーバーの観点から見ると、これらのユーザーはグループのユーザーを追加および削除できます。 これまでのところ、すべてがうまく機能していますが、管理者はグループのすべてのメンバーに署名キーで信号を送信し、代わりに各メンバーが署名キーでメッセージを送信してからメッセージの発信者に送信しますグループに新しい人がいることを各メンバーに通知します-優れたユーザーインターフェイスを作成するためのちょっとした手間です。 あなたが管理者でない場合、唯一知っていることは、ジェリーがグループのメンバーになったというメッセージが表示されることだけです。 それを受け入れるか、チャットを離れることができます。
Signalを介したグループメッセージングでも同様の欠陥が見つかりました。
問題は、WhatsAppが独自のサーバーでこれらのグループ管理要求を適切に認証していないことです。 WhatsAppサーバーは、グループチャットに人を追加するメッセージの送信者を適切に識別する必要があります。 ユーザーは、追加するグループとメンバーの両方を識別するメッセージを送信し、サーバーは、送信したユーザーが実際にチャット管理者であることを確認します。 これらのメッセージはエンドツーエンドで暗号化されておらず、代わりに標準のトランスポート暗号化を使用しています。チャット管理者からユーザーがチャットへの追加を要求するサーバーに送信されるメッセージは、送信者が暗号化キーで署名していません 。
つまり、WhatsAppサーバーは、必要なユーザーをいつでも任意のグループに追加できます。 サーバーは別のユーザーではなく、できます。 それは重要であり、WhatsAppグループチャットで期待されるプライバシーは、WhatsAppチャットサーバーを信頼することにのみ依存することを意味します。 これは、送信者と受信者のみがメッセージを復号化できるため、サーバーが危険にさらされてもプライバシーが保証されるように設計されたエンドツーエンド暗号化の目的全体を無効にします。
そして、インターネットは、それがインターネットが本当に得意なことだからです。
これは起こりませんが、まだ修正が必要です
この欠陥が悪用される唯一の方法は、それを行うサーバーへのアクセス権を持つ誰かによるものです。 つまり、サーバーが侵害されたり、従業員が不正になったり、3文字の政府機関が令状を提出したりします。 これらの事柄のいずれかが発生する可能性があり、過去に発生した可能性があり、今でも発生している可能性があります。 ただし、もう1つ考慮すべき点があります。チャットが発生したかどうかを確認できます。
暗号化されているかどうかに関係なく、グループチャットに人が追加されるたびに通知されます。
メンバーが追加された後にサーバーが最初に行うことは、グループの他のすべてのメンバーに「Jerryがチャットに追加されたこと」を通知することです。 誰かが追加されたことを知らせるメッセージが表示され、他の人も追加されます。 ジェリーが悪い冗談と安いビールでプライベートチャットパーティーに到着し、誰も彼を招待しなかったとき、それは何かが間違っているというサインになり、誰もが自分がタイプしようとしているものをプライベートと見なすべきではありません。 荷物をまとめて、ジェリーなしで別のチャットに移動します。別のサービスを使用しても、クラッシュすることはありません。
したがって、暗号化されたグループチャットを密かにチェックアウトすることはできませんが、それでもあらゆる方法でエンドツーエンドの暗号化を損なうことになります。 すぐに修正する必要があり、グループ管理方法全体を改善する必要があるかもしれません。 最低限、私たち全員が頭を悩まし、このようなことがプログラマやコード監査人によってどのようにすり抜けられるのか疑問に思う必要があります。 それは決して悪用されることはありませんが、それでもばかげた前提です。
するべきこと
何もない、本当に。 セキュリティの調査は無益であり、しばしば気が散る仕事であるため、この欠陥を見つける際にレスラー、マインカ、およびシュウェンクによって行われた作業を評価してください。 暗号化されたグループチャットにメンバーを追加するリクエストを認証する方法は、WhatsAppのホイールをすぐに回転させ続ける人々によって選別され、これは悪用されることのない欠陥から、もはや利用できない欠陥に変わりますすべて。
重要なのは、あなたが注意を払っていることです。なぜなら、 次の 欠陥は非常によくあなたの側で行動を必要とするものだからです。 また、別の欠陥があるので、注意を払ってください。
