WhatsApp のセキュリティ ホールにより、攻撃者は送信されるメッセージの内容を変更できる可能性があります

開催中の Black Hat セキュリティ カンファレンスでは、多くの脆弱性が明らかになりました。その中には、攻撃者がメッセージの内容を変更できるようにする WhatsApp アプリケーションのバグも含まれています。

WhatsApp のホールは 3 つの方法で悪用される可能性があります。最も興味深いのは、送信するメッセージの内容を変更する場合です。その結果、実際には書いていない文章が表示されてしまいます。

次の 2 つのオプションがあります。

• 攻撃者はグループ チャットの「返信」機能を使用して、メッセージ送信者の身元を混同する可能性があります。たとえその人がグループチャットにまったく参加していなかったとしても。
• さらに、引用されたテキストを任意のコンテンツに置き換えることもできます。したがって、元のメッセージが完全に上書きされる可能性があります。

最初のケースでは、引用されたテキストを自分で書いたかのように変更するのは簡単です。 2 番目のケースでは、送信者の ID は変更せず、引用されたメッセージが含まれるフィールドを編集するだけです。テキストは完全に書き換えることができ、新しいメッセージはチャット参加者全員に表示されます。

次のビデオでは、すべてをグラフィカルに示しています。

Check Point の専門家は、パブリック メッセージとプライベート メッセージを混在させる方法も発見しました。ただし、Facebook は WhatsApp のアップデートでこの問題を解決しました。逆に、上記の攻撃は修正されませんでした。 おそらく修正すらできない。同時に、この脆弱性は何年も前から知られていました。

暗号化されているため、エラーを修正するのは困難です

問題全体は暗号化にあります。 WhatsApp は 2 人のユーザー間の暗号化に依存しています。この脆弱性ではグループ チャットが使用され、そこでは復号化されたメッセージが目の前で確認できます。しかし、Facebookはあなたを見ることができないので、基本的に介入することはできません。

専門家は Web バージョンの WhatsApp を使用して攻撃をシミュレートしました。これにより、スマートフォンに読み込んだ QR コードを使用してコンピューター (Web ブラウザー) をペアリングできます。

秘密キーと公開キーがリンクされると、「秘密」パラメーターを含む QR コードが生成され、モバイル アプリから WhatsApp Web クライアントに送信されます。ユーザーが QR コードをスキャンしている間に、攻撃者はその瞬間を捉えて通信を傍受する可能性があります。

攻撃者は、一意の ID を含む個人やグループ チャットに関する詳細情報を入手すると、たとえば、送信されたメッセージの ID を変更したり、メッセージの内容を完全に変更したりする可能性があります。したがって、他のチャット参加者は簡単にだまされてしまう可能性があります。

二者間の通常の会話に伴うリスクはほとんどありません。しかし、会話が大きければ大きいほど、ニュースをナビゲートするのは難しくなり、フェイクニュースが本物のように見えやすくなります。だから気をつけるのは良いことだ。

ズドルイ： 9to5Mac