Słabe zabezpieczenia w WhatsApp i Signal umożliwiają atakującym o niskich umiejętnościach śledzenie użytkowników

Grupa badaczy z Uniwersytetu Wiedeńskiego znalazła niewielką, ale poważną lukę w zabezpieczeniach w sposobie działania usług przesyłania wiadomości szyfrowanych end-to-end (E2EE). Badanie, pierwotnie opublikowane 17 listopada 2024 r., pod tytułem "Careless Whisper: Wykorzystywanie cichych pokwitowań doręczenia do monitorowania użytkowników mobilnych komunikatorów internetowych", podkreśla możliwość śledzenia urządzeń przy użyciu danych Round-Trip Time (RTT) po zainstalowaniu WhatsApp lub Signal.

W serwisie GitHub opublikowano program, który może automatycznie wykorzystać tę lukę w WhatsApp. Chociaż udostępnienie takiego narzędzia budzi wątpliwości etyczne, jego celem jest wywarcie presji na WhatsApp, aby zajął się luką w zabezpieczeniach i poprawił ochronę prywatności użytkowników.

Okazuje się, że podstawowa idea stojąca za tym programem jest zaskakująco prosta. Program śledzący wysyła wiadomości reakcyjne do nieistniejących identyfikatorów wiadomości. Urządzenie docelowe nadal odpowiada potwierdzeniem dostawy. Ta reakcja, niewidoczna dla użytkownika, ujawnia czas wymagany do wysłania i odebrania zmanipulowanego żądania - RTT.

Chociaż same te punkty danych nie ujawniają natychmiastowej lokalizacji, mogą dostarczyć cennych informacji, gdy są gromadzone przez dłuższy czas. Wzorce w danych RTT mogą wskazywać, kiedy urządzenie jest aktywnie używane lub w trybie czuwania. Można również wywnioskować typ połączenia sieciowego, takiego jak Wi-Fi lub komórkowe. Analizując te wzorce aktywności na przestrzeni godzin lub dni, atakujący mogą wyciągnąć wnioski na temat zachowania użytkownika. Co więcej, ciągłe żądania zużywają baterię i dane mobilne na zaatakowanym smartfonie.

Obecnie użytkownicy mają ograniczone możliwości obrony przed tą metodą śledzenia. Na smartfonach nie ma powiadomień ostrzegających użytkowników o takim monitorowaniu. Nie można uzyskać numeru telefonu atakującego, co uniemożliwia jego zablokowanie. Ani Signal, ani WhatsApp nie oferują obecnie opcji wyłączenia potwierdzeń dostawy. Drastyczne rozwiązanie jest obecnie jedyną opcją. Proszę usunąć ze swojego urządzenia wszystkie usługi szyfrowania wiadomości typu end-to-end.