WhatsApp gebruikt IMEI-nummer als wachtwoord
WhatsApp gebruikt het IMEI-nummer van gebruikers als wachtwoord, zo heeft een beveiligingsonderzoeker ontdekt. De populaire berichtendienst gebruikt volgens Sam Granger het omgedraaide IMEI-nummer van de telefoon voor authenticatie, waarover een MD5-hash zonder salt is gehaald. Het International Mobile Equipment Identity (IMEI) is meestal een 15-cijferig nummer dat een gsm-toestel identificeert.
Authenticatie
Granger ontdekte het probleem met de Android-versie van WhatsApp, maar denkt dat het probleem ook op andere platformen speelt. "Dit kan grote gevolgen voor het leven van mensen hebben als je hun account gebruikt om berichten te sturen naar iemand die ze kennen." Ook is het volgens de onderzoeker mogelijk om naaktfoto's en andere gevoelige, persoonlijke berichten te onderscheppen.
Het IEMI-nummer is volgens Granger ongeschikt voor authenticatie, omdat het eenvoudig is te achterhalen. Iemand die toegang tot de telefoon heeft kan het via een paar handelingen opvragen. Ook is het mogelijk een app te ontwikkelen die het IMEI-nummer steelt. Een andere aanvalsvector is het lekken van een database of bestand met IMEI-nummers, zoals onlangs met Apple apparaatcodes gebeurde.
en dan specifiek:
Much like XMPP, WhatsApp uses JID (jabber id) and password to successfully login to the service. The password is hashed and happened to be an MD5’d, reversed-version of the mobile’s IMEI (International Mobile Equipment Identity) or equivalent unique ID, stored in servers upon account creation and used transparently everytime the client connects the server.
The JID is a concatenation between your country’s code and mobile number.
Initial login uses Digest Access Authentication.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
