The Guardian wijzigt artikel WhatsApp-backdoor na kritiek
De Britse krant The Guardian heeft na felle kritiek van beveiligingsexperts een artikel over een vermeende backdoor in WhatsApp deels aangepast. De beveiligingsexperts hadden echter opgeroepen om het artikel in te trekken. Vorige week kwam The Guardian met een artikel waarin werd gesteld dat een backdoor in WhatsApp het mogelijk maakt om berichten af te luisteren.
WhatsApp gebruikt end-to-end-encryptie om berichten tussen gebruikers te versleutelen. Als de ontvanger van een bericht offline is en met een nieuwe telefoon online komt, zal WhatsApp het verstuurde bericht met een nieuwe sleutel versleutelen en vervolgens afleveren. In theorie zou het bericht zodoende door WhatsApp kunnen worden gelezen. Daarnaast worden WhatsApp-gebruikers standaard niet gewaarschuwd als een verzonden bericht met een andere encryptiesleutel is versleuteld.
Het probleem in kwestie werd gerapporteerd door onderzoeker Tobias Boelter van de universiteit van Californië. Hij had het probleem vorig jaar april ook al via zijn eigen website openbaar gemaakt omdat WhatsApp niet met een oplossing wilde komen. WhatsApp laat echter weten dat het om een bewuste ontwerpkeuze gaat, omdat gebruikers anders berichten zouden missen. Een coalitie van erkende beveiligingsexperts en cryptografen verdedigt deze keuze van WhatsApp en hekelt de berichtgeving door The Guardian.
Volgens de experts zorgt de berichtgeving ervoor dat mensen nu denken dat WhatsApp onveilig is, terwijl dat volgens de experts niet zo is. Daarnaast moet WhatsApp met andere diensten concurreren die helemaal geen encryptie toepassen. Door berichten toch af te leveren vergroot WhatsApp de betrouwbaarheid en het gebruiksgemak voor gebruikers, die zodoende ook nog eens versleuteld communiceren. Verder is het probleem in kwestie een kleine en onwaarschijnlijke dreiging, aldus de experts.
Die roepen The Guardian dan ook op om het bericht in te trekken, excuses aan te bieden en uit te leggen dat de aanval zeer lastig is om uit te voeren en de dreiging erg klein is. Het artikel van de Britse krant staat nog steeds online. Waar er echter eerst over "backdoor" werd gesproken is dit nu in de tekst en titel door "kwetsbaarheid" vervangen. De krant maakt echter nergens duidelijk dat het de tekst heeft aangepast.
En zoals vele op internet al lieten weten, het is/was een storm in een glas water.
Je ziet dit steeds meer gebeuren.
* Mag ik geen USB sticks meer gebruiken, dan gebruik ik wel een cloud leverancier om mijn data over te zetten?
* Wachtwoord moet iedere 30 dagen veranderen, en minimaal 12 tekens lang zijn. Prima, postnote gebruiken of DitIsMijnWachtwoord201701
Een gebruiker moet wel kunnen werken, zodra security in hun weg zit, gaan ze er omheen.
ja, het is gewoon WEL een backdoor.
je zegt dat whatsapp end2end encrypted is en dat niemand kan meekijken.
dit is onmogelijk als je een nieuwe encryptie sleutel kunt aanmaken en het bericht opnieuw kunt sturen.
verder dat de sleutels veranderd kunnen worden zonder nieuwe handshake en dat bij default dit ook niet verteld wordt is fout 3.
even een analogie naar bijvoorbeeld windows account. een beheerder kan een wachtwoord niet zien. dus zeg je als whatapp equivalent dat er end2end encryptie is... maar een win beheerder kan wel het wachtwoord resetten en dan inloggen met gegevens die hij weet... vervolgens reset ie het wachtwoord naar null en verplicht ie een password refresh. gebruiker ziet niets... equivalent bij whatsapp, de sleutels worden gerefreshed en de gebruiker ziet ook niets..
flawed by design dat whatsapp.. en opzettelijk. want hoe vaak pakken mensen een nieuwe telefoon? 1keer per jaar? 1 keer in 3 jaar?.. en hoe groot is de kans dat er berichten verstuurd worden in die periode? en hoe vreemd zou het zijn en gevonden worden als dan een bericht niet aan komt?
backup van je whatsapp meenemen is ook al een drama, dus voor gebruikersgemak? geloof er niets van
Die kennis heb je niet nodig, maar staat in een van de links uit het artikel.
Now the attacker comes in. He registers Bob's phone number with the WhatsApp server (by attacking the way to vulnerable GSM network, putting WhatsApp under pressure or by being WhatsApp itself).
Alice's WhatsApp client will now automatically, without Alices' interaction, re-encrypt the second message with the attackers key and send it to the attacker, who receives it:
Het is dus de cliënt van de verzender die het bericht met de nieuwe key versleutelt en opnieuw verstuurt, omdat het nog niet afgeleverd was.
Mij verbaasd dat een bericht nog steeds beschikbaar kan zijn als de encryptiesleutel weg is of vergeten. In de normale wereld van encryptie betekend dat einde bericht en dat zou het ook bij Whatsapp moeten zijn. Dat er dan toch nog de mogelijkheid wordt geboden om met een nieuwe encryptiesleutel toch het bericht te kunnen lezen is gewoon het ondermijnen van de end 2 end versleuteling. Of je dat een achterdeur of niet wilt noemen maakt an sich niet uit, het blijft een opening in de encryptie flow.
De oorspronkelijke ontvanger behoort aan de verzender aan te geven dat deze een nieuw nummer en dus over een nieuwe encryptiesleutel beschikt en moet dan verzoeken om het bericht opnieuw toe te sturen zodat er met de nieuwe encryptiesleutel wordt gewerkt.
Ik vraag mij af of Facebook/WhatsApp systematisch de aflevering van een bericht kan onderdrukken en zo een her-sign met een tweede sleutel kan afdwingen van de zendende client. Daarna levert FB het eerste onderdrukte bericht alsnog af. Daarmee zou FB/WA iemand stelselmatig af kunnen luisteren zonder dat die persoon dat in de gaten heeft.
Ik vraag mij ook af of de keuze van de gebruiker om deze waarschuwingen te zien ook wordt doorgegeven aan FB zodat zij niet tegen de lamp lopen bij die enkelen die wel het vlaggetje aanzetten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
