"Chatapps eenvoudiger aan te vallen door nummer als account"
Het gebruik van het telefoonnummer als account door chatapps zoals Signal, Telegram en WhatsApp is een inherente ontwerpfout en maakt het eenvoudiger om gebruikers aan te vallen. Dat stelt Costin Raiu, directeur van het Global Research and Analysis Team van antivirusbedrijf Kaspersky Lab.
Raiu reageerde op het nieuws dat een zerodaylek in WhatsApp is gebruikt om gebruikers met spyware te infecteren. Aanvallers hoefden het slachtoffer alleen via WhatsApp te bellen. Interactie van het slachtoffer was niet vereist. Dit houdt in dat de aanvallers alleen het telefoonnummer van het doelwit hoeven te hebben. Iets wat volgens Raiu een inherente ontwerpfout is.
"Dit maakt het eenvoudiger voor iedereen om kwetsbaarheden in deze apps te misbruiken en je aan te vallen via niets anders dan je telefoonnummer", aldus de onderzoeker in een tweet die hij op persoonlijke titel verstuurde. "Het is eenvoudig om iemands telefoonnummer te bemachtigen, maar niet zo eenvoudig om iemands ID op een willekeurige messenger te krijgen. Het vereenvoudigt de aanvalsvector enorm, wat het aanvallen veel eenvoudiger maakt."
Volgens Raiu is het gebruik van het telefoonnummer als account een typisch voorbeeld van het opofferen van security voor gemak. "Het is echter niet nodig. Je kunt beide krijgen, zoals Threema laat zien." Threema is een chatapp dat niet van het telefoonnummer afhankelijk is. Elke gebruiker krijgt een willekeurig gegenereerd achtcijferig Threema ID dat als uniek adres fungeert.
Bij Signal en Telegram (Telegram weet ik niet zeker, verwacht het wel (iemand die het kan bevestigen?). Sowieso niet met whatsapp) kun je je gewoon registreren met een vast nummer. Misbruik hiervan is een stuk lastiger, volgen wordt stuk lastiger.
En voor het geld hoef je het niet te laten voor 15 euro (per jaar) heb je een vast nummer, dat provider onafhankelijk is en dus wereldwijd te gebruiken.
De Threema app is niet gratis, maar van een paar Euro lig ik niet wakker. Ik gebruik Threema al een tijdje op m'n iPhone (vorige week heb ik WhatsApp eraf gehooid). Ik heb er geen bewijs voor, maar hoop dat de privacy van mensen in mijn adresboek er minder onder leidt dan bij WhatsApp het geval was. Door ervoor te betalen hoop ik dat niet zij en ik het product zijn.
Van iemand hoorde ik dat dit moet van de geheime diensten, zodat altijd kan worden getraceerd wie messaging gebruikt.
Is er iemand die hier meer van weet?
Wanneer je bij Telegram probeert om een vast nummer te registreren is dat een "invalid phone number"
De Threema app is niet gratis, maar van een paar Euro lig ik niet wakker. Ik gebruik Threema al een tijdje op m'n iPhone (vorige week heb ik WhatsApp eraf gehooid). Ik heb er geen bewijs voor, maar hoop dat de privacy van mensen in mijn adresboek er minder onder leidt dan bij WhatsApp het geval was. Door ervoor te betalen hoop ik dat niet zij en ik het product zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
