Onderzoeker: via WhatsApp gedownloade media te ontsleutelen
Mediabestanden die gebruikers via WhatsApp downloaden zijn gewoon te ontsleutelen, ook al stond in het vorige week verschenen rapport over de aanval op de telefoon van Amzon-ceo Jeff Bezos dat dit niet kon. Dat stelt beveiligingsonderzoeker Dino Dai Zovi.
Aanvallers wisten, vermoedelijk via een zerodaylek in WhatsApp, de iPhone van Amazon-ceo Jeff Bezos te compromitteren. Bezos ontving een MP4-bestand van de Saoedische kroonprins Mohammed bin Salman. Uren na ontvangst van de video werd er allerlei data van de telefoon gedownload. Het ging om gigabytes aan foto's en andere bestanden. De onderzoekers die de telefoon van Bezos analyseerden stelden dat het mediabestand door de gebruikte encryptie van WhatsApp niet was te ontsleutelen en analyseren.
Dai Zovi kon zich niet in de mening van de onderzoekers vinden en ontwikkelde een tool genaamd whatsapp-media-decrypt waarmee via WhatsApp gedownloade mediabestanden wel zijn te ontsleutelen. De beveiligingsonderzoeker heeft dit naar eigen zeggen mede gedaan om ervoor te zorgen dat het onderzoeksrapport naar de telefoon van Bezos niet gebruikt wordt in de discussie over end-to-endencryptie. "Ze hadden fysieke toegang tot het toestel en volledige medewerking van de eigenaar, dus zowel end-to-end-encryptie als iOS-encryptie waren geen hindernis", stelt Dai Zovi.
Reacties (19)
Zo zie je maar weer. De opmerking slaat sowieso ook nergens op, want als een bestand een compromitatie veroorzaakt dan is het niet onmogelijk de compromitatie-veroorzakende code te ontsleutelen want hoe kan het anders z'n werk doen? Lijkt me een vrij voor de hand liggende vraag dus als "onderzoekers" die niet stellen is het terecht vragen te stellen bij het "onderzoek"sgehalte van hun werk.
En ik vraag me toch ook wel af hoe een ".mp4"-bestand tot compromitatie leidt. Dat zou in principe een containerformaat voor audio en video en eventueel ondertitels moeten zijn. Maargoed, je kan ook andere dingen in containers stoppen dan er strikt voor bedoeld is. Alleen hoe breekt zoiets uit naar voldoende controle over een apparaat om ongerelateerde data van het apparaat naar een derde partij te zenden?
En ik vraag me toch ook wel af hoe een ".mp4"-bestand tot compromitatie leidt. Dat zou in principe een containerformaat voor audio en video en eventueel ondertitels moeten zijn. Maargoed, je kan ook andere dingen in containers stoppen dan er strikt voor bedoeld is. Alleen hoe breekt zoiets uit naar voldoende controle over een apparaat om ongerelateerde data van het apparaat naar een derde partij te zenden?
27-01-2020, 11:43 door
SPer
Ik achte de kans niet uitgesloten dat whatsapp e2e encryptie doet ;-) , maar dat neemt niet weg dat je het, zodra het op het endpoint is aangekoment dat je het een en ander met telefoon malware wel kunt lezen....(screen prints ed.).
End-to-End encrypte communicatie loopt altijd via de server van de aanbieder van de dienst, in dit geval Whatsapp.
De aanbieder van de dienst genereerd naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
De aanbieder van de dienst genereerd naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
Door Anoniem: End-to-End encrypte communicatie loopt altijd via de server van de aanbieder van de dienst, in dit geval Whatsapp.
Wat? Nee.De aanbieder van de dienst genereert naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Dat is nu net niet de bedoeling.Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
Oh? Doe eens een voorbeeld?Definitiegewijs, als de provider (of wie dan ook) halverwege de pijp de communicatie ontsleutelt dan is'ie niet meer "end-to-end", ook als dat wel nog geclaimd wordt. Dan is de claim dus gewoon niet waar.
Door Anoniem:Er zijn talloze bewijzen te vinden (...)
Niet om te bashen maar vanuit interesse: ik ken ze niet, heb je een link voor me naar dit bewijs?
27-01-2020, 12:55 door
Briolet
Mediabestanden die gebruikers via WhatsApp downloaden zijn gewoon te ontsleutelen
Lijkt me ook logisch. End-to-End encrypte gaat over de overdracht. Op je telefoon worden het weer leesbare bestanden.
Zelf heb ik synchronisatie software op mijn telefoon staan en die zet de bij WhatsApp bijgesloten foto's/films gewoon leesbaar op mijn nas.
End-to-End encrypte communicatie loopt altijd via de server van de aanbieder van de dienst, in dit geval Whatsapp.
Incorrect.
''End-to-end encryption (E2EE) is a method of secure communication that prevents third-parties from accessing data while it's transferred from one end system or device to another. In E2EE, the data is encrypted on the sender's system or device and only the recipient is able to decrypt it.''
De aanbieder van de dienst genereert naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Dat is dus *geen* end-to-end encryptie.
Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
Beetje onmogelijk bij E2E encryptie. Wat wellicht wel mogelijk is, is end-to-end encryptie uitschakelen voor bepaalde accounts, en vervolgens forceren dat de verbinding wel loopt via centrale servers, waarbij de key in handen van de leverancier is. Bijvoorbeeld t.b.v. aftap verzoeken. Kraken is immers niet de enige manier voor een leverancier om te zorgen dat het verkeer onderschept kan worden.
Door Anoniem: End-to-End encrypte communicatie loopt altijd via de server van de aanbieder van de dienst, in dit geval Whatsapp.
De aanbieder van de dienst genereerd naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
De aanbieder van de dienst genereerd naast de publieke-sleutel ook de prive-sleutel van de End-to-End commnicatie en is ook in het bezit van deze prive-sleutel.
Er zijn talloze bewijzen te vinden op het internet dat aanbieders van end-to-end beveiligde communicatiediensten waaronder whatsapp de bij hun bekende prive-sleutel ook gebruiken om de End-to-End beveiligde communicatie ook te ontsleutelen op hun eigen server, naast dat deze ontsleuteld wordt op het device van de ontvanger.
Waar jij het over hebt vermoed ik is public-key encryption, of te wel vergelijkbaar met HTTPS.
Als end-to-end correct is gedaan, dan is het niet mogelijk voor de provider deze te ontsleutelen, maar whatsapp maakt ook gebruik van de whatsapp software, dus met een update kan het aangepast worden (en je weet ook niet of de initiele versie correct is, etc., etc.). Als de client software open source zou zijn en correct end-to-end encryptie toepast dan kan de provider er niks mee.
Ik achte de kans niet uitgesloten dat whatsapp e2e encryptie doet ;-) , maar dat neemt niet weg dat je het, zodra het op het endpoint is aangekoment dat je het een en ander met telefoon malware wel kunt lezen....(screen prints ed.).
E2E gaat dan ook over beveiligen data-in-motion, tussen endpoints. Het gaat niet over beveiligen van data-at-rest, op een endpoint.
Mediabestanden die gebruikers via WhatsApp downloaden zijn gewoon te ontsleutelen
Da's wel te hopen, anders heb je niets aan ontvangen bestanden.....
Het probleem met "gratis" software, die je vet betaalt met je privacy betaalt, is dat je je geld niet terug kunt eisen. Omdat je met iets veel waardevollers hebt betaald.
Daar mag wel eens wat beter over nagedacht worden. Zeker door de mensen die wetten maken. Want boetes opleggen geeft mij mijn betaalde privacy niet terug. Gevangenisstraffen helpen veel beter. Als je iemand hebt vermoord, dan kun je later spijt hebben, maar je kunt nooit de backup terugzetten. Toch?
Het zelfde principe is hier van toepassing. Dus waarom niet de zelfde soort straffen dan?
Daar mag wel eens wat beter over nagedacht worden. Zeker door de mensen die wetten maken. Want boetes opleggen geeft mij mijn betaalde privacy niet terug. Gevangenisstraffen helpen veel beter. Als je iemand hebt vermoord, dan kun je later spijt hebben, maar je kunt nooit de backup terugzetten. Toch?
Het zelfde principe is hier van toepassing. Dus waarom niet de zelfde soort straffen dan?
Door Anoniem: Zo zie je maar weer. De opmerking slaat sowieso ook nergens op, want als een bestand een compromitatie veroorzaakt dan is het niet onmogelijk de compromitatie-veroorzakende code te ontsleutelen want hoe kan het anders z'n werk doen?
Wat is 'compromitatie'? Bedoel je compromittering of comprimering?
Op https://asamborski.github.io/cs558_s17_blog/2017/03/09/whatsapp.html is als voorbeeld een uitleg te vinden dat Whatsapp de End-To-End beveiligde berichten kan ontsleutelen met de bij Whatsapp bekende private-key van de ontvanger en vervolgens met de public-key van de ontvanger het bericht opnieuw kan vercijferen en naar de ontvanger kan sturen.
27-01-2020, 17:33 door
karma4
Door Anoniem: , maar whatsapp maakt ook gebruik van de whatsapp software, dus met een update kan het aangepast worden (en je weet ook niet of de initiele versie correct is, etc., etc.). Als de client software open source zou zijn en correct end-to-end encryptie toepast dan kan de provider er niks mee.
Google bekijkt de code en mist veel van wat niet goed zit. Moeten ze achteraf gaan verwijderen.Nee open source helpt echt niet want a/ je berijpt niet alles (obfuscation) en b/ de updates kun je niet bijhouden, te veel code.
Door karma4:
Nee open source helpt echt niet want a/ je berijpt niet alles (obfuscation) en b/ de updates kun je niet bijhouden, te veel code.
Door Anoniem: , maar whatsapp maakt ook gebruik van de whatsapp software, dus met een update kan het aangepast worden (en je weet ook niet of de initiele versie correct is, etc., etc.). Als de client software open source zou zijn en correct end-to-end encryptie toepast dan kan de provider er niks mee.
Google bekijkt de code en mist veel van wat niet goed zit. Moeten ze achteraf gaan verwijderen.Nee open source helpt echt niet want a/ je berijpt niet alles (obfuscation) en b/ de updates kun je niet bijhouden, te veel code.
Jij gebruikt meer open source spullen dan je zelf beseft.
Op https://medium.com/@pepelephew/a-look-at-how-private-messengers-handle-key-changes-5fd4334b809a kun je een goede uitleg en procedures vinden voor alle messengers om zelf te kunnen controleren dat messenger niet End-to-End secure kan zijn.
Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
Door Anoniem: Op https://medium.com/@pepelephew/a-look-at-how-private-messengers-handle-key-changes-5fd4334b809a kun je een goede uitleg en procedures vinden voor alle messengers om zelf te kunnen controleren dat messenger niet End-to-End secure kan zijn.
Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
WhatsApp conversatie wordt dagelijks gebackupt naar je google/icloud account en deze backup kan terug worden geplaatst op een andere smartphone dus ja er is een key om deze conversatie te ontsleutelen.Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
Door Anoniem: Op https://medium.com/@pepelephew/a-look-at-how-private-messengers-handle-key-changes-5fd4334b809a kun je een goede uitleg en procedures vinden voor alle messengers om zelf te kunnen controleren dat messenger niet End-to-End secure kan zijn.
Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
Wanneer je de test voor WhatsApp uitvoerd dat blijkt dat Whatsapp in staat is om een ¨message in flight¨ dat versleuteld is met een oude public-key te decrypten met de bijbehorende oude private-key en opnieuw te encrypten met de nieuwe public-key. Dit bewijst dat WhatsApp de private-key heeft. Bij Signal lukt dit niet. Dit is bijvoorbeeld de reden dat militairen in het amerikaanse leger WhatsApp niet mogen gebruiken en Signal wel.
Je kunt met deze procedure zelf de messengers WhatsApp, Signal, Telegram, Wire en Allo controleren.
Dank !! Goede aanvulling.
Door Anoniem:]WhatsApp conversatie wordt dagelijks gebackupt naar je google/icloud account en deze backup kan terug worden geplaatst op een andere smartphone dus ja er is een key om deze conversatie te ontsleutelen.
Ontsleuteling is niet nodig, omdat WhatsApp de berichten en media bestanden onversleuteld in de cloud opslaat. Om die reden is het verstandig om de cloud backup functie vanaf het allereerste gebruik in WhatsApp uit te zetten.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
