WhatsApp komt met extra controle bij overzetten account naar nieuw toestel
WhatsApp heeft verschillende nieuwe beveiligingsfeatures aangekondigd, waaronder een extra controle bij het overzetten van een account naar een nieuw toestel. Wie zijn WhatsApp-account naar een nieuw toestel wil overzetten kan op het oude toestel de vraag krijgen of dit echt de bedoeling is. Dit moet gebruikers waarschuwen wanneer iemand zonder hun toestemming het account op een andere telefoon probeert over te zetten.
Een andere nieuwe feature is "device verification", die moet voorkomen dat malware op de telefoon het WhatsApp-account van de gebruiker gebruikt voor het versturen van spam en phishingberichten. Het gaat dan specifiek om onofficiële versies van WhatsApp die van malware zijn voorzien. Zodra gebruikers dergelijke apps installeren kan de malware de authentication key van de gebruiker stelen en daarmee, buiten de telefoon van het slachtoffer om, verbinding met de servers van WhatsApp maken en vervolgens allerlei malafide berichten als de gebruiker versturen.
Bij device verification zal WhatsApp elke keer dat een gebruiker verbinding met de WhatsApp-server maakt om een security-token op de telefoon vragen. Daarmee claimt de chatdienst verdachte verbindingen van malware, die buiten de telefoon om verbinding met de server maakt, te kunnen detecteren. De feature is onder alle WhatsApp-gebruikers op Android uitgerold. De uitrol vindt de komende tijd onder iOS-gebruikers plaats.
De derde nieuwe feature heet “Key Transparency" en moet ervoor zorgen dat gebruikers automatisch kunnen controleren dat ze via een beveiligde verbinding aan het chatten zijn. Voorheen was het alleen mogelijk om deze controle handmatig uit te voeren. Verder laat WhatsApp in de aankondiging weten dat gebruikers zelf tweestapsverificatie en end-to-end versleutelde back-ups zouden moeten inschakelen.
We zouden de afkorting E2EAaE moeten gaan gebruiken, voor End to End Authentication and Encryption.
Dat vind ik omdat veel te weinig mensen beseffen dat authenticatie de eerste voorwaarde is voor authenticiteit en vertrouwelijkheid. Het is zinloos om een verbinding met een impersonator te versleutelen.
En als E2EAaE te lang is, doe dan E2EA - authenticatie is belangrijker dan encryptie.
Immers, communiceren met een impersonator is altijd ongewenst. Als je, via internet, onversleuteld met de bedoelde persoon zou communiceren, bestaat er een kans dat dit wordt afgeluisterd, is die kans is weer onder te verdelen in wel- en niet-kwaadwillenden, en vervolgens, afhankelijk van de inhoud, de kans dat überhaupt iemand de speld in de hooiberg gaat zoeken en daar daadwerkelijk misbruik van wordt gemaakt. Als jouw briefkaart met none of your business-, maar niet top-secret-, informatie niet op het bedoelde adres maar bij een ander bezorgd wordt, is dat in de meeste gevallen onwenselijker dan dat een postsorteerder die briefkaart leest.
Oftewel: "ik heb niets te verbergen" is ongelofelijk naïef, maar alles willen verbergen is overdreven.
Nb. ik pleit niet voor WhatsApp (integendeel); dit geldt voor elke chat-app die fatsoenlijke wederzijdse authenticatie en encryptie ondersteunt.
Toename gecompromiteerde smartphones?
Zorgwekkend vind ik wel dat kennelijk ook Meta een toename van gecompromiteerde smartphones constateert waar kennelijk private keys vanaf gestolen worden. Zie ook de Quadream-spyware voor iOS in https://security.nl/posting/792793 en de Godfather trojan voor Android in https://tweakers.net/nieuws/207028/#r_18501974.
Bovendien lijkt een vergelijkbare rat-race als met anti-cheat software op gamer-PC's nu ook op smartphones "de normaal" te worden (of eerder al, wie herinnert zich de Sony-rootkit nog). Het checken of een device wel 'veilig' is, is an sich niet risicoloos - want als de bijbehorende gegevens (zoals welke apps en versies er op staan, en eventuele ongepatchte kwetsbaarheden in OS en hardware), in verkeerde handen vallen, is dat juist niet de bedoeling.
Bouwen op drijfzand
De heipalen onder internet krijgen steeds meer last van houtrot.
Tenzij je een politieagent bent en, in opdracht van de OvJ, dat doet met doel om de oplichter te ontmaskeren.
Tenzij je een politieagent bent en, in opdracht van de OvJ, dat doet met doel om de oplichter te ontmaskeren.
Laten het nou net de opsporingsdiensten zijn die op een transparante manier toegang hebben tot allerlei middelen om dingen te doen die gewone burgers niet mogen. Daar leggen ze daarna in het openbaar verantwoording over af. Dat heet nou 'Rechtsstaat'.
De gemiddelde crimineel zit toch echt anders in de wedstrijd.
n.b. geheime diensten mogen weer net wat meer en hoeven daar een stuk minder verantwoording over af te leggen. Maar ook zij moeten uiteindelijk alles openbaren (kan 75 jaar duren).
Tenzij je een politieagent bent en, in opdracht van de OvJ, dat doet met doel om de oplichter te ontmaskeren.
Oplichters? Die zaken worden toch geseponeerd wegens gebrek aan personeel. Het is veel dringender met politieke tegenstanders van de regering aan te pakken, of te zoeken naar verspreiders van "nepnieuws".
(je weet dat telefoons van de baas veel gemakkelijker kapot gaan dan privé toestellen)
Waar vind ik die?
Nooit geweten dat die ook bestaan.
Dan heb je geen last van de storing ;-)
Mijn bank heeft mij onlang laten weten dat ik mij vanaf nu alleen nog met mijn smartphone kan identificeren. Ik heb hen precies deze vraag gesteld. In hun antwoord praatte men hier handig omheen, maar duidelijk was wel dat er geen oplossing is voor een dergelijk scenario. @Triodos
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
