במאמר זה אנו רוצים להציג מחקר על פלטפורמת WhatsApp והסיכונים הנלווים לה. ניסינו גם לבצע השוואה עם פלטפורמת ה Signal.
למרות שהוא חלקי, זה עדיין מחקר מורכב מאוד. בהקדמה זו אנו מציגים את תוצאות הניתוח על מנת לספק לקורא החפוז או הבלתי מנוסה מושג גס על הנעשה.
כצעד ראשון, נערך מחקר על פרוטוקול ההצפנה בו השתמש וואטסאפ. הניתוח העלה כי רמת ההצפנה גבוהה מספיק למשתמש הממוצע.
לטבע מקור סגור של הפלטפורמה, המקרה קיימברידג 'אנליטיקה והתנהגותה של פייסבוק בנוגע לעיבוד נתונים, השימוש בה בסביבה מסווגת אינה מומלצת או אם המידע נחשב בעל ערך רב (פטנטים, סודות מסחריים וכו '). עבור אזורים אלה, ללא ספק שאינם שייכים לשוק "הצרכן", נדרש כי מוכר עצמם יכולים להציע אחריות נאותה בנוגע לאבטחה, פרטיות, תאימות ועיבוד נתונים. ערבויות אלה, בנוסף להיותן ברמה הטכנית, חייבות להיות מוסדרות גם ברמה החוזית עם מוכר עצמו.
בניתוח הרשת וכתובות ה- IP אליהם פנה האפליקציה, התברר כי קבצים זדוניים רבים, לאורך זמן, יצרו קשר עם שרתי הפלטפורמה. זה נובע מההתפשטות העצומה של אפליקציית ההודעות והעובדה שלמעשה קל לשנות את ה- לקוח אינטרנט להעביר התקפות על משתמשים אחרים.
הניתוח כולל דוגמה לפגיעות שנפתרה כעת לגבי סוג זה של שינוי של ה- לקוח אינטרנט. השוואה זו עם הפלטפורמה לאותת, וואטסאפ מהווה סיכון גדול יותר.
סיכון נוסף, בגלל הטבע מקור סגור היישום הוא יישום אפשרי של מה שמכונה "פרוטוקול רפאים" המורכב בנוכחות משתמש צד שלישי בלתי נראה, אשר (בהיותו חלק מהשיחה) יכול לקבל הודעות מכל השיח.
במחקר "Chiffrement de messagerie כמעט מיידי: באיזה פרוטוקול se vouer?"1שפורסם על ידי פלוריאן מאורי בשנת 2017, מוסבר כי הפרוטוקול לאותת זה לא בדיוק פתוח כמו שזה נראה וכדי להבטיח אבטחה גבוהה יותר של המשתמשים, האידיאל יהיה להשתמש בפרוטוקול אוממו.
להלן השוואה מסכמת:
כמעט מיידי: מנתח את איכות ההצפנה המיושמת להודעות מיידיות
ביזור: מנתח עד כמה הפלטפורמות הנבדקות מבוזרות
PFS: מנתח את היעילות של יישום Perfect Forward Secrecy על ידי הפלטפורמה שניתחה
התכחשות: מאפיין של צופן המאפשר למשתמש להכחיש שהוא שלח הודעה
מזהים: מציין אפשרות להתחקות אחר זהות המשתמש (לדוגמה, עבור אות הוא נמוך מכיוון שהוא משתמש במספר הנייד כמזהה.
הצף: מציין את איכות המערכת הקריפטוגרפית ואת יישומה בתוכנה.
יישום חינם: מציין אם קיימים יישומי קוד פתוח של התוכנה
מפרטים ציבוריים: מציין אם כל מפרטי התוכנה הם ציבוריים וזמינים בקלות.
מערכת ניהול מפתח: מציין את האמינות של מערכת ניהול המפתח, כגון החלפת מפתחות.
הפצה: מציין עד כמה נפוצה תוכנה או מערכת ספציפית המיושמת על העברת הודעות מיידיות.
מניתוח היציאות בהן משתמש היישום וואטסאפנמצא שימוש בנמל לא סטנדרטית. זה חושף את המשתמשים לסיכונים אפשריים גם במקרה של בקרת תעבורת הרשת, ובמקרה שיש תוקף פעיל, שיכול לרכז את מאמציו רק בשירות. לא סטנדרטית.
הניתוח הראה גם כמה קל לשחזר את המפתחות ומסד הנתונים של ההודעות ממכשיר, כמובן שזה נתון לאפשרות של גישה פיזית למכשיר.
הוא נמצא כקישורי ההזמנה לקבוצות של וואטסאפ צמודים לאינדקס בגוגל, וחושפים משתמשים לסיכון חשוב לסודיות התקשורת.
משווה את מה שניתח עם הפלטפורמה לאותתנמצא כי לאותתבהתחשב באופיו קוד פתוח (עם הסתייגות נאותה), בדרך כלל נחשב לחזק יותר מאשר וואטסאפ.
נלקח בחשבון גם מקרה אמיתי של בקשה לנתונים של מדינה, והיה אפשר להדגים כיצד, בדיוק בגלל האופי לפתוח היישום, זה שוב חזק יותר מאשר WhatsApp. עם זאת, יש לומר כי אנשים מעטים מסוגלים לנתח ולאמת את קוד היישום כולו, ולכן ניתן לראות בו את הסיכון כמופחת, אך לא מבוטל.
נמצא כי איומים מערכתיים כמו "פרוטוקול הרפאים" קשים יותר ליישום ביישום.
הניתוח של לאותתבמקום זאת, הוא הראה נוכחות של הרבה פחות קבצים זדוניים מאשר וואטסאפ, אך הדבר עשוי להיות נובע מההבדל במספר המשתמשים הפעילים בפלטפורמות המתאימות.
נמצא שלמרות שזה קשה יותר, אפילו עבור לאותת במקרה של אפשרות גישה פיזית למכשיר, קיימת אפשרות לעקוף את אמצעי האבטחה של מערכות הפעלה מודרניות סלולריות באמצעות תוכנה שנוצרה במיוחד.
אם צפוי שימוש בסביבה מסוכנת, שם עשוי להיות סכנה לגישה פיזית למכשיר על ידי אנשים מבחוץ, אין להשתמש בשתי הפלטפורמות.
לסיכום, במקרה שאין סכנה לגישה פיזית למכשיר או שצפוי שליריב אין את האמצעים הדרושים לשימוש בבקרות או בתוכנות מסוימות, אנו ממליצים להשתמש בפלטפורמה לאותת, לשימוש נפוץ השימוש בשתי הפלטפורמות מקובל.
אנו מזכירים לכולם שכל הניתוחים שהוצגו מבוצעים מבחוץ, זאת מבלי לדעת מה המצב הפנימי של הפלטפורמות והמערכות. לכן סיכונים הקשורים לקבצים זדוניים עלולים להיות תוצאה של תוצאות חיוביות שגויות. הנימוקים המשמשים לביצוע ניתוח זה הם מסוג "קופסה שחורה" חיצונית, כלומר מבלי לדעת את מבנה הפלטפורמה.
זוהי ערכת ההנמקה שבה נעשה שימוש (ניתן לשכפל בכל ניתוח הקופסא השחורה החיצונית).
ניתוח פלטפורמה וואטסאפ והשוואה לפלטפורמה לאותת.
תקציר
מבוא
תיאור הפרוטוקול וואטסאפ
שיקולים נוספים כיצד וואטסאפ
אנאליזי וואטסאפ
מסקנות על ניתוח וואטסאפ
אנאליזי לאותת
סיכום ניתוח אות והשוואה עם וואטסאפ
ריפרימינטי
מבוא
וואטסאפ זהו יישום ההודעות המיידיות הנפוץ ביותר בעולם.
ניתוח זה משמש להבנת רמת האבטחה של הפלטפורמה, תוך הדגשת כל נקודות התורפה.
מכיוון שלפלטפורמה יש בסיס משתמשים עצום, ליקוי אבטחה ימשוך יותר תוקפים מאשר פלטפורמות אחרות וזה יכול להשפיע יותר על המשתמשים.
אפשר לחשוב שלמערכת כל כך נפוצה לא היו בעיות אבטחה, אך אין זה כך, אם נביא דוגמא אנו מדווחים על פגיעות, שנפתרה כעת, שאפשרה קריאת קבצים או ביצוע קוד במכשיר הקורבן:
https://www.perimeterx.com/tech-blog/2020/whatsapp-fs-read-vuln-disclosure/
וואטסאפ יש מודל הפעלה של לקוח / שרת מסוג זה:
לקוח (אפליקציה) → הובלת מנות מוצפנת → שרת (פלטפורמה)
הלקוח הוא אפליקציה, כתוצאה מכך הניתוח יתבצע בשיטה המאפשרת לבדוק את האבטחה במכשירים ניידים.
הובלת נתונים מתבצעת בצורה מוצפנת (מקצה לקצה) או מהלקוח השולח ללקוח היעד, אפילו בלי שהפלטפורמה יכולה לקרוא את התוכן.
לפני שמתארים את תפקוד הפרוטוקול, יש ללמוד לעומק את המינוחים המשמשים, החל ממפתחות ההצפנה.
מה הכוונה ב"מפתחות ":
מפתח קריפטוגרפי הוא מידע המשמש ל"נעילה "או" ביטול נעילה "של פונקציות קריפטוגרפיות.
אל תחשוב על המפתח הקריפטוגרפי כסיסמה אלא כמפתח פיזי: המפתח הפיזי, על מנת להשתמש בו, זקוק למנעול שלו.
באותו אופן, המפתח הקריפטוגרפי מאפשר לך "להפעיל" את האלגוריתם הקריפטוגרפי הספציפי לסוג המפתח ולכן לאפשר לו "להצפין" או "לפענח" את הנתונים.
במקרה של האלגוריתם הנבדק נוצר צמד מפתחות, ציבורי ופרטי.
יש לחלק את המפתח הציבורי ואילו המשתמש צריך לשמור על המפתח הפרטי.
מכיוון שהמפתחות הציבוריים זמינים לכולם, שולח ההודעה מצפין את ההודעה עם המפתח הציבורי של הנמען.
לאחר שההודעה הוצפנה, רק הנמען יכול לפענח אותה מכיוון שרק לו המפתח הפרטי.
סוג זה של אלגוריתם נקרא "אלגוריתם הצפנה א-סימטרי" מכיוון שלמעשה, יש צורך בשני מפתחות (פומבי של הנמען כדי להצפין ופרטי אחד של הנמען לפענוח).
במקרה שלנו יש לנו קידוד מסוג 128 סיביות בו מספר הסיביות מייצג את אורך המפתח.
ככל שהמפתח ארוך יותר, כך יהיה קשה לאחור לתוקף לאחזר או "לכפות" אותו.
להבנה מעמיקה יותר של המפתחות ואלגוריתמי ההצפנה בהם משתמשים וואטסאפראה "הפניה 1 - מקשים ואלגוריתמים המשמשים את וואטסאפ"הווה בסוף המחקר.
תיאור הפרוטוקול וואטסאפ
בואו נפנה כעת אל תיאור של הפרוטוקול בפועל, בכל שלב:
רישום;
יצירת מושב מוצפן;
קבלת הפעלה מוצפנת חדשה;
החלפת הודעות;
העברת מדיה;
קבוצות;
שיחות טלפון.
1 - רישום
בעת ההרשמה לשירות, הלקוח (האפליקציה של וואטסאפ) מעביר לשרת את מפתח הזהות הציבורית (זוג מפתחות זהות), את המפתח הציבורי שנחתם מראש (מפתח מקדים חתום) וסדרת מפתחות ציבוריים (מקשים מקדימים חד פעמיים). השרת מאחסן סדרת מפתחות ציבורית זו המשויכת למזהה החשבון.
אמנם לשרת אין גישה למפתחות הפרטיים, אך ללקוח עדיין יש גישה למפתחות הפרטיים אך מכיוון שהוא אינו קוד פתוח, לא ניתן לברר את התנהגות היישום המותקן בסמארטפון ביחס למפתחות הפרטיים. זהו מרכיב ראשון של סיכון.
ישנם סיכונים הקשורים ליצירת מקשים אקראיים. להפקת המפתחות, התוכנה (לא רק וואטסאפ) השתמשו ב"מחוללי מספרים אקראיים ", שהם למעשה פונקציות המייצרות מספרים פסאודו אקראיים החל מערך ראשוני המכונה" זרע "(זרע).
אם אתה מעביר את אותו זרע ראשוני למחולל מספרים אקראיים, התוכנה תמיד תפיק את אותו רצף המספרים (מכיוון שהיא לא ממש אקראית).
כדי להתגבר על בעיה זו, PRNG (מחוללי מספרים אקראיים-פסאודו) משתמשים במידע שונה שקשה למצוא, כגון שילוב של תאריך, זמן, שטח דיסק שנותר ושם מכשיר, רק כדי לתת דוגמא.
עם זאת, קיים סיכון שתוקף יוכל להבין כיצד ה- PRNG מייצר את הערכים הפסאודו-אקראיים, ובכך יצליח לחדש את אותם מפתחות, ובכך לפסול את המערכת הקריפטוגרפית.
2 - יצירת הפעלה מוצפנת
כדי לתקשר עם משתמש אחר, הלקוח צריך ליצור הפעלה מוצפנת עם הלקוח האחר.
לאחר הפקת ההפעלה המוצפנת, הלקוח אינו מבצע אתחול מחדש של ההפעלה עד להתקנת האפליקציה מחדש.
המסמך2 שמסביר כי פרוטוקול התקשורת אינו מדבר על אתחול מחדש של המפתחות, זה יכול ליצור ספק זה: אתחול המפתחות מתרחש רק ברישום ה- FIRST?
כדי להיות ברורים יותר, המסמך מדבר על "שלב ההרשמה".
בחלק הבא (הפעלה מוצפנת) כתוב במפורש כי לקוחות אינם צריכים לבנות מחדש הפעלה מוצפנת עד להחלפת המכשיר או להתקנת האפליקציה מחדש.
כתוצאה מכך, לא ברור אם המפתחות הפרטיים מתחדשים בפועל לאחר התקנה מחדש או שינוי מכשיר, או שנוצרים רק בשלב הרישום (בפועל כאשר השרת רואה שמספר הטלפון שלנו אינו קיים במסד הנתונים של המשתמשים) .
אם נוצרו מפתחות פרטיים רק במהלך ההרשמה, פירוש הדבר שהשרת יכול לשמור עליהם.
כדי לקבוע הפעלה, הלקוח מבקש מהשרתים את המפתחות הציבוריים הבאים:
מפתח זהות
מפתח מקדים חתום
מפתח מקדים חד פעמי
השרת מגיב בנתונים.
במהלך ההרשמה הלקוח שולח סדרה של מפתח מקדים חד פעמי.
בעת קביעת הפעלה מוצפנת, השרת מחזיר מפתח מקדים חד-פעמי יחיד.
השרת, יחד עם התגובה, מסיר את מפתח המקדמה החד פעמי שהוחזר ללקוח.
אם אין מקשי מקדמים חד פעמיים, השרת אינו שולח את מקש המפתח המקדים החד פעמי.
לאחר קבלת המפתחות הציבוריים, הלקוח יכול גם להעלות מפתח זהות משלו ליצירת מה שמכונה "master_secret".
"מפתח שורש" והקישורים "מפתחות שרשרת" קשורים נוצרים מתוך "master_secret" (ראה סעיף קודם, "הפעלות מוצפנות").
3 - קבלת הפעלה מוצפנת חדשה
לאחר יצירת הפגישה הלקוח יכול להתחיל לשלוח הודעות לנמען.
עד שהנמען עונה, השולח כולל את הבקשה לבנות מושב מוצפן מקביל בכותרת ההודעה.
לשם הבהרה, וכדי להסביר מה זה כותרת, קח מעטפת דואר כדוגמה.
הכותרת היא הנתונים המאפשרים למעטפה לנסוע נכון ליעד כמו למשל כתובת הדואר.
תוכן המעטפה עצמה מוגדר כ"משא מטען ".
במקרה שלנו, הכותרת כלולה בהודעה והיא אינה מוצגת על ידי המשתמש, בעוד שהמטען הוא ההודעה שהמשתמש שולח לנמען.
לאחר קבלת הבקשה, המקבל יוצר "master_secret" תואם, מבטל את "מפתח מקדים חד פעמי" המשמש את השולח שייצר לראשונה את ההפעלה המוצפנת ומחשב "מפתח שורש" וקשרי שרשרת שרשרת הקשורים אליו "master_secret".
4 - החלפת הודעות
לאחר בניית הפגישה המוצפנת, ההודעות המוחלפות מוצפנות באמצעות AES256 ו- HMAC-SHA256 כדי להבטיח את האותנטיות והיושרה שלהם.
עבור כל הודעה משתנה "מפתח ההודעה" (ראה מעל סוגי המפתחות המשמשים להפעלות המוצפנות).
מפתח ההודעה הוא "חלופי", כלומר הוא נוצר באופן שלא ניתן לשחזר אותו החל ממצב הפגישה המוצפנת.
מפתח ההודעה נגזר ממפתח שרשרת השולח.
בכל חילופי הודעות, מפתח ה- Chain מתחדש גם כן.
זה מבטיח את מה שמכונה "סודיות קדימה".
סודיות קדימה או סודיות מוחלטת מושלמת (PFS) היא מאפיין שמבטיח שאם נפגע מפתח ארוך טווח (כגון מפתח זהות), ההפעלות שנוצרו על ידי מפתח זה עדיין מאובטחות.
5 - העברת מדיה
כל קבצי המצורפים לתקשורת והודעות מוצפנים מקצה לקצה.
השולח שולח הודעה המייצרת מפתח AES256 חלוף-חלוף ומוקד-חלל HMAC-SHA256.
השולח מצפין את הקובץ המצורף עם AES256 עם IV אקראי ותלוי בסוף, HMAC-SHA256.
השולח מעלה נתונים מוצפנים זה במרחב מיוחד.
השולח שולח לנמען הודעה מוצפנת רגילה, המכילה את מפתח ההצפנה, מפתח HMAC, Hash של SHA256 המייצג את הקובץ שהועלה ומצביע שאומר לנמען היכן להוריד את הקובץ המוצפן.
לאחר מכן הנמען יכול לקבל את הקובץ ולפענח אותו.
המסמך, בחלק זה, לא מפסיק לציין כיצד המקבל מפענח את הקובץ אם ה- IV הוא אקראי ולא הועבר.
המסמך (עמוד 6: "העברת מדיה וקבצים מצורפים אחרים") מציין באופן ספציפי כי הקובץ המצורף מוצפן באמצעות מפתח ההצפנה ו- IV המקרי, אולם לאחר מכן לא מוזכר ה- IV.
יהיה כדאי למשתמשים (לפחות באזורים רגישים מסוימים) לדעת את תוכנית התפקוד המדויקת של הפונקציות השונות.
6 - קבוצות
בפעם הראשונה שמשתמש כותב לקבוצה, השולח מייצר מפתח שרשרת של 32 בתים.
השולח מייצר זוג מפתחות חתימה של Curve25519.
השולח משלב את מפתח שרשרת ה -32 בתים עם מפתח החתימה הציבורי, בהודעה מסוג "מפתח שולח".
"מפתח השולח" מוצפן ומופץ באופן פרטני לכל אחד מחברי הקבוצה.
עבור כל ההודעות שלאחר מכן, השולח מחשב את מפתח ההודעה ממפתח השרשרת ומעדכן את מפתח השרשרת.
השולח מצפין את ההודעה באמצעות AES256.
השולח "מסמן" את ההודעה באמצעות מקש חתימה.
ההודעה המוצפנת נשלחת לשרת, שמפיץ את ההודעה לכל חברי הקבוצה.
אם משתמש עוזב קבוצה, כל המשתתפים מוחקים את מפתח השולח.
7 - שיחות טלפון
שיחות קוליות ושיחות וידאו מוצפנות בדרך הבאה:
המתקשר מייצר מפתח SRTP של 32 בתים.
SRTP (פרוטוקול תעבורה מאובטח בזמן אמת) הוא פרוטוקול המגדיר תקן לתקשורת שמע ווידאו בזמן אמת באינטרנט, ומבטיח את האבטחה והיושרה של הובלת נתונים.
מפתח SRTP נשלח לנמען דרך הודעה מוצפנת רגילה.
לאחר מכן הנמען יכול ליצור שיחה מוצפנת או שיחת וידאו, לדעת את המפתח.
שיקולים נוספים כיצד וואטסאפ
ישנן התנהגויות מערכתיות אחרות שיש לקחת בחשבון: היישום אינו מגן על גיבוי צ'ט המוגן באמצעות סיסמה.
וואטסאפ מאפשר לך לשמור גיבויים לשיחות שלנו בענן (כונן Google).
למרבה הצער, גיבוי בענן מתבצע באופן ברור3 והפונקציה המאפשרת לך להחיל סיסמא אינה זמינה עדיין.
בסביבה הדורשת סודיות גבוהה, לא מומלץ להשתמש בפונקציית הגיבוי שמירה בענן עד שתוכלו להגן עליה באמצעות סיסמה.
התראות על קריאת הודעות: כברירת מחדל, וואטסאפ מזהיר את המשתמש כי ההודעה נקראה על ידי הנמען (סימון כחול כפול).
כשלעצמה, אפשרות זו עשויה להיות נוחה, אולם היא נחשבת כמגבילה לפרטיות.
וואטסאפ לכן היא מציעה אפשרות לבטל את קבלות הקריאה אך ההפעלה היא דו כיוונית, כלומר גם אנשי הקשר וגם המשתמש כבר לא יקבלו את האישורים.
יתר על כן, אפשרות זו אינה תקפה לקבוצות, כאשר בכל מקרה המשתתפים ממשיכים לקבל קבלות קריאה מהמשתמש.
היישום אינו מסנן את תוספי הקבצים שנשלחים: בדרך כלל וואטסאפ הוא משמש גם לשליחת מסמכים וקבצים מסוגים שונים.
עם זאת אם המשתמש בוחר לצרף קובץ ותבחר "מסמך", היישום לא בודק את הרחבות הקבצים המותרים.
לכן ניתן לשלוח קבצי הפעלה או ארכיוני מיקוד או למשל יישומים בפורמט "APK", כלומר להתקנה בטלפון שלך, ממקור מפוקפק.
לכן מומלץ לא לקבל קבצים שהוחלפו מראש ולבדוק תמיד את תוכנם מול השולח.
אם נמחקות הודעות, היישום עדיין מציג הודעה לצד השני: במקרה שמשתמש שולח הודעה באופן שגוי, לאחר שנמחק וואטסאפ מציג את הביטוי "הודעה זו נמחקה" במקום התוכן המקורי.
התנהגות מסוג זה, לכאורה טריוויאלית, מראה לבני השיחה כי נשלחה הודעה בפועל.
עדיף אם חיסול ההודעה היה מוחלט עבור כל בני השיחה.
היעדר הודעות מתוזמנות: למעלה וואטסאפ אין פונקציה המאפשרת העברת הודעות הרס עצמי.
במצבים מסוימים יכול להיות שימושי מאוד להשתמש בהגדרה המאפשרת למחוק את ההודעות העצמית לאחר פרק זמן מסוים שהוגדר על ידי המשתמשים.
אנאליזי וואטסאפ
בואו נעבור לניתוח בפועל. השרת מיוצג על ידי פלטפורמת הפייסבוק שרכשה וואטסאפלכן יש לקחת בחשבון את הסיכון שפייסבוק עשויה לקיים אינטראקציה עם התנועה שמייצרת האפליקציה.
עם זאת, קחו בחשבון שהיישום מקיים אינטראקציה עם מערכת ההפעלה הבסיסית וכי יישומים אחרים יכולים לתקשר איתם וואטסאפ עצמו.
ראשית, אנו מנתחים את מצב הרשת של הפלטפורמה, בכדי לבדוק אם כל הקבצים הזדוניים מתקשרים עם הדומיין.
לא נמצאו אינדיקטורים ברורים לאיומים אחרונים המתקשרים ישירות עם כתובות ה- IP של הפלטפורמה (בשלב זה של הניתוח).
לפלטפורמה, לעומת זאת, יש מספר קבצים זדוניים שמתקשרים עם תת-הדומיינים השונים.
להלן המדדים שהתגלו כאיומים אחרונים, המתקשרים ישירות עם הפלטפורמה:
תחום: web.whatsapp.com
Hash: 183ddb9b37b549f7673ac38ec2ca15e1516655d559f20eaf63146a4030073d2d
המיצוי המלא של אינדיקטורים לפשרה מתבצע.
מיצוי מלא: https://otx.alienvault.com/pulse/5e35c5a4977b679705a90b1a
כפי שניתן לראות ממפת הרשת (הנקודות האדומות במפה), ניתן לזהות שלאורך זמן נוצרו APKs (חבילות התקנה למערכת ההפעלה אנדרואיד) והפעלה זדונית, לכן ניתן להסיק כי קיים סיכון. מתמיד שהלקוח שלנו יכול לקיים אינטראקציה עם לקוח זדוני.
לאחר ניתוח המצב הנוכחי של הרשת וכל אינדיקטור, תוכלו לבחון את פרוטוקול העברת הנתונים של הפלטפורמה.
וואטסאפהוא משתמש בפרוטוקול הצפנה מקצה לקצה, שמשמעותו היא שניתן להציג את כל הנתונים העוברים רק על ידי השולח והנמען.
הפלטפורמה משתמשת בהצפנה מקצה לקצה כברירת מחדל, אך מאפשרת דרך הגדרה להציג מתי משתנה מפתח השיח.
זה קורה לשינוי טלפוני או להתקנה מחדש של היישום ושימושי כדי להימנע מהאדם באמצע, כלומר פונקציה זו מועילה להבנה אם המשתמש מדבר עם בן השיח האמיתי שכן, במקרה של ספק, המשתמש יכול לשאול (ברור באופן אישי) את האדם הנוגע בדבר אם הוא שינה את הטלפון או התקין מחדש את היישום.
להלן הפרט של פרוטוקול התקשורת המשמש את הפלטפורמה:
https://scontent.whatsapp.net/v/t61/68135620_760356657751682_62129975288...
ממסמך זה ניתן להבין כי הפרוטוקול להצפנת נתונים מקצה לקצה מבוסס על זה של לאותת.
הקרן אלקטרונית פרונטייר (EFF), קרן ללא כוונת רווח שנוצרה כדי להגן על זכויותיהם ופרטיותם של המשתמשים ברשת, כתבה מסמך מעניין על אבטחת היישום במערכת ההפעלה אנדרואיד, שדווח בקישור זה:
https://ssd.eff.org/en/module/how-use-whatsapp-android
המחקר שנערך על ידי EFF מדגיש כמה חששות בנוגע להגדרות הפרטיות של היישום. בפרט, המשתמש אינו יכול לסרב לשימוש כלשהו בנתוני הטלמטריה שנשלחים על ידי המשתמש לשרתי פייסבוק.
בפירוט, כאמור EFF, משתמשים ותיקים וואטסאפ (עם רכישתה על ידי פייסבוק) הייתה תקופת חסד לשנות את הגדרות הפרטיות שלהם כדי למנוע מפייסבוק להציע חברויות או להציג פרסומות ממוקדות החל מהנתונים שנאספו על ידי Whatsapp. למשתמשים חדשים אין אפשרות זו, כלומר באמצעות וואטסאפ המשתמש מקבל את שיתוף הנתונים במלואו.
אף שפייסבוק מצהירה כי הנתונים אינם משותפים או נמכרים מחדש לצדדים שלישיים, המקרה כן קיימברידג 'אנליטיקה (קישור: https://www.ilpost.it/2018/03/19/facebook-cambridge-analytica/) יכול רק להוכיח כי שיתוף זה מהווה איום מערכתי, כלומר קיים סיכון לפגיעה בנתונים, ללא קשר לפגמים / תוכנות זדוניות / באגים הקיימים בפלטפורמה.
EFF מצהירה על דאגתה ביחס לגירסת האינטרנט של היישום, מכיוון שניתן לשנות אותה כדי לגרום לה להיות זדונית או לקיים עמה זדון, ומאשרת את מה שמוצג במפת הרשת.
למידע נוסף על גרסת האינטרנט של וואטסאפ משפיעים על אבטחת הפלטפורמה כולה, רוברט היטון פרסם בשנת 2017 פוסט מעניין בבלוג שלו4 שם הוא מתאר כיצד לעקוב אחר אנשי הקשר שלך בצורה יעילה בזכות מניפולציה של ממשק האינטרנט.
שוב ברמת התובלה, הצפנה מקצה לקצה מועילה כל עוד היישום יכול להיחשב "מהימן".
בפירוט, וואטסאפ הוא יישום עם קוד סגור.
המשמעות היא שאיש אינו בנפרד וואטסאפ עצמה יכולה לדעת מה עושה היישום.
עם זאת, קיים מסמך, המקושר גם בהסבר הפרוטוקול בתחילת ניתוח זה, המסביר בפירוט כיצד וואטסאפ מבצע הצפנה.
באופן כללי, אם ברצונך להיות פרנואידי, אינך יכול לדעת אם היישום מעלה את ההודעות הפשוטות לשרתים אחרים. גם כאן ניתן להדגים שמדובר באיום מערכתי.
כדי להפגין את האיום, אנו יכולים להתייחס למה שמכונה "פרוטוקול רפאים".
"פרוטוקול הרפאים" (קישור: https://www.theguardian.com/uk-news/2019/may/30/apple-and-whatsapp-conde...) הוא נוהל שנמנע מ"שבירת "ההצפנה של יישום, תוך גישה לכל השיחות.
הפרוטוקול קובע, למעשה, לשלוח "בהעתקה" כל הודעה מלקוח ספציפי לצד שלישי, חלק מהשיחה באופן בלתי נראה.
כדי להבין את ההשפעה האמיתית של פרוטוקול הרפאים על סודיות השיחות, זה כאילו תוכנית דואר אלקטרוני נשלחת באופן אוטומטי, לגוף שלישי, כל הודעה שנשלחה והתקבלה במצב "העתק סמוי", מבלי שהמשתמש יהיה בעל שום הוכחות , תוך פגיעה מוחלטת באבטחת המידע המועבר.
במחצית השנייה של 2019 הכחישה החברה את כניסה לפרוטוקול הרפאים, למרות בקשת היישום שהגיעה מ- GCHQ (סוכנות הביטחון הבריטית).
למרות ההיאבקות בזרוע, המשתמש אינו יכול לדעת בוודאות אם פרוטוקול זה (או אמצעים דומים) מיושם בתוך היישום.
איום מסוג זה הוא אפוא מערכתי ובסביבה מסווגת ניתן להחשיב את היישום כמפגע עד שיוכח אחרת.
ממשיכים לדבר על רמת התחבורה, אנו בודקים לעומק כיצד האפליקציה מתקשרת.
כדי לתפוס מנות במעבר במכשיר אמיתי, אתה יכול להשתמש בחומת אש ("נעשה שימוש בחומת האש של NoRoot") כל עוד חומת אש זו יוצרת "fakeVPN", כלומר VPN מקומי למכשיר, שמפנה את כל התעבורה.
באמצעות זה תוכלו לנתח את ההתנהגות האמיתית של היישום.
(התוצאה מוצגת במסך המסך)
על ידי ביצוע בדיקות שונות ניתן לצפות באותה דפוס.
יתכן שהתבנית הזו משתנה עם הזמן או שהיא שונה במקצת למכשיר אחר.
בהתחשב בתבנית ניתן לראות גורמים שונים:
שימוש ביציאה לא סטנדרטית (5222)
תקשורת לשרתי פייסבוק
שימוש בדלת רגילה לא בטוחה (80)
שימוש ביציאה הלא בטוחה לשרת לא ידוע (216.58.208.142)
השרת 216.58.208.142 הוא של גוגל, כולל האינדיקטורים הבאים שהם זדוניים, איתם הם מתקשרים ישירות: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לפיכך אנו ממשיכים בזיהוי כל המדדים.
מיצוי מלא:
https://otx.alienvault.com/pulse/5e36395f8654862296f22c8c
כפי שניתן לראות, גם במקרה זה יש המון אינדיקטורים רשעים לאורך זמן.
כתובת ה- IP השנייה מנותחת כעת: 157.240.193.50
בכתובת IP זו אין אינדיקטורים שמתקשרים ישירות.
כתובת ה- IP השלישית מנותחת כעת: 157.240.193.55
כמו כן, כתובת זו אינה מציגה אינדיקטורים המתקשרים ישירות.
הבה ננתח כעת את היציאות בהן נעשה שימוש.
80
443
5222
הנמקה בסביבות עסקיות, פורט 80 ו- 443 נפוצים, כך שיש סבירות גבוהה כי חומות אש לא יחסמו יציאות אלה.
בשונה משתי היציאות שהוזכרו לעיל, 5222 משמש על ידי Google Talk, וואטסאפ ומשרתי ג'אבר, שהוא סוג של שרת המשמש לשירותי מסרים מיידיים.
מעניין מאוד לראות כיצד סריקות אקטיביות בנמל זה גדלו באופן אקספוננציאלי מאז ספטמבר 2019:
https://isc.sans.edu/port.html?port=5222
הגידול בסריקות אינו קשור ישירות ל וואטסאפ, אך ניתן להדגים כי קיים סיכון בשימוש ביציאה שאינה סטנדרטית.
בעיית השימוש בנמל זה נוגעת לבדיקת תנועה ברמת הרשת.
בידיעה שיצירות 5222 משמשות שירותים אלה, ניתן לסרוק / לחבר מכשירים אלה ספציפית לשירות היחיד, ולרכז את מאמצי התוקף בפרוטוקול יחיד, וכך גם להפחית את המאמץ הדרוש לתוקף.
לאחר ניתוח התובלה ניתן לנתח את הסיכון בשימוש בפלטפורמה בצורה המקורית שלה, או באמצעות יישום.
לאפליקציה עצמה יש 8 CVE:
https://www.cvedetails.com/vulnerability-list/vendor_id-19851/product_id...
עם זאת, אין איום ישיר, שכן הגרסה הנוכחית אינה כלולה ברשימת הפגיעויות הידועות. למרות זאת, לא ניתן לזלזל במערכת האקולוגית של המכשיר.
למכשירים ניידים, בניגוד למחשבים, יש משטח התקפה גדול יותר בגלל אופיים. הם חייבים להיות פשוטים לשימוש, בהישג ידם של כולם וגם הם מציגים איומים מערכתיים, כלומר מערכת ההפעלה קשה יותר לשינוי / שליטה, ולרוב היצרנים חוסמים הרשאות ניהול (כלומר חשבון עם הרשאות מוגדלות, על מנת הפעלת פקודות שיכולות לשנות את התנהגות המערכת עצמה), כמו גם להיות בעלות מנהלי התקנים בעלי קוד מקור סגור.
בנוסף לאיומים מערכתיים, מערכות הפעלה להתקנים ניידים הן מורכבות מאוד ומועדות לפגיעויות חמורות פחות או יותר.
זוהי רשימה של פגיעויות אנדרואיד:
https://www.cvedetails.com/product/19997/Google-Android.html?vendor_id=1224
זוהי רשימת הפגיעויות במערכת ההפעלה iOS:
https://www.cvedetails.com/product/15556/Apple-Iphone-Os.html?vendor_id=49
לפיכך קיימת האפשרות שאפליקציה זדונית או תוקף יוכלו לנצל פגיעויות בכדי להשיג הרשאות גם ביישום.
אבל מדוע להתמקד גם במכשיר? מדוע האפליקציה וואטסאפ שמור את מאגרי ההודעות המוצפנים שלך ואת מפתחות ההצפנה מקצה לקצה ישירות למכשיר.
לצורך ניתוח זה בוצעה בדיקה עם כלי זה:
https://forum.xda-developers.com/showthread.php?t=1583021
הבדיקה הצליחה במכשיר מעודכן לחלוטין וללא הרשאות שורש (הרשאות ניהול בכל המערכת).
הבדיקה מוכיחה כי ניתן לשחזר מפתחות גם באמצעות גישה פיזית למכשיר. זה כרוך בפשרה מוחלטת של הנתונים במעבר, והביס כל יישום של הצפנה מקצה לקצה.
נראה כי התאוששות מפתח יכולה להיות אפשרית לאותתעם זאת, אשר מתברר כחזק הרבה יותר, למעשה, לפעולות מסוג זה לאותת עליך להשתמש בתוכנית של צד שלישי:
https://blog.elcomsoft.com/2019/08/how-to-extract-and-decrypt-signal-con...
זה פותח תרחישים רבים שבהם ניתן לסכן את אבטחת התקשורת.
קחו למשל את החברה הישראלית Cellebrite.
החברה המדוברת הפיקה תוכנה, UFED, המאפשרת להתגבר על כל הגנה, אפילו של מכשירי High End:
https://www.cellebrite.com/en/ufed-ultimate/
ניתן ליישם את הפלטפורמה גם ב"טוטמים "המפורסמים, כלומר נקודות מידע הקיימות בשדות תעופה ובתחנות.
לבסוף, מצוין ניתוח התנהגותי של היישום שבוצע בארגז החול דרך VirusTotal, כדי לאתר "התנהגויות" חשודות.
הניתוח הוא ציבורי ואינו מפגין התנהגות חשודה. זה הקישור לניתוח:
https://www.virustotal.com/gui/file/4a7b1a8f5ab065978feb00fd8f90ba29f8c5...
העצה היא לעולם לא לחבר מכשירים לשקעי USB ישירים, אלא תמיד להשתמש באספקת החשמל עם שקעים חשמליים רגילים, ובגבול הגבול, לקחת בנקים חשמליים.
קיימת התנהגות מסוכנת מאוד למשתמשים לגבי קישור ההזמנה לקבוצות.
העיתונאי ג'ורדן ווילדון דיווח דרך טוויטר (קישור: https://twitter.com/JordanWildon/status/1230829082662842369) שבאמצעות הפונקציה "הזמן באמצעות קישור" הקבוצות צמודות לאינדקס בגוגל.
המשמעות היא שבאמצעות חיפוש פשוט "מותאם אישית" ניתן להיכנס לקבוצות השונות ביותר, ולחשוף את המשתתפים לסיכון לא מבוטל.
בעיה זו ידועה מאז 2018, ויש גם סוג של "דורק"5 בפורטל "explo-db":
https://www.exploit-db.com/ghdb/4753
יש לומר כי מרבית הנתונים הללו "שנחשפים" על ידי גוגל, הם למעשה תוצאה של שגיאות בתצורה של שרתי המערכת על ידי מנהלי המערכת.
תמונה זו היא דוגמא לדורק עבור הקבוצות הנ"ל של וואטסאפ (בוצע באופן אישי כדי לוודא שהדורק המדובר עדיין היה "ניתן לנצל").
קבוצות צמודות גם עם לאותתלמרות שזה יכול לקרות רק בקבוצות פתוחות.
במקרה של קבוצות פרטיות, אינדקס אינו מותר.
ניתן לומר שלמרות שהסיכון קיים, עם לאותת המשתמש יכול להחליט כיצד לחשוף את הקבוצה, ואם הוא פרטי, יכול להחליט שלא לחשוף אותה.
ניתוח אחרון אחרון חביב נוגע לתנאי השימוש וההודעות המשפטיות.
להלן הספקות (לא ניתן להפריך בהתחשב באופי המקור הסגור של היישום) העשויים להתעורר כתוצאה מקריאת תנאי השירות.
על מנת לנצל את השירותים המוצעים על ידי וואטסאפ, על המשתמש לקבל את תנאי השימוש שלו6 (זה הכרחי לכל שירות מסחרי).
בקריאת תנאי השירות תוכלו לראות כי:
"אנו מחויבים לספק את הבטיחות והאבטחה של WhatsApp על ידי נקיטת אמצעים מתאימים במקרה של אנשים פוגעניים, פעילויות בלתי חוקיות והפרות של התנאים שלנו. אנו אוסרים על שימוש לרעה בשירותים שלנו, התנהגות מזיקה כלפי אחרים והפרות של התנאים, הדיסציפלינות והמדיניות שלנו ואנחנו מחויבים להתמודד עם מצבים שבהם אנו יכולים לספק תמיכה או הגנה לקהילה שלנו. אנו מפתחים מערכות אוטומטיות כדי לשפר את יכולתנו לאתר ולהסיר פעילויות מסוכנות ואנשים שעלולים לסכן את הקהילה שלנו ואת בטיחות וביטחון השירותים שלנו. אם נהיה מודעים לנוכחותם של עסקים או אנשים כאלה, אנו נוקטים צעדים נאותים על ידי הסרת עסקים או אנשים כאלה או על ידי פנייה לאכיפת החוק. אנו חולקים מידע עם חברות כלולות אחרות כאשר אנו מגלים שימוש לרעה או התנהגות מזיקה בשימוש בשירותים שלנו. "
המאבק (יותר מהוגן) בפעילות בלתי חוקית בכל מקרה מעלה יותר מכמה שאלות:
- כיצד מבצעים המערכות האוטומטיות האמורות את תפקידן?
- האם יש מאגר של "מילות מפתח" או "תבניות" ישירות בתוך היישום?
- האם לאחר שהאלגוריתם אימת את הימצאותן של פעילויות שעלולות להיות מסוכנות, האם יש אנשים אשר מאמתים את הדוחות הללו ועל כן ניתן לחברה לקרוא את השיחות בבירור?
נקודה מעניינת נוספת שצריך לחשוב עליה היא הבאה:
פנקס כתובות. המשתמש מספק לנו באופן קבוע, בהתאם לחוקים החלים, את מספרי הטלפון של המשתמשים ב- וואטסאפ ואנשי קשר אחרים בפנקס הכתובות של המכשיר הנייד שלך, כולל אלה של המשתמשים בשירותים ואנשי קשר אחרים.
מי מבטיח לנו שמידע זה לא נעשה שימוש חוזר (ושאלה זו תקפה לכל שירות מסוג זה)?
אילו מעברים נעשים בנתונים (אותו דבר, כל שירות מסוג זה יכול לעשות את זה)?
שימו לב כעת, קטע מהותי במדיניות הפרטיות:
הודעות משתמש. WhatsApp לא שומרת הודעות משתמשים במהלך האספקה הרגילה של השירותים. לאחר המסירה, הודעות (כולל צ'אטים, תמונות, קטעי וידאו, הודעות קוליות, קבצים ופרטי מיקום משותפים) נמחקות מהשרתים שלנו. ההודעות שלך נשמרות במכשיר שלך. אם לא ניתן להעביר הודעה באופן מיידי (לדוגמא אם המשתמש אינו מחובר לאינטרנט), נאחסן אותה על השרתים שלנו עד 30 יום בניסיון למסור אותה. אם ההודעה לא נמסרה לאחר 30 יום, היא תימחק. כדי לשפר את הביצועים ולהעביר הודעות מולטימדיה בצורה יעילה יותר, למשל כאשר אנשים רבים משתפים תמונה או וידאו מפורסמים, אנו עשויים לאחסן את התוכן בשרתים שלנו לתקופה ארוכה יותר. אנו מציעים גם הצפנה מקצה לקצה עבור השירותים שלנו, אשר מופעלת כברירת מחדל, כאשר אתה והאנשים שאיתם אתה שולח הודעת טקסט משתמשים בגרסת האפליקציה שלנו שפורסמה לאחר ה -2 באפריל 2016. הצפנה מקצה לקצה. הקצה פירושו שהודעות המשתמשים מוצפנות כדי למנוע מ- WhatsApp ומצדדים שלישיים לקרוא אותן. למידע נוסף על הצפנה מקצה לקצה ועסקים ב- WhatsApp.
נקודה זו מסתכנת בשאלת היציבות של כל ההצפנה מקצה לקצה.
בקטע "וואטסאפ האם אין ארכיב הודעות משתמשים במהלך הביצועים הרגילים של השירותים ", מה הכוונה ב"ביצועים רגילים"? יתר על כן, מצטט שוב: "כדי לשפר את הביצועים ולהעביר הודעות עם תוכן מולטימדיה ביעילות רבה יותר, למשל כאשר אנשים רבים חולקים תמונה או סרטון מפורסם, אנו עשויים לאחסן תוכן זה בשרתים שלנו לתקופה ארוכה יותר".
אם תוכן מולטימדיה מוצפן גם מקצה לקצה, כמו שהוא וואטסאפ מבינים שתוכן משותף פעמים רבות?
נקודה מעניינת נוספת היא ללא ספק האינטראקציה בין האפליקציה למכשיר:
מידע על מכשיר וחיבורים. WhatsApp אוספת מידע ספציפי למכשיר ולחיבור כאשר אתה מתקין, ניגש או משתמש בשירותים שלנו. זה כולל מידע כגון דגם חומרה, מידע על מערכת ההפעלה, מידע על רמת הסוללה, עוצמת האות, גרסת האפליקציה, מידע על הדפדפן והרשת הסלולרית, מידע על חיבור, כולל מספר מפעיל סלולרי, מפעיל סלולרי או ספק שירותי אינטרנט, שפה ואזור זמן, IP, מידע על פעולות המכשירים ומזהים כגון מזהי מכשירים (כולל מזהים ייחודיים למוצרים המוצעים על ידי חברות פייסבוק הקשורות אותו מכשיר או חשבון).
עם זה, שימו לב לכמות האדירה של מידע רלוונטי מאוד שהאפליקציה אוספת.
שלב חשוב מאוד אחר בהחלט נוגע לאיסוף נתוני מיקום:
מידע מיקום. WhatsApp אוספת מידע על מיקום המכשיר אם המשתמש משתמש בפונקציות הקשורות למיקום, כגון כאשר הוא מחליט לשתף את מיקומם עם אנשי הקשר שלהם, לראות מיקומים סמוכים או כאלה שאחרים שיתפו איתם וכדומה, ולצורכי אבחון. ופתרון בעיות, למשל אם המשתמש חווה בעיות בפונקציות המיקום של האפליקציה. WhatsApp משתמשת בטכנולוגיות שונות כדי לקבוע מיקום, כולל IP, GPS, אותות Bluetooth ומידע אודות נקודות גישה Wi-Fi בקרבת מקום, משואות ותאים.
הערה אחרונה נוגעת ליישום התקנה האירופית לגבי עיבוד נתונים אישיים GDPR. אתה יכול לבקש שהנתונים שלך לא יעובדו עוד. למרבה הצער אין נוהל אוטומטי, אך יש צורך לבצע את הנוהל7 המצוין על ידי וואטסאפבאמצעות הדואר האלקטרוני, המניעים את רצונך להימחק מהפרופילציה / עיבוד נתונים.
Se וואטסאפ לא צריך לשקול את הסיבה של המשתמש שנוסדה, הוא יכול לדחות את בקשת המשתמש, שעליהם לפנות לגורמים המוסמכים (המצוין גם בעמוד הספציפי).
מסקנות על ניתוח וואטסאפ
האפליקציה מציבה סדרה של אמצעי הגנה המותאמים לגודל היעד, כלומר המשתמש הממוצע.
ניתוח היישום מראה כי וואטסאפ זה מתאים לשימושים נפוצים, למרות שאין להשתמש בו בסביבה מסווגת או במצבים בהם פשרה של תקשורת יכולה להוות סכנה לחיי המשתמש או אפילו בהקשרים בהם הנתונים נחשבים בעלי ערך, גם אם הם לא קשורים לפרטיות (חשוב על סודיות תעשייתית).
ניתוח פלטפורמה לאותת.
לאותת הוא יישום להודעות מיידיות, בדיוק כמו וואטסאפ, ויש לו מודל הפעלה "לקוח / שרת" מסוג זה:
לקוח (אפליקציה) → הובלת מנות מוצפנת → שרת (פלטפורמה)
המודל העובד זהה לזה וואטסאפ והובלת מנות היא תמיד מקצה לקצה. אם לדייק, Open Whisper Systems (קבוצה ללא מטרות רווח שיצרה את היישום) יצרה את הפרוטוקול לאותת, שנלקח מאוחר יותר על ידי וואטסאפ.
ההבדל הראשון שניתן למצוא ניתן על ידי סוג הלקוח וסוג השרת. הפלטפורמה לאותת זהו למעשה קוד פתוח לחלוטין, כלומר ניתן לקרוא את קוד המקור של היישום והשרת.
זהו מאגר ה- GitHub של היישום:
כפי שניתן לראות, גם קוד הלקוח וגם קוד השרת קיימים.
לאחר מכן אנו ממשיכים לניתוח החיצוני של הרציף
אינדיקטורים אותרו:
ה-IP: 104.16.54.111
Hash: 01733a96208c513bdd333efe56900bf0ae03fa28955085058a957a484d599cab
אף כי התגלה רק אינדיקטור אחד, מפת הרשת כולה וכל האינדיקטורים הקשורים אליהם חולצו והופיעו לאורך זמן.
מיצוי מלא: https://otx.alienvault.com/pulse/5e393d8ae94aab466d01fe91
מפת רשת (תמונה)
ממפת הרשת ניתן להבין כי ביחס ל וואטסאפ, הרציף לאותת לאורך זמן היו הרבה פחות מקרים של קבצים זדוניים שמתקשרים איתו.
עם זאת, זה יכול להיות כתוצאה מההפצה הפחותה של התוכנה.
לאחר ניתוח הפלטפורמה, אנו ממשיכים עם ה-ניתוח פרוטוקול התובלה.
הפלטפורמה משתמשת בהצפנה "מקצה לקצה", כלומר המנות מוצפנות במכשיר השליחה ומפענחות במכשיר הנמען, מה שמאפשר לשרת לקרוא את התוכן.
כאן תוכלו למצוא את כל המידע על הפרוטוקול ומפרטי התפעול של לאותת:
קרן הגבול האלקטרונית, קרן ללא כוונת רווח שתפקידה להגן על פרטיותם וזכויותיהם של אזרחים ברשת, פרסמה הערות לשימוש בסיגנל.
הערות לשימוש באיתות במערכת הפעלה אנדרואיד:
https://ssd.eff.org/en/module/how-use-signal-android
הערות לשימוש באיתות במערכת הפעלה iOS:
https://ssd.eff.org/en/module/how-use-signal-ios
כפי שפורסם גם על ידי EFF, לאותת מציע למשתמש את רשימת אנשי הקשר עם התקנת היישום.
לשם כך מספרי הטלפון מועלים לשרת לאותתלמרות שחוסל כמעט מיידית.
הבדל מהותי עם וואטסאפ זה ניתן על ידי אופי הקוד הפתוח של הפרויקט.
בפירוט, אין תאגיד גדול (כמו פייסבוק) שעומד מאחורי פיתוח האפליקציה והקוד גלוי, המאפשר לבדוק מייד מה הוא עושה ומאפשר למשתמשים לא ליפול לרשת של צרכי המונטיזציה או של שיווק החברה בתורנות.
הבדל נוסף עם וואטסאפ ניתנת העובדה כי בהיותה קוד פתוח, היא אינה מציגה (ולדברי מי שניתח את המקור זה בדיוק כך) דלתות אחוריות, או "דלתות שירות" המאפשרות לממשלה, למשל, להיות מסוגלת לקרוא שיחות ללא אישור. .
לעשות השוואה אמיתית, עם לאותת (על ידי התקנתו ממקורות רשמיים) אתה בטוח שלא נתקל ב"פרוטוקול הרפאים ", בזמן שאתה משתמש ב- וואטסאפ המשתמש לא יכול לומר בוודאות.
לסיכום, לאותת הוא אינו מציג את אותם איומים מערכתיים שהוא מציג וואטסאפ (ברמת הובלת נתונים) בהתחשב באופי הקוד הפתוח של הפרויקט.
באזורים מסוימים עדיף להשתמש בכלים של קוד פתוח שכן הוא נותן אפשרות לארגון או לקהילה המשתמשים בתוכנה ספציפית בכדי להיות מסוגלים לנתח את הקוד.
באופן עקרוני, מצב זה מוביל לסבירות מוגברת לאיתור, ניתוח ופתרון באגים. זה נעשה בדרך כלל גם על ידי יצרן התוכנה וגם על ידי הקהילה עצמה (ברור על ידי אנשים שיש להם את הכישורים הנחוצים) וזה מאפשר לך למצוא באגים מהר יותר. עם זאת, לא ברור כי באגים אלו נפתרים מהר יותר מתוכנת קוד סגור וזה עשוי להשתנות בהתאם לאנשים העובדים על הפרויקט, המודל העסקי של היצרן וסוג הבאג המדווח.
דווח על מקרה אמיתי, שם הפלטפורמה לאותת קיבל בקשת חקירה ממדינת וירג'יניה.
https://signal.org/bigbrother/
לסיכום, מבקשה זו המידע היחיד שמדינת וירג'יניה הצליחה להשיג הם הבאים:
- תאריך ושעת רישום של המשתמש לשירות
- תאריך החיבור האחרון לשירות
כדי לנתח את רמת ההובלה לעומק, מנותחים את פעולת היישום במכשיר אמיתי.
לגבי וואטסאפכדי לתפוס את החיבורים שביצעה האפליקציה, משתמשים ב- fakeVPN.
זו התוצאה (תמונה)
מניתוח התבנית מתקבל המידע הבא:
היישום משתמש ביציאות רגילות בלבד
היישום מתחבר לשרתי אמזון
ניתוח כתובות IP אינו מגלה אינדיקטורים אחרונים.
על ידי שימוש ביציאה 443 בלבד, היישום עמיד יותר אם ליריב יש אפשרות לבדוק את התעבורה ברשת, מה שהופך את התקשורת לזיהוי פחות.
לאחר בחינת הובלת נתונים, הלקוח מנותח.
היישום מציג 6 CVE:
https://www.cvedetails.com/vulnerability-list/vendor_id-17912/Signal.html
למרות CVEs, אין איום ישיר, מכיוון שאין פגיעויות הרשומות בגירסה הנוכחית של היישום.
מודגש כי המערכת האקולוגית בה שוכנת האפליקציה אינה זניחה.
איך בדיוק וואטסאפ, כמו כן לאותת היא מועדת להתקפות, במקרה שלתוקף כמובן יש גישה פיזית למכשיר.
בנוסף ל- UFED הנ"ל, קיימת תוכנה של חברת ElcomSoft כמו "Viewer Phone":
https://blog.elcomsoft.com/2019/08/how-to-extract-and-decrypt-signal-con...
סיכום הניתוח לאותת והשוואה עם וואטסאפ
לסיכום, ניתוח זה מראה כי לאותת ניתן להשתמש בו באזורים רגישים יותר, ולצמצם את הסיכון בזכות האופי הפתוח של הפרויקט והתשתיות שלו, שהוא בטוח יותר וחזק יותר בהשוואה לזה של וואטסאפ.
הערה שלילית מיוצגת על ידי התנהגות של לאותת בעת רישום משתמש. הפלטפורמה, עם ההרשמה, מדווחת על כל אנשי הקשר בהודעה לאותת להציג בפנקס הכתובות של האדם שנרשם.
רצוי לשים לב להתנהגות זו של האפליקציה, באזורים מסוימים בהחלט מעצבנים.
המקרה לעיל מראה כי הרציף לאותת זה עמיד גם במקרה של התערבות מדינה.
לעומת זאת, לשני היישומים יש בעיה בגישה פיזית למכשיר.
אם ניתן לראות שימוש בסביבה מסוכנת, שם עשויה להיות שליטה פיזית וגישה למכשיר, אין להשתמש בשתי הפלטפורמות.
במקרה שאין סכנה לגישה פיזית למכשיר או שצפוי שליריב אין את האמצעים הדרושים לשימוש בבקרות או בתוכנות מסוימות, אנו בהחלט ממליצים על השימוש בפלטפורמה. לאותת.
לשימוש נפוץ, השימוש בשתי הפלטפורמות מקובל.
1 https://www.ssi.gouv.fr/uploads/2017/10/chiffrement_messagerie_instantan...
2 https://scontent.whatsapp.net/v/t61/68135620_760356657751682_62129975288...)
3 https://faq.whatsapp.com/it/android/28000019/
4 https://robertheaton.com/2017/10/09/tracking-friends-and-strangers-using...
5 "דורק של גוגל" הוא חיפוש מסוים, המנצל את כוחו של מנוע החיפוש ושירות האינדקס שלו. למנוע של גוגל יש אפשרויות חיפוש שונות, "דגלים" אמיתיים, שניתן להשתמש בהן כדי לצמצם חיפושים. ברור שכמו כל פונקציה, ניתן להשתמש בדגלים אלה למציאת מידע או נתונים, שבדרך כלל אין למצוא אותם.
6 https://www.whatsapp.com/legal/
7 https://faq.whatsapp.com/en/general/26000153/
הפניה 1 - מפתחות ואלגוריתמים בהם נעשה שימוש וואטסאפ
מפתחות ציבוריים המשמשים את וואטסאפ:
צמד מפתחות זהות: זוג מפתחות לטווח ארוך, כלומר בארכיון ואוחסן על ידי האפליקציה, מסוג Curve25519, שנוצר בשלב ההתקנה.
Curve25519 הוא הצפנה אליפטית של 128 סיביות.
קריפטוגרפיה של עקומה אליפטית היא סוג של קריפטוגרפיה המשתמשת בנוסחה שתוצאותיה, כשהם מונחים על מטוס, יוצרים אליפסה.
זוג מפתחות חתומים מראש (מפתח מקדים חתום): זוג מפתחות לטווח בינוני, או ששונו מעת לעת, מסוג מקשים מסוג Curve25519, שנוצר על ידי מפתח הזהות במהלך ההתקנה.
תור מקשים (מקשים מקדימים חד פעמיים): סדרת זוגות של מפתחות מסוג Curve25519, שנוצרו במהלך ההתקנה ויכולים להתחדש במידת הצורך.
סוגי מפתחות המשמשים את וואטסאפ להפעלות מוצפנות:
מפתח שורש: ערך 32 בתים, המשמש ליצירת "מפתחות השרשרת".
מפתח שרשרת: ערך 32 בתים, המשמש ליצירת "מקשי ההודעות"
מפתח הודעה: ערך 80 בתים, המשמש להצפנת תוכן הנתונים שהוחלפו ב וואטסאפ.
ערך זה משמש בדרך הבאה:
32 בתים למפתח AES-256
32 בתים למפתח HMAC-SHA256
16 בתים לייצור ה- IV
תקן הצפנה מתקדם (AES)
זהו תקן ההצפנה המשמש כיום את ממשלת ארצות הברית.
שלא כמו האלגוריתם שנראה לעיל, AES היא מערכת הצפנה סימטרית, כלומר היא משתמשת באותו מפתח כדי להצפין ולפענח גם יחד.
AES-256 הוא יישום של AES המשתמש במפתחות 256 סיביות.
HMAC-SHA256
HMAC (קוד אימות של Keyed-hash Code) היא מערכת המשתמשת בהודעה המקורית בתוספת מפתח כדי להבטיח את האותנטיות והשלמות של ההודעה באמצעות חשיש.
חשיש הוא מחרוזת באורך קבוע שנוצרת על ידי פונקציה מתמטית המסוגלת "למפות" ברצף כל סוג של נתוני קלט, כגון קובץ טקסט, שמע או וידאו.
שלמות ואותנטיות מובטחות שכן אפילו שינוי הקל ביותר של נתוני הקלט יפיק חשיש שונה לחלוטין מהמקור.
דוגמא:
מחרוזת לחישוב: HELLO
Hash: 39F119842EBE582F049160F44BCD99F4
עכשיו שימו לב להבדל:
מחרוזת לחישוב: CIaO
Hash: 8C3E82238DF7A597C99EC0B70ACC4A58
מחרוזת החשיש שונה לחלוטין מקודמתה.
השפעה זו, שנוצרה גם כתוצאה מהשינוי הקל ביותר בערך המקורי, מכונה "אפקט המפולת".
SHA256 מציין שבמקרה זה HMAC מחושב באמצעות אלגוריתם ה- Hash "SHA256".
IV (וקטור אתחול)
וקטור האתחול הוא רצף סיביות מדויק, המאפשר לקבל תוצאות קריפטוגרפיות שונות גם עם מקשים זהים, והוא חייב להיות ידוע למקבל, שבמידה אחרת אינו יכול לפענח את ההודעה.
