WhatsApp ... זה בטוח?

(של אלסנדרו רוגלו)
20/05/19

אחד המשפטים הנוגעים ללב, עד לאחרונה, עבור מומחה אבטחת IT היה: "אבל האם WhatsApp בטוח? האם אני יכול להשתמש בו לעבודה?"
התשובה, בדרך כלל, תמיד הייתה זהה: "לא הייתי משתמש בו לעבודה, אלא לכל היותר כדי לתקשר עם חברים ובני משפחה".
ואז, עם הופעת ההצפנה מקצה לקצה ובפרט עם הפרסום שניתן לאירוע טכני מובהק, השאלה לא נשמעה עוד. כולם הרגישו אוטומטית רגועים וכבר לא היה טעם לשאול את השאלה.
אבל האם זה באמת ככה?

הופעתה של קריפטוגרפיה מקצה לקצה הוא כנראה נתן את התשובה שכולם רצו לשמוע: "עכשיו אתה בטוח, אתה יכול להשתמש בוואטסאפ כדי לעשות כל מה שאתה כבר עושה בלי להודות בזה, אבל עכשיו אתה בטוח". כמובן שזו הייתה רק אשליה, אבל זה מה שכולם רצו לשמוע וכך זה הפך למציאות.
עם זאת, כאן מגיעה ההתפכחות משום מקום, או יותר נכון מאחת המדינות המתקדמות בתחום הסייבר. שמו הוא פגסוסכמו הסוס המכונף שנולד מדמה של מדוזה...

פגסוס מדובר בתוכנה שנוצרה ונמכרת ברחבי העולם על ידי קבוצת NSO, חברה ישראלית שנוסדה ב-2010, בבעלות 70% של הקבוצה האמריקאית "Francisco Partners". NSO טוענת להתפתח "טכנולוגיה המאפשרת לרשויות המודיעין ואכיפת החוק הממשלתיות למנוע ולחקור טרור ופשע". טכנולוגיות המיועדות באופן רשמי לממשלות ישראל, אמריקה ומדינות אירופה.

פגסוס זה לא נולד היום, שמענו על זה כבר כמה שנים, אבל היום זה זכה לשמצה בגלל וואטסאפ זוהי מערכת המשמשת יותר ממיליארד אנשים ו פגסוס, במקרה זה, הפך מסוס מכונף לסוס טרויאני, מה שמאפשר להאקרים, בין אם ממשלתיים ובין אם אחרים, לבצע פעולות ריגול בסמארטפונים עליהם מותקנת וואטסאפ.

כעת עשוי להופיע הסבר מפורט כיצד זה עובד פגסוס וכיצד זה ניצל את הפגיעויות של וואטסאפ, אבל אני לא חושב שזה יהיה מובן לכולם. יותר שימושי, לדעתי, לתת כמה הצעות לקוראים...

ראשית: אין מערכות מחשב "מאובטחות" ב-100%., מעולם לא היו קיימים ולעולם לא יהיו קיימים, לא משנה מה יגידו לך. זה חייב להתקבל ולנהל.

שנית: האם אפשר להשתמש בוואטסאפ? כן, כמו כל תוכנת תקשורת אחרת. היום התברר שכן פגסוס מנצל נקודות תורפה וואטסאפ, מחר נגלה עוד משהו על תוכנות אחרות. הכלל בנקודה א' חל: אין 100% אבטחה. המערכות מופעלות על ידי ניהול סיכונים. חשוב על פתרון בעיית התקשורת המאובטחת על ידי הסרת ההתקנה וואטסאפ מהסמארטפון שלך זו אשליה טהורה!

שלישית: מה אנחנו יכולים לעשות מיד? פָּשׁוּט, לבדוק ש- WhatsApp עודכן לגרסה שפורסמה לפני מספר ימים. אם לא, עדכן אותו. יש כמה גרסאות של וואטסאפ בהתאם למערכת ההפעלה של הסמארטפון, לכן, יש צורך להבין איזו גרסה נכונה אך ישנם אתרים רבים מהם ניתן לקבל מידע. במקרה הזה פניתי אישית לקספרסקי אז בין הקישורים תמצאו גם קישור למאמר באיטלקית שבו הגרסאות העיקריות של וואטסאפ.

רביעית ולבסוף: לעולם אל תשכח כי אבטחת סייבר זה לא משחק ואם אתה הבעלים של חברה או מנהל של מבנה ציבורי, ארגן את עצמך כדי "לנהל את הסיכון" תמיד ספק במי שמבטיח לך 100% בטיחות.

להעמיק:

https://www.theweek.co.uk/101201/whatsapp-reveals-attack-by-advanced-cyb...
https://www.businessinsider.fr/us/whatsapp-hack-who-is-nso-group-spy-fir...
https://www.thesun.co.uk/tech/9069460/whatsapp-update-how-cyber-attack-s...
https://www.thesun.co.uk/tech/9069460/whatsapp-update-how-cyber-attack-s...
https://securityaffairs.co/wordpress/76333/malware/nso-pegasus-spyware-r...
https://www.businessinsider.fr/us/pegasus-nso-group-iphone-2016-8
https://www.nsogroup.com/
https://www.kaspersky.it/blog/whatsapp-call-zeroday/17314/
https://www.youtube.com/watch?v=_2be9gcmjjQ
https://www.zambianobserver.com/zambian-mobile-phones-allegedly-targeted...