Falha no WhatsApp permite adicionar pessoas a grupos sem permissão de administrador [atualizado] - Gizmodo Brasil
Menu
Reviews
Dicas
Espaço
Ciência
💲Ofertas
💡 Saiba Como
Bitniks
Search
Reviews
Dicas
Espaço
Ciência
💲Ofertas
💡 Saiba Como
Bitniks
O 2022 da Apple promete… Confira a lista das principais novidades
há 7 horas
Star+ libera acesso gratuito entre os dias 10 e 12 de dezembro
há 7 horas
Hipopótamos testam positivo para Covid em zoológico na Bélgica
há 8 horas
Viagem real do Capitão Kirk ao espaço vira especial de uma hora na Amazon
há 8 horas
Home › Tecnologia › WhatsApp › Falha no WhatsApp permite adicionar pessoas a grupos sem permissão de administrador [atualizado]
Falha no WhatsApp permite adicionar pessoas a grupos sem permissão de administrador [atualizado]
por
Sidney Fussel	
publicado em
10 de janeiro de 2018 @ 16:17
atualizado em
11 de janeiro de 2018 @ 12:08
Uma equipe de especialistas em criptografia da Ruhr University Bochum, na Alemanha, disse ter descoberto falhas na segurança do WhatsApp que comprometem a criptografia de ponta-a-ponta do serviço.
• Novo padrão chega para deixar o Wi-Fi nosso de cada dia mais seguro
• WhatsApp dá adeus ao Windows Phone 8 e BlackBerry OS no final de dezembro
Eles descreveram a descoberta em um artigo científico, “Mais é Menos: Sobre a segurança de ponta-a-ponta em grupos do Signal, WhatsApp e Threema“. De acordo com a publicação, qualquer pessoa que controle os servidores do WhatsApp, incluindo funcionários da empresa, podem adicionar secretamente pessoas em qualquer grupo.
Do artigo:
5.4 Impacto da combinação de fraquezas
A falha descrita permite que um atacante A, que controle o servidor WhatsApp ou que consiga quebrar a camada de segurança de transporte, tome posse total do controle de um grupo. Entrar no grupo, no entanto, deixa rastros uma vez que a operação é listada na interface gráfica dos usuários.
O servidor do WhatsApp pode, portanto, utilizar o fato de que é capaz de reorganizar e enviar mensagens no grupo. Assim, pode armazenar em cache mensagens enviadas para o grupo, ler seu conteúdo primeiro e decidir em qual ordem elas serão entregues aos membros. Além disso, o servidor do WhatsApp pode encaminhar essas mensagens para os membros individualmente, de modo que uma combinação de mensagens sutilmente escolhidas possam ajudá-lo a cobrir os traços.
Apenas administradores podem adicionar novos membros a grupos privados. Porém, como os pesquisadores descobriram, qualquer pessoa em controle de um servidor pode forjar o processo de autenticação, basicamente garantido a si mesmos os privilégios necessários para a adição de novos membros que serão capazes de ler conversas privadas.
O exemplo óbvio que vem à mente são hackers que podem tentar ganhar o acesso aos servidores do WhatsApp ou um governo que capaz de pressionar o WhatsApp a garantir acesso a chats em grupos de indivíduos específicos.
Um dos aspectos mais problemáticos é o fato de que um administrador com controle dos servidores poderiam manipular as mensagens de alerta que avisam ao grupo que uma pessoa foi adicionada, de acordo com os pesquisadores.
A Wired confirmou as descobertas dos pesquisadores diretamente com um porta-voz do WhatsApp. Apesar da companhia reconhecer o problema com a segurança nos servidores, foi dito que atacantes não seriam capazes de bloquear, armazenar ou prevenir que o alerta de novos membros adicionados fosse mostrado.
“Analisamos esse problema com cuidado”, escreveu o porta-voz à Wired. “Membros existentes são notificados quando novas pessoas são adicionadas ao grupo do WhatsApp. Nós desenvolvemos o WhatsApp de maneira que mensagens para grupos não possam ser enviadas para um usuário escondido. A privacidade e segurança dos nossos usuários é incrivelmente importante no WhatsApp. É por isso que coletamos pouquíssima informação e todas as mensagens são criptografadas de ponta-a-ponta”.
Os pesquisadores concordam que o nível de sofisticação necessário para comprometer os servidores do WhatsApp tornam esse cenário de ataque bem improvável, mas não há desculpas para brechas de segurança em um sistema que se vende como extremamente seguro.
“Se eu sei que existe criptografia de ponta-a-ponta tanto para os grupos quanto para mensagens entre duas pessoas, significa que a adição de novos membros deve ser protegida”, disse o pesquisador Paul Rösler à Wired.
Atualização em 11 de janeiro às 12h05: Em uma resposta para a matéria da Wired, publicada no HackerNews, Moxie Marlinspike, co-fundador da Open Whisper Systems, que desenvolveu a criptografia de ponta-a-ponta utilizada no Signal e WhatsApp, nega as afirmações dos pesquisadores de que um atacante poderia esconder os alertas de que alguém foi adicionado em um grupo. “O atacante não verá nenhuma mensagem antiga no grupo; elas são criptografadas de ponta-a-ponta com chaves que o atacante não tem”, escreve Marlinspike, adicionando que “todos os membros do grupo verão que o atacante se juntou à conversa. Não existe nenhuma forma de esconder essa mensagem”.
“Dadas as alternativas, acho que é uma decisão de design bem razoável, e penso que essa manchete descaracteriza substancialmente a situação”, continua. “Eu acho que seria melhor se o servidor não tivesse visibilidade a metadados sobre associações ao grupo, mas esse é um problema não resolvido e que não está relacionado a confidencialidade das mensagens em grupo”.
Marlinspike ainda aponta que os pesquisadores descreveram uma decisão de design como uma falha técnica, caracterizando o esforço para demonstrar brechas de segurança do WhatsApp como um subproduto de uma empresa que promove benefícios de segurança.
“Para mim, esse artigo é um bom exemplo dos problemas com a indústria de segurança e com a maneira que a pesquisa de segurança é feita hoje em dia, acho que a lição que todos estamos vendo é clara: não desenvolva segurança em seus produtos, porque isso o torna um alvo para pesquisadores, mesmo que você tenha feito as decisões corretas e independente da pesquisa ser importante ou não. É muito mais fácil ser um Telegram da vida: deixe a criptografia de lado, menos o marketing a respeito dela”.
[Wired]
Imagem: AP
FacebookpesquisaprivacidadeSegurançaWhatsApp
Artigo anterior Astronauta japonês pede desculpas por notícia falsa de que cresceu 9 cm
Próximo artigo A briga entre Amazon e Google por vídeos do YouTube agora faz mais sentido
Você também pode gostar
Usar mensagens temporárias no WhatsApp ficou mais fácil
há 11 horas
Já dá para fazer check-in por WhatsApp em 18 aeroportos do Brasil
18 de novembro de 2021
WhatsApp é multado em R$1,3 bi por violar regras europeias de proteção de dados
2 de setembro de 2021
Ofertas
Produtos com descontos de até 70% no AliExpress: confira as ofertas em diversas categorias
há 14 horas
As melhores ferramentas do Zyro para te ajudar a criar uma loja virtual (+ um superdesconto)
há 17 horas
Top produtos de moda, eletrônicos e mais: garanta o melhor preço do mercado no AliExpress
há 3 dias
Último dia para aproveitar a promoção de Cyber Week: todos os cursos de pós-graduação do IGTI com 50% de desconto!
há 4 dias
Última oportunidade de aproveitar a oferta especial de Black Friday da Kaspersky: as melhores soluções para proteger a família de conteúdos maliciosos