Table des matières:
Récemment, beaucoup de discussions ont eu lieu sur une nouvelle façon d'exploiter WhatsApp et de contourner le cryptage de bout en bout que la société aime mentionner, à savoir qu'elle le fait chaque fois qu'elle le peut. J'ai vu des tweets et des commentaires qui vont de "c'est FUD" à parler d'une porte dérobée que Facebook a installée.
La bonne nouvelle est que ce n'est ni l'un ni l'autre. En fait, ce n’est pas vraiment une de ces choses qui doit vous préoccuper, c’est au contraire une de ces choses qui vous fait vous demander comment cela s’est passé, car c’est plutôt bâclé. Mais ne vous inquiétez pas, cela sera réglé bien avant que rien ne se passe.
Ce que c'est
Les chercheurs Paul Rösler, Christian Mainka et Jörg Schwenk de la Ruhr-Universität de Bochum, en Allemagne, ont publié un document de recherche (lien.pdf) révélant une faille particulière dans l'administration du chat en groupe de WhatsApp. WhatsApp offre le même cryptage de bout en bout pour les discussions de groupe que pour les discussions individuelles. Cela signifie généralement que nous devrions pouvoir nous sentir en sécurité en sachant que les choses que nous disons ne seront pas lues par quiconque ne devrait pas l'être. en le lisant à moins qu'un des membres du groupe ne le laisse faire.
Apparemment, il est théoriquement possible pour un étranger de s’ajouter à une discussion de groupe sur WhatsApp. "Théoriquement" et "possible" étant les mots clés ici. Je vais t'expliquer.
WhatsApp propose une messagerie de groupe utilisant un cryptage de bout en bout fort.
Dans une discussion de groupe WhatsApp, un ou plusieurs des membres d'origine sont des administrateurs. Du point de vue du serveur, cela signifie que ces personnes peuvent ajouter et supprimer des personnes du groupe. Tout fonctionne bien jusqu'à présent, même si cela fonctionne correctement: un administrateur envoie un signal à chaque membre du groupe avec ses clés de signature et, en retour, chaque membre envoie un message de retour avec leurs clés de signature, puis l'expéditeur du message. notifie à chaque membre qu'il y a maintenant une nouvelle personne dans le groupe - c'est un peu un kludge afin de créer une bonne interface utilisateur. Si vous n'êtes pas administrateur, la seule chose que vous savez, c'est que vous voyez un message indiquant que Jerry est maintenant membre du groupe. Vous pouvez l'accepter ou quitter le chat.
Une faille similaire a été trouvée avec la messagerie de groupe via Signal.
Le problème est que WhatsApp n’authentifie pas correctement ces demandes de gestion de groupe sur ses propres serveurs. Un serveur WhatsApp doit identifier correctement l'expéditeur d'un message qui ajouterait une personne à une discussion de groupe. La personne envoie un message identifiant à la fois le groupe et le membre qu’elle souhaite ajouter et le serveur vérifie que la personne qui l’a envoyé est bien un administrateur de conversation. Ces messages ne sont pas cryptés de bout en bout, mais utilisent plutôt un cryptage de transport standard: le message provenant d'un administrateur de discussion et se rendant sur un serveur qui demande l'ajout d'un utilisateur à une discussion n'est pas signé par l'expéditeur avec sa clé de cryptage..
Cela signifie qu'un serveur WhatsApp peut ajouter n'importe quel utilisateur de son choix à n'importe quel groupe, à tout moment. Le serveur peut, pas un autre utilisateur. C'est important, et cela signifie que toute confidentialité attendue dans une discussion de groupe WhatsApp dépend uniquement de la confiance accordée au serveur de discussion WhatsApp. Cela va à l'encontre de l'objectif du cryptage de bout en bout, conçu pour garantir la confidentialité même si un serveur est compromis, car seuls l'expéditeur et le destinataire peuvent déchiffrer un message.
Et puis, Internet perd son esprit collectif parce que c’est ce qu’Internet est vraiment doué pour faire.
Cela n'arrivera pas mais doit encore être réparé
Le seul moyen d'exploiter cette vulnérabilité est de le faire par une personne ayant accès au serveur. Cela signifie qu'un serveur est compromis, qu'un employé devient méchant ou qu'un organisme gouvernemental à trois lettres dépose un mandat. N'importe laquelle de ces choses pourrait se produire, aurait pu se produire dans le passé, et pourrait même se produire maintenant. Mais une autre chose doit être considérée - vous saurez si cela arrive à votre chat.
Vous êtes averti chaque fois qu'une personne est ajoutée à une discussion de groupe, chiffrée ou non.
La première chose que fait un serveur après l'ajout d'un membre est d'informer tous les autres membres du groupe que "Jerry a été ajouté à la discussion". Vous verrez le message vous informant que quelqu'un a été ajouté, et tous les autres également. Lorsque Jerry arrive à la soirée de discussion privée avec ses mauvaises blagues et sa bière bon marché et que personne ne l’invite, cela signifie que quelque chose ne va pas et que personne ne devrait considérer ce qu’il est sur le point de dire privé. Faites vos bagages et passez à une autre discussion sans Jerry et peut-être même un autre service qui ne le laissera pas tomber en panne.
Ainsi, personne ne pourra vérifier secrètement votre discussion de groupe cryptée, mais cela sape toujours le cryptage de bout en bout de toutes les manières possibles. Il doit être corrigé immédiatement et peut-être même la méthode de gestion du groupe dans son ensemble doit-elle être réorganisée. Au strict minimum, nous devons tous nous gratter la tête et nous demander comment quelque chose de semblable échappe aux programmeurs et aux auditeurs de code. C'est une prémisse ridicule qui ne sera jamais exploitée, mais quand même.
Qu'as tu besoin de faire
Rien, vraiment. Appréciez le travail accompli par Rösler, Mainka et Schwenk pour trouver cette faille, car la recherche en sécurité est un travail ingrat et souvent abrutissant, mais vous n'avez pas besoin de changer votre routine du passé. Une méthode d’authentification de la demande d’ajout d’un membre à une discussion de groupe chiffrée sera sélectionnée par les personnes qui font tourner rapidement les roues de WhatsApp, ce qui passera d’une faille qui ne sera jamais exploitée à une faille qui ne peut plus être exploitée à tout.
Ce qui est important, c’est que vous accordiez une attention particulière, car le prochain défaut pourrait très bien nécessiter une intervention de votre part. Et il y aura un autre défaut, alors assurez-vous de continuer à faire attention.
