جدول المحتويات:
حدث الكثير من الحديث مؤخرًا حول طريقة جديدة لاستغلال WhatsApp وتجاوز التشفير من طرف إلى طرف الذي تود الشركة أن تذكر أنه يتوفر لديها قدر الإمكان. لقد رأيت التغريدات والتعليقات التي تدير السلسلة من "إنها FUD" إلى الحديث عن بعض من الباب الخلفي الذي قام Facebook بتثبيته.
والخبر السار هو أنه لا. في الواقع ، ليست في الحقيقة واحدة من تلك الأشياء التي يجب أن تكون مهتمًا بها ، وبدلاً من ذلك هي واحدة من تلك الأشياء التي تجعلك تتساءل كيف حدث ذلك في المقام الأول لأنه قذر جدًا. ولكن لا تقلق - سيتم إصلاحه قبل وقت طويل من حدوث أي شيء.
ما هو عليه
أصدر الباحثون بول روسلر وكريستيان ماينكا ويورج شوينك من جامعة الرور في بوخوم بألمانيا ورقة بحثية (رابط.pdf) وجدت خللاً خاصاً في إدارة الدردشة الجماعية في WhatsApp. يوفر WhatsApp نفس التشفير من طرف إلى طرف للمحادثات الجماعية كما هو الحال بالنسبة للمحادثات الفردية ، وهذا يعني عادةً أننا يجب أن نكون قادرين على الشعور بالأمان عند معرفة أن الأشياء التي نقولها لن يقرأها أي شخص لا ينبغي أن يكون قراءتها ما لم يسمح أحد أعضاء المجموعة بحدوث ذلك.
على ما يبدو ، من الممكن نظريًا أن يضيف شخص غريب نفسه إلى دردشة جماعية على WhatsApp. "نظريا" و "ممكن" هي الكلمات الرئيسية هنا. سأشرح.
يقدم WhatsApp رسائل جماعية تستخدم تشفيرًا قويًا من طرف إلى طرف.
في مجموعة WhatsApp الدردشة واحد أو أكثر من الأعضاء الأصليين هو المسؤول. من وجهة نظر الخادم ، هذا يعني أن هؤلاء الأشخاص قادرون على إضافة أشخاص وإزالتهم من المجموعة. كل شيء جيد حتى الآن ، على الرغم من الطريقة التي يعمل بها - يرسل المسؤول إشارة إلى كل عضو في المجموعة بمفاتيح التوقيع الخاصة به أو في المقابل ، يرسل كل عضو رسالة إرجاع مع مفاتيح التوقيع الخاصة بهم ثم المنشئ للرسالة يُعلم كل عضو أنه يوجد الآن شخص جديد في المجموعة - يعد جزءًا من kludge لإنشاء واجهة مستخدم جيدة. إذا لم تكن مسؤولاً ، فإن الشيء الوحيد الذي تعرفه هو أنك ترى رسالة مفادها أن جيري هو الآن عضو في المجموعة. يمكنك إما قبول ذلك أو ترك الدردشة.
تم العثور على خطأ مشابه مع مجموعة الرسائل من خلال Signal.
المشكلة هي أن WhatsApp لا يصادق بشكل صحيح طلبات إدارة المجموعة هذه على خوادمه الخاصة. يحتاج خادم WhatsApp إلى تعريف مرسل رسالة من شأنها أن تضيف شخصًا إلى دردشة جماعية بشكل صحيح. يرسل الشخص رسالة توضح هوية كل من المجموعة والعضو الذي يرغب في إضافته ويتحقق الخادم للتأكد من أن الشخص الذي أرسلها هو في الواقع مسؤول دردشة. لا يتم تشفير هذه الرسائل من طرف إلى طرف ، وبدلاً من ذلك تستخدم تشفير النقل القياسي - الرسالة المرسلة من مسؤول دردشة والذهاب إلى خادم يطلب إضافة مستخدم إلى الدردشة لم يتم توقيعها بواسطة المرسل باستخدام مفتاح التشفير الخاص به.
هذا يعني أن خادم WhatsApp يمكنه إضافة أي مستخدم يريده إلى أي مجموعة ، في أي وقت. الخادم يمكن ، وليس مستخدم آخر. هذا مهم ، وهذا يعني أن أي خصوصية متوقعة في دردشة مجموعة WhatsApp تعتمد فقط على الثقة في خادم دردشة WhatsApp. يؤدي هذا إلى هزيمة الغرض الكامل من التشفير من طرف إلى طرف ، والذي تم تصميمه بحيث يتم ضمان الخصوصية حتى لو تم اختراق الخادم لأن المرسل والمستلم فقط هو الذي يمكنه فك تشفير الرسالة.
ثم يفقد الإنترنت عقله الجماعي لأن هذا هو ما يجيد الإنترنت فعله.
هذا لن يحدث ولكن لا يزال يحتاج إلى إصلاح
الطريقة الوحيدة التي يمكن بها استغلال هذا الخلل هي قيام شخص لديه حق الوصول إلى الخادم أثناء قيامه بذلك. هذا يعني أن الخادم يتعرض للخطر ، أو أن الموظف يتخبط ، أو أن وكالة حكومية مؤلفة من ثلاثة أحرف تقدم مذكرة. يمكن أن يحدث أي من هذه الأشياء ، وقد يحدث في الماضي ، وقد يحدث حتى الآن. ولكن هناك شيء آخر يجب أخذه في الاعتبار - ستعرف ما إذا كان سيحدث للدردشة.
يتم إخطارك عند إضافة شخص إلى دردشة جماعية ، مشفرة أم لا.
أول شيء يقوم به الخادم بعد إضافة عضو هو إخطار كل عضو آخر في المجموعة بأنه "تمت إضافة جيري إلى الدردشة". سترى الرسالة التي تخبرك بأنه تمت إضافة شخص ما وكذلك أي شخص آخر. عندما يصل جيري إلى حفلة الدردشة الخاصة بنكاته السيئة وبيرة رخيصة ، ولم يدعه أحد ، ستكون هذه علامة على أن هناك شيئًا ما خطأ ويجب ألا يفكر أحد في أي شيء على وشك كتابته على أنه خاص. قم بحزم حزمة والانتقال إلى دردشة أخرى دون جيري وربما حتى خدمة مختلفة لن تسمح له تعطل.
لذلك لن يتمكن أي شخص من إجراء فحص سري للمحادثات الجماعية المشفرة ، ولكن هذا لا يزال يقوض التشفير من البداية إلى النهاية بكل طريقة ممكنة. يجب أن تكون ثابتة على الفور ، وربما حتى طريقة إدارة المجموعة بأكملها تحتاج إلى تجديد. على أقل تقدير ، نحن جميعا بحاجة إلى خدش رؤوسنا ونتساءل كيف ينزلق شيء من هذا القبيل من قبل المبرمجين ومدققي الشفرات. إنها فرضية سخيفة لن يتم استغلالها أبدًا ، ولكن لا يزال.
ماذا تريد أن تفعل
لا شيئا حقا. نقدر العمل الذي أنجزه روسلر وماينكا وشوينك في العثور على هذا الخلل لأن البحث الأمني هو عمل ناكر للجميل وغالبًا ما يكون عقلًا ، لكن في الماضي لا تحتاج حقًا إلى تغيير روتينك على الإطلاق. سيتم فرز طريقة للمصادقة على طلب إضافة عضو إلى دردشة جماعية مشفرة بواسطة الأشخاص الذين يحتفظون بعجلات WhatsApp في الدوران قريبًا وهذا سيتغير من خلل لن يتم استغلاله أبدًا إلى عيب لم يعد من الممكن استغلاله في الكل.
المهم هو أنك كنت تهتم ، لأن الخلل التالي قد يكون جيدًا ويحتاج إلى إجراء من جانبك. وسوف يكون هناك عيب آخر ، لذلك تأكد من الاستمرار في الاهتمام.
