WhatsApp يقلل من ضرر خطأ دعوة المجموعة

قال WhatsApp إن الادعاءات بأن المتسللين يمكنهم إضافة أنفسهم إلى دردشة جماعية مشفرة دون أن يلاحظوا أمر غير صحيح.

البحث الذي يزعم أن ميزة المراسلة الجماعية في WhatsApp يمكن اختراقها بواسطة مهاجم يتم استدعاؤها من قبل WhatsApp ومطور تقنية المراسلة الأساسية.

في الأسبوع الماضي ، أصدر فريق من الباحثين من جامعة Ruhr في بوخوم الألمانية ورقة أكاديمية توضح العيوب في خدمة الرسائل الجماعية في WhatsApp. يزعمون أيضًا أنهم وجدوا عيبًا أقل خطورة في Signal. Signal هي تقنية المراسلة التي يعتمد عليها WhatsApp.

في حالة WhatsApp ، يزعم الباحثون أن الخلل قد يسمح لشخص يتحكم في خادم WhatsApp بإضافة متطفل إلى جلسة مراسلة جماعية مشفرة وقراءة الرسائل الجديدة المشتركة بين المستخدمين والمزيد.

القلق هو أن هذه التقنية توفر طريقة للضغط على WhatsApp من قبل الحكومات للوصول إلى محادثة جماعية مشفرة. مصدر قلق آخر هو أنه إذا تمكن المهاجم من السيطرة على خادم WhatsApp ، فسيكون قادرًا أيضًا على التنصت على المحادثات الجماعية المشفرة.

WhatsApp ، الذي حصل عليه Facebook في عام 2014 ، يدعم التشفير من طرف إلى طرف ويعتبر نظامًا أساسيًا للمراسلة الآمنة يعتمد على بروتوكول Signal الذي يحظى بتقدير كبير ، والذي طورته Open Whisper Systems.

تؤكد الورقة ، التي تحمل اسم المزيد أقل: في الأمان الشامل للمحادثات الجماعية في Signal و WhatsApp و Threema (PDF) ، أن: “نقاط الضعف الموصوفة تمكن المهاجم A ، الذي يتحكم في خادم WhatsApp أو يمكنه كسر النقل طبقة الأمن ، للسيطرة الكاملة على مجموعة “.

بمجرد الدخول ، يمكن التلاعب بخادم WhatsApp “لإعادة ترتيب الرسائل وإفلاتها في المجموعة خلسة. وبذلك يمكن تخزين الرسائل المرسلة إلى المجموعة مؤقتًا ، وقراءة محتواها أولاً وتحديد الترتيب الذي يتم تسليمها إلى الأعضاء “، كتب الباحثون.

والأهم من ذلك ، يمكن لمسؤول خادم WhatsApp المارق حظر رسائل إدارة المجموعة لتنبيه أعضاء المجموعة بأن المتسلل قد انضم إلى المجموعة.

هذا هو المكان الذي يجادل فيه WhatsApp و Moxie Marlinspike ، مطور بروتوكول Signal ، بأن الباحثين أخطأوا.

“سيرى جميع أعضاء المجموعة أن المهاجم قد انضم. لا توجد طريقة لقمع هذه الرسالة ، “نشر مارلينسبايك ردًا على ادعاءات الباحث في منتدى Hacker News يوم الأربعاء.

أصدر WhatsApp أيضًا بيانًا عامًا ، “لقد نظرنا في هذه المشكلة بعناية. يتم إخطار الأعضاء الحاليين عند إضافة أشخاص جدد إلى مجموعة WhatsApp “. قال إنه حتى إذا كان المهاجم لديه سيطرة إدارية على المجموعة ، فلا يزال غير قادر على إنشاء مستخدم “مخفي” من المجموعة.

أضاف Marlinspike ، لا يمكن للمهاجم عرض الرسائل الجماعية السابقة لأنها مشفرة من طرف إلى طرف بمفاتيح تشفير لا يملكها المهاجم.

قال ماثيو جرين ، عالم التشفير وأستاذ علوم الكمبيوتر والباحث في جامعة جونز هوبكنز ، في مدونة يوم الأربعاء أن المشكلة تنبع من حقيقة أن “بروتوكول الإشارة القياسي لا يعمل بشكل جيد مع الرسائل الجماعية” لأنه ليس كذلك “مُحسَّن لبث الرسائل إلى العديد من المستخدمين.”

قال غرين إن التعامل مع WhatsApp و Signal يدعو بطريقة مماثلة.

“من منظور تجربة المستخدم ، الفكرة هي أن شخصًا واحدًا فقط هو الذي يبدأ بالفعل في إضافة عضو مجموعة جديد. هذا الشخص يسمى “المسؤول”. هذا المسؤول هو الشخص الوحيد الذي يجب عليه فعل أي شيء – ومع ذلك ، يجب أن تتسبب نقرة واحدة في إجراء بعض الإجراءات التلقائية من جانب كل أجهزة أعضاء المجموعة الأخرى. وهذا يعني ، استجابةً لمشغل المسؤول ، يجب أن ترسل جميع الأجهزة في الدردشة الجماعية مفاتيحها إلى عضو المجموعة الجديد هذا ، “قال جرين.

مقارنةً بـ WhatsApp ، فإن الهجوم على جلسة المراسلة الجماعية Signal يكون أصعب. ويرجع ذلك إلى أن تطبيق Signal يتطلب دعوات لتضمين رقم معرف مجموعة عشوائي 128 بت “لا يتم الكشف عنه أبدًا لغير أعضاء المجموعة أو حتى الخادم” ، يوضح جرين. قال: “هذا إلى حد كبير يمنع الهجوم”.

بدلاً من ذلك ، تعد خوادم WhatsApp مفيدة في إدارة الرسائل الجماعية. قال جرين إن WhatsApp “يحدد من هو المسؤول وبالتالي مخول بإرسال رسائل إدارة المجموعة”.

من المشكلات أيضًا ، أن رسائل إدارة مجموعة WhatsApp ليست مشفرة أو موقعة من طرف إلى طرف. “الخلل هنا واضح: نظرًا لعدم توقيع المسؤول على رسائل إدارة المجموعة ، يمكن لخادم WhatsApp الضار إضافة أي مستخدم يريده إلى المجموعة. وهذا يعني أن خصوصية الدردشة الجماعية المشفرة من طرف إلى طرف مضمونة فقط إذا كنت تثق فعلاً في خادم WhatsApp “.

يقترح باحثو جامعة Ruhr في بوخوم إصلاحات ، مثل طلب Signal و WhatsApp لضمان توقيع رسائل الإدارة من قبل مسؤولي المجموعة فقط.

ورفض واتساب تحديد ما إذا كانت الإصلاحات التي اقترحها الباحثون قيد الدراسة.

لدى WhatsApp سجل حافل في صد الطلبات الحكومية لكسر التشفير. دعمت الشركة شركة آبل في موقفها ضدطلب مكتب التحقيقات الفدرالي للتحايل على التشفير على هاتف iPhone الإرهابي. سُجن موظف في Facebook في البرازيل لرفضه التعاون مع السلطات الحكومية لإنشاء باب خلفي في الخدمة. كما رفضت علنًا دعوات من حكومة المملكة المتحدة لإضعاف التشفير.