Petr Škuta Ko'plab zaifliklar davom etayotgan Black Hat xavfsizlik konferentsiyasida aniqlandi. Ular orasida WhatsApp ilovasida tajovuzkorlarga xabarlar mazmunini o‘zgartirish imkonini beruvchi xatoliklar ham bor.
WhatsApp’dagi teshiklardan uchta usulda foydalanish mumkin. Eng qizig'i, siz yuborayotgan xabarning mazmunini o'zgartirganingizda. Natijada, siz yozmagan matn ko'rsatiladi.
Bo'lishi mumkin sizni qiziqtiradi
Ikkita variant mavjud:
- Xabar jo‘natuvchining shaxsini chalkashtirib yuborish uchun tajovuzkor guruh chatidagi “javob berish” funksiyasidan foydalanishi mumkin. Ko'rib chiqilayotgan shaxs umuman guruh chatida bo'lmasa ham.
- Bundan tashqari, u keltirilgan matnni istalgan mazmun bilan almashtirishi mumkin. Shunday qilib, u asl xabarni butunlay qayta yozishi mumkin.
Birinchi holda, iqtibos keltirgan matnni o'zingiz yozgandek qilish uchun o'zgartirish oson. Ikkinchi holda, siz jo'natuvchining identifikatorini o'zgartirmaysiz, shunchaki kotirovka qilingan xabar bilan maydonni tahrirlang. Matn butunlay qayta yozilishi mumkin va yangi xabar barcha chat ishtirokchilari tomonidan ko'rinadi.
Quyidagi videoda hamma narsa grafik tarzda ko'rsatilgan:
Check Point mutaxassislari ommaviy va shaxsiy xabarlarni aralashtirish usulini ham topdilar. Biroq, Facebook buni WhatsApp yangilanishida tuzatishga muvaffaq bo'ldi. Aksincha, yuqorida tavsiflangan hujumlar a tomonidan tuzatilgan emas Ehtimol, hatto uni tuzata olmaydi. Shu bilan birga, zaiflik yillar davomida ma'lum.
Shifrlash tufayli xatoni tuzatish qiyin
Butun muammo shifrlashda yotadi. WhatsApp ikki foydalanuvchi o'rtasidagi shifrlashga tayanadi. Keyinchalik zaiflik guruh chatidan foydalanadi, bu erda siz allaqachon oldingizda shifrlangan xabarlarni ko'rishingiz mumkin. Lekin Facebook sizni ko'ra olmaydi, shuning uchun u asosan aralasha olmaydi.
Mutaxassislar hujumni simulyatsiya qilish uchun WhatsApp’ning veb-versiyasidan foydalangan. Bu sizga smartfoningizga yuklagan QR kod yordamida kompyuterni (veb-brauzer) ulash imkonini beradi.
Shaxsiy va ochiq kalit ulangandan so'ng, "maxfiy" parametrni o'z ichiga olgan QR-kod yaratiladi va mobil ilovadan WhatsApp veb-mijoziga yuboriladi. Foydalanuvchi QR kodini skanerlayotganda, tajovuzkor lahzani qo'lga kiritishi va aloqani to'xtatishi mumkin.
Buzg'unchi shaxs, guruh suhbati, shu jumladan noyob identifikator haqida ma'lumotga ega bo'lgandan so'ng, u, masalan, yuborilgan xabarlarning identifikatorini o'zgartirishi yoki ularning mazmunini butunlay o'zgartirishi mumkin. Boshqa chat ishtirokchilari shunday qilib osongina aldanib qolishlari mumkin.
Ikki tomon o'rtasidagi oddiy suhbatlarda juda kam xavf mavjud. Ammo suhbat qanchalik katta bo'lsa, yangiliklarni boshqarish shunchalik qiyin bo'ladi va soxta xabar haqiqiy narsaga o'xshab ko'rinishi osonroq bo'ladi. Shuning uchun ehtiyot bo'lish yaxshidir.
Bo'lishi mumkin sizni qiziqtiradi
Devid Xanak Manba: 9 ta5Mac
