WhatsAp的后门的故事是什么？附带视频演示

本文作者：Mohit Kumar，由悬镜安全实验室独家翻译，如需转载，请标注转载：http://www.xmirror.cn/

What is a backdoor?

根据定义：“后门是计算机系统的一个特征或缺陷，允许暗中未授权的访问数据，”后门是加密算法，服务器或实现中，并且不管它先前是否已被使用，或没被使用.

昨天，我们根据安全研究员Tobias Boelter报告的发现，发布了一个故事，建议WhatsApp有一个后门，“可以允许”攻击者，当然还有公司本身，拦截加密的通信。

这个涉及世界上最大的安全消息传递平台的故事在全球拥有超过10亿用户，几个小时内就消失了，吸引了来自安全专家，WhatsApp团队和Open Whisper Systems的反馈，他们与Facebook合作在WhatsApp中实施端到端加密 。

注意：我会请读者在得出结论之前阅读完整的文章。 而且，建议和意见总是邀请:)

问题是什么？

该漏洞依赖于WhatsApp在最终用户的加密密钥更改时的行为方式。

WhatsApp默认情况下信任由联系人广播的新加密密钥，并使用它重新加密未传递的邮件，并发送它们，而不通知发件人更改。

https://v.qq.com/x/page/s0366jlm6t9.html【很想给大家上传本地视频，但是目前csdn不支持，最大的缺点就是腾讯视频广告太多了。】

在我以前的文章中，我用一个简单的例子详细阐述了这个漏洞，所以你可以阅读这篇文章，以便更好地了解。

Facebook本身承认Boelter报告的这个WhatsApp问题，说“我们以前知道这个问题，并可能在未来改变它，但现在不是我们正在积极工作的变化。

专家持什么态度呢？

根据一些安全专家 - “这不是一个后门，而是一个功能，以避免不必要的重新验证加密密钥在自动再生。

开放的Whisper系统说 - “没有WhatsApp后门”，“它是如何加密工作，”和MITM攻击“是公共密钥加密，而不只是WhatsApp的流行。

开放的Whisper系统说 - “没有WhatsApp后门”，“它是如何加密工作，”和MITM攻击“是公共密钥加密，而不只是WhatsApp的流行。

事实什么呢？

值得注意的是，没有任何安全专家或公司否认的事实，如果需要，WhatsApp，政府的要求，或国家支持的黑客可以拦截你的聊天。

他们不得不说的是 - WhatsApp的设计是简单的，用户不应该失去访问发送给他们的邮件，当他们的加密密钥更改。

开放Whisper系统（OWS）在一篇博客文章中批评了卫报的报道，“即使我们是WhatsApp的加密协议的创造者据称”后援“，我们没有被要求评论。

什么？ “...加密协议据称”backdoored“的WhatsApp ...”不！

没有人说这是一个“加密后门”; 而是这个后门存在于WhatsApp如何实现端到端加密的方式，它最终允许拦截消息而不破坏加密。

正如我在前面的故事中提到的，这个后门与Open Whisper Systems创建的信号加密协议的安全无关。 如果实施正确，它是最安全的加密协议之一。

那么为什么Signal比WhatsApp更安全？

这是因为总有改进的余地。

默认情况下，信号消息应用程序允许发件人在使用新密钥之前验证新密钥。 而WhatsApp默认情况下自动信任收件人的新密钥，而不通知发件人。

即使发件人已打开安全通知，应用程序只会在邮件传递后通知发件人更改。

所以，在这里，WhatsApp选择可用性的安全和隐私。

这不是关于“我们相信WhatsApp / Facebook？”

WhatsApp说，它不给政府一个“后门”到其系统

毫无疑问，如果公司收到任何这样的法院命令，并且目前正在尽最大努力保护其十亿多用户的隐私，肯定会与政府打仗。

但是国家赞助的黑客呢？ 因为，技术上，没有这样的“保留”后门，只有公司才能访问。

为什么“验证密钥”功能无法保护您？

WhatsApp还提供了第三个安全层，您可以通过扫描QR码或通过比较60位数字来验证与您通信的其他用户的密钥。

但这里的可以捕获一些信息：

此功能确保没有人在您验证密钥时拦截您的邮件或呼叫，但不能确保过去没有人拦截或将来拦截您的加密通信，并且没有办法， 目前，这将有助于你识别这一点。

WhatsApp防止这样的MITM攻击是不完整的

WhatsApp已经提供了“安全通知”功能，通知用户每当联系人的安全代码更改，您需要从应用程序设置手动打开。

但这个功能不足以保护您的通信，而不使用另一个最终的工具，这是 - 常识。

您是否收到通知，指出您的联系人的安全代码已更改？

WhatsApp不想提供“按设计的安全性”，而是希望其用户使用他们的常识，不与最近更改了其安全密钥的联系人通信，而不手动验证密钥。

WhatsApp自动更改您的安全密钥的事实（由于某些原因），人们会开始忽略这样的通知，使用户几乎不可能每次主动查看验证会话密钥的真实性。

WhatsApp应该做什么？

没有恐慌所有十亿多用户，WhatsApp至少可以这样做：

1.停止重新生成用户的加密密钥如此频繁（我显然不知道为什么公司这样做）。

2.在设置中为隐私意识的用户提供一个选项，如果启用，用户将不会自动信任新的加密密钥和发送消息，直到用户手动接受或验证。

因为就像其他人一样，我也讨厌使用两个应用程序与我的朋友和工作同事沟通，即隐私信号和WhatsApp，因为每个人都使用它。