今年のブラックハットカンファレンスでセキュリティ研究者らが明らかにしたWhatsAppのセキュリティ上の欠陥により、誰かがあなたからのメッセージを偽造できる可能性がある。

チェック・ポイント・リサーチは、他人の言葉を口実にする能力も含め、この脆弱性を悪用する 3 つの異なる方法を発見したと発表しました…

研究チームによれば、言っていないことを言ったように見せかける方法は2つあるという。

脅威アクターは次のような行為を行う可能性があります。

• グループ会話で「引用」機能を使用すると、送信者がグループのメンバーでない場合でも、送信者の ID を変更できます。
• 他の人の返信のテキストを変更し、本質的にその人の言葉をそのまま伝えます。

前者の場合、他人が書いた内容が、あたかも自分が書いたかのように改変される可能性があります。後者の場合、実際に書いた内容が、チャット内で他の誰かが引用した際に自由に編集される可能性があります。元のテキストは変更されませんが、引用されたテキストを閲覧した人は、改変されたバージョンを見ることになります。この事例は、以下の動画でご覧いただけます。

さらに、Check Pointは、ユーザーを騙してパブリックメッセージとプライベートメッセージを混同させる方法を発見しました。Facebookはこの脆弱性を修正しましたが、懸念すべきことに、1年前に報告されていたにもかかわらず、他の2つのWhatsAppのセキュリティ脆弱性を修正することは現実的ではないとFacebookは述べています。

問題は、WhatsAppがエンドツーエンド暗号化を使用していることです。この脆弱性は、グループ参加者がメッセージの復号版にアクセスできるという事実に基づいています。しかし、Facebookはそれができないため、このようなチャット内攻撃には介入できないと述べています。

TNW は攻撃の仕組みを説明しています。

研究者らは、ユーザーがQRコードを使用して携帯電話をペアリングできるWhatsAppのWebバージョンを悪用した。

この拡張機能は、QRコードが生成される前に作成された秘密鍵と公開鍵のペア、そしてユーザーがQRコードをスキャンする際に携帯電話からWhatsApp Webに送信される「秘密」パラメータを取得することで、通信をリアルタイムで監視・復号化することを容易にします[…]

研究者らによると、参加者の詳細、実際の会話、一意のIDなどの詳細情報を含むウェブトラフィックがキャプチャされると、その欠陥を利用してメッセージの返信を偽装したり、メッセージの内容を変更したり、「相手に代わって、あたかも送信者から送信されたかのようにメッセージを送信者に返信することでチャットを操作する」ことさえ可能になるという。

現実世界での悪用リスクは、ほとんどの人にとって低いでしょう。しかし、チャットの参加者が増えるほどリスクは高まります。そのため、最大の脅威となるのは、この手法を用いて偽情報を拡散し、それを他の人が転送する可能性のある大規模なグループです。

iOS 13 の今後の変更により、WhatsApp などのメッセージング アプリがバックグラウンド モードで実行中に実行できる機能が制限されますが、この問題には影響しません。

havebin.com を Google ニュース フィードに追加します。