В WhatsApp можно попасть в чужой чат без взлома — просто потому что это WhatsApp
NewsMakerВаш групповой чат — это не беседа, а open mic с невидимыми зрителями.
Функция групповых чатов в WhatsApp давно воспринимается как надёжная и безопасная благодаря сквозному шифрованию. Однако новое исследование показало, что один важный аспект защиты попросту отсутствует — и в определённых сценариях это может привести к серьёзной утечке конфиденциальной информации.
Анализ, выполненный учёными, включал обратную разработку протоколов, описание криптографических механизмов и математическую верификацию устойчивости WhatsApp. Итоговый вердикт был в целом благоприятным — мессенджер работает так, как заявлено. Но одна деталь вызвала тревогу: в групповых чатах WhatsApp не реализует криптографическую верификацию при добавлении новых участников. Это означает, что сервер приложения может сам добавить кого угодно в любой чат, а участники не смогут этому воспрепятствовать или верифицировать, кто действительно инициировал изменение состава группы.
Всё усугубляется тем, что пользовательские клиенты не подписывают сообщения о составе группы. Добавление нового участника выглядит так: любой член группы отправляет на сервер неподписанное сообщение с новым списком участников, сервер рассылает уведомление, а клиенты просто отображают изменения — без проверки, кто именно инициировал добавление. В результате любой, кто имеет контроль над серверной частью или может подменить сообщение, способен тихо внедрить нового участника в чат. Это может быть как сотрудник компании с соответствующими правами, так и внешняя угроза , например, хакер , получивший доступ к инфраструктуре WhatsApp.
Хотя система уведомляет о добавлении нового участника, при большом количестве членов группы — а в некоторых чатах их могут быть сотни — подобные изменения легко остаются незамеченными. В лучшем случае участники увидят появление нового имени, но не смогут выяснить, кто именно отправил приглашение.
Эта проблема не теоретическая. В недавнем инциденте, прогремевшем в политических кругах США, бывший советник по национальной безопасности Майк Уолтц по ошибке добавил в секретный чат высокопоставленных чиновников главного редактора The Atlantic Джеффри Голдберга. Ошибку никто не заметил, и журналист получил доступ к сообщениям, касающимся планов военной операции. Примечательно, что это произошло в Signal, где, несмотря на наличие криптографической верификации, не была проведена проверка личности добавленного участника.
Исследователи подчёркивают, что даже при использовании более защищённых решений пользователи должны удостоверяться в подлинности аккаунтов. Signal предлагает механизм проверки «номеров безопасности» — уникальных кодов, которые позволяют сверить ключи между двумя пользователями вне мессенджера. Но если такой шаг не предпринят, всё сводится к доверию к имени в чате — и ничто не мешает злоумышленнику создать аккаунт «Алиса» и получить доступ к переписке.
Разница между Signal и WhatsApp особенно заметна в подходе к групповой безопасности. В Signal существует концепция GroupMasterKey — криптографического ключа, создаваемого администратором группы и недоступного серверу. С его помощью подписываются все изменения состава участников. Только после получения корректной подписи другие участники вносят изменения и обновляют шифрование. Это позволяет обеспечить, что только доверенные пользователи могут добавлять других в группу, и исключает сервер как посредника.
В WhatsApp никакой аналогичной схемы нет. Более того, сам сервер имеет полный доступ к списку участников, и может передавать его как внутренним системам, так и по требованию правоохранительных органов через официальный запрос. В Signal, напротив, даже сервер не знает, кто состоит в конкретной группе, что существенно повышает конфиденциальность.
Исследователи также отмечают, что WhatsApp — не единственный популярный мессенджер с уязвимым управлением группами. В 2022 году команда с участием тех же специалистов обнаружила такую же проблему в Matrix — платформе с открытым кодом, используемой в том числе в правительственных и корпоративных системах.
Хотя вероятность использования уязвимости в бытовых переписках низка, сценарий с вмешательством в чаты госслужащих, журналистов, дипломатов или активистов вполне реален. Один незаметный участник — и всё обсуждение компрометировано.
WhatsApp отреагировал на исследование, поблагодарив авторов за работу. Представители компании напомнили, что все пользователи получают уведомления при добавлении новых участников, а также могут включить оповещения о смене ключей безопасности. Кроме того, компания пообещала продолжать внедрение дополнительных уровней защиты. Однако без криптографического контроля над управлением группами мессенджер остаётся уязвимым в одном из ключевых сценариев — когда защита нужна больше всего.
Функция групповых чатов в WhatsApp давно воспринимается как надёжная и безопасная благодаря сквозному шифрованию. Однако новое исследование показало, что один важный аспект защиты попросту отсутствует — и в определённых сценариях это может привести к серьёзной утечке конфиденциальной информации.
Анализ, выполненный учёными, включал обратную разработку протоколов, описание криптографических механизмов и математическую верификацию устойчивости WhatsApp. Итоговый вердикт был в целом благоприятным — мессенджер работает так, как заявлено. Но одна деталь вызвала тревогу: в групповых чатах WhatsApp не реализует криптографическую верификацию при добавлении новых участников. Это означает, что сервер приложения может сам добавить кого угодно в любой чат, а участники не смогут этому воспрепятствовать или верифицировать, кто действительно инициировал изменение состава группы.
Всё усугубляется тем, что пользовательские клиенты не подписывают сообщения о составе группы. Добавление нового участника выглядит так: любой член группы отправляет на сервер неподписанное сообщение с новым списком участников, сервер рассылает уведомление, а клиенты просто отображают изменения — без проверки, кто именно инициировал добавление. В результате любой, кто имеет контроль над серверной частью или может подменить сообщение, способен тихо внедрить нового участника в чат. Это может быть как сотрудник компании с соответствующими правами, так и внешняя угроза , например, хакер , получивший доступ к инфраструктуре WhatsApp.
Хотя система уведомляет о добавлении нового участника, при большом количестве членов группы — а в некоторых чатах их могут быть сотни — подобные изменения легко остаются незамеченными. В лучшем случае участники увидят появление нового имени, но не смогут выяснить, кто именно отправил приглашение.
Эта проблема не теоретическая. В недавнем инциденте, прогремевшем в политических кругах США, бывший советник по национальной безопасности Майк Уолтц по ошибке добавил в секретный чат высокопоставленных чиновников главного редактора The Atlantic Джеффри Голдберга. Ошибку никто не заметил, и журналист получил доступ к сообщениям, касающимся планов военной операции. Примечательно, что это произошло в Signal, где, несмотря на наличие криптографической верификации, не была проведена проверка личности добавленного участника.
Исследователи подчёркивают, что даже при использовании более защищённых решений пользователи должны удостоверяться в подлинности аккаунтов. Signal предлагает механизм проверки «номеров безопасности» — уникальных кодов, которые позволяют сверить ключи между двумя пользователями вне мессенджера. Но если такой шаг не предпринят, всё сводится к доверию к имени в чате — и ничто не мешает злоумышленнику создать аккаунт «Алиса» и получить доступ к переписке.
Разница между Signal и WhatsApp особенно заметна в подходе к групповой безопасности. В Signal существует концепция GroupMasterKey — криптографического ключа, создаваемого администратором группы и недоступного серверу. С его помощью подписываются все изменения состава участников. Только после получения корректной подписи другие участники вносят изменения и обновляют шифрование. Это позволяет обеспечить, что только доверенные пользователи могут добавлять других в группу, и исключает сервер как посредника.
В WhatsApp никакой аналогичной схемы нет. Более того, сам сервер имеет полный доступ к списку участников, и может передавать его как внутренним системам, так и по требованию правоохранительных органов через официальный запрос. В Signal, напротив, даже сервер не знает, кто состоит в конкретной группе, что существенно повышает конфиденциальность.
Исследователи также отмечают, что WhatsApp — не единственный популярный мессенджер с уязвимым управлением группами. В 2022 году команда с участием тех же специалистов обнаружила такую же проблему в Matrix — платформе с открытым кодом, используемой в том числе в правительственных и корпоративных системах.
Хотя вероятность использования уязвимости в бытовых переписках низка, сценарий с вмешательством в чаты госслужащих, журналистов, дипломатов или активистов вполне реален. Один незаметный участник — и всё обсуждение компрометировано.
WhatsApp отреагировал на исследование, поблагодарив авторов за работу. Представители компании напомнили, что все пользователи получают уведомления при добавлении новых участников, а также могут включить оповещения о смене ключей безопасности. Кроме того, компания пообещала продолжать внедрение дополнительных уровней защиты. Однако без криптографического контроля над управлением группами мессенджер остаётся уязвимым в одном из ключевых сценариев — когда защита нужна больше всего.