Luka w zabezpieczeniach komunikatora WhatsApp, należącego obecnie do Facebooka, umożliwia potencjalnym agresorom monitorowanie aktywności użytkowników tego popularnego programu. Problem jest o tyle interesujący, że atak może przeprowadzić praktycznie każdy, kto dysponuje odrobiną wiedzy technicznej i zapasowym laptopem.

Odkrycie potencjalnego ataku na użytkowników popularnego komunikatora WhatsApp to zasługa inżyniera oprogramowania Roba Heatona, specjalizującego się w bezpieczeństwie danych. Heaton zauważył, że istnieje możliwość wykorzystania podstawowych funkcji WhatsApp, takich jak sprawdzanie statusu online użytkowników tego komunikatora. Możliwość monitorowania statusu online użytkownika WhatsApp jest jedną z elementarnych funkcji tego komunikatora. Co prawda WhatsApp ma wbudowane opcje pozwalające ustawić status użytkownika jako widoczny publicznie bądź tylko dla znajomych, to jednak nie ma możliwości całkowitego wyłączenia wyświetlania statusu użytkownika WhatsApp.

Czy wyświetlanie statusu aktywności użytkownika komunikatora może być w jakikolwiek sposób szkodliwe? Heaton jest zdania, że tak. Badacz przedstawił scenariusz ataku, w którym potencjalny agresor może skonstruować pozornie niewinne rozszerzenie przeglądarki, mające za zadanie wyłącznie podgląd i monitorowanie stanu aktywności kontaktów online w WhatsApp wykorzystywanym poprzez interfejs webowy. Co to daje potencjalnemu atakującemu? Heaton udowadnia, że samo monitorowanie statusu oraz gromadzenie i analiza danych dotyczących statusu użytkowników w WhatsApp pozwalają ustalić całkiem sporo szczegółów, jeżeli chodzi o rozkład dnia danej osoby. Już niezbyt wyrafinowana analiza zebranych danych monitorujących statusy użytkowników WhatsApp pozwala rozpoznać, kiedy i jak długo poszczególni użytkownicy komunikatora śpią.

Znajomość rozkładu dnia celu to jedna z istotnych informacji wywiadowczych gromadzonych podczas infiltracji jakiegokolwiek obiektu, WhatsApp odsłania jednak jeszcze więcej. Heaton porównał zmierzone wzorce aktywności wielu różnych użytkowników. Analiza przyniosła kolejne ciekawostki. Oprócz przybliżonego rozkładu dnia i czasu aktywności poszczególnych osób, dzięki wykryciu korelacji w aktywnościach poszczególnych osób Heaton był w stanie z dużym prawdopodobieństwem ocenić, którzy użytkownicy WhatsAppa rozmawiają ze sobą – wystarczyło, że korzystali z komunikatora w tym samym dokładnie czasie. Jak widać znajomość treści przesyłanych informacji nie jest absolutnie potrzebna do tego, by wiedzieć kiedy śpimy i z kim – za pomocą WhatsAppa – się kontaktujemy.

Takie dane – zdaniem Heatona – zwłaszcza, gdy będą gromadzone w masowej skali, mogą stanowić cenny zbiór informacji, który następnie potencjalni szpiedzy mogą próbować sprzedać firmom specjalizującym się w pozycjonowaniu reklam online. Heaton podaje wyrazisty przykład: ludzie z nieregularnymi wzorcami snu mogą być przecież doskonałymi nabywcami medykamentów ułatwiających zasypianie. Odkrycie Heatona, jakkolwiek interesujące na swój sposób, nie jest jednak tak naprawdę niczym nowym. Problem dotyczy wielu aplikacji przeznaczonych do komunikacji międzyludzkiej, jak również sieci społecznościowych. Ten sam trik umożliwiający analizę zachowań ludzi na podstawie ich aktywności online podczas korzystania z konkretnych aplikacji, na przykład Facebooka, pozwala sieci Zuckerberga jeszcze lepiej pozycjonować reklamy wyświetlane użytkownikom tej sieci społecznościowej.



Źródło: chip.pl