Daftar Isi:
Banyak pembicaraan turun baru-baru ini tentang cara baru untuk mengeksploitasi WhatsApp dan memotong enkripsi end-to-end perusahaan suka menyebutkan bahwa ia memiliki kapan pun bisa. Saya telah melihat tweet dan komentar yang menjalankan keseluruhan dari "it's FUD" untuk membicarakan tentang beberapa pintu belakang yang telah dipasang Facebook.
Berita baiknya adalah keduanya tidak ada. Sebenarnya, itu bukan salah satu dari hal-hal yang perlu Anda khawatirkan dan sebaliknya adalah salah satu dari hal-hal itu yang membuat Anda bertanya-tanya bagaimana hal itu terjadi pada awalnya karena itu sangat ceroboh. Tapi jangan khawatir - itu akan diperbaiki jauh sebelum sesuatu terjadi.
Apa itu
Peneliti Paul Rösler, Christian Mainka, dan Jörg Schwenk di Ruhr-Universität di Bochum, Jerman merilis sebuah makalah penelitian (.pdf link) yang menemukan kesalahan aneh dalam administrasi obrolan grup WhatsApp. WhatsApp menawarkan enkripsi ujung-ke-ujung yang sama untuk obrolan grup seperti halnya obrolan individual, dan itu biasanya berarti kita harus bisa merasa aman mengetahui bahwa hal-hal yang kita katakan tidak akan dibaca oleh siapa pun yang tidak boleh membacanya kecuali salah satu anggota kelompok membiarkannya terjadi.
Tampaknya, secara teori dimungkinkan bagi orang asing untuk menambahkan diri mereka ke obrolan grup di WhatsApp. "Secara teoritis" dan "mungkin" menjadi kata kunci di sini. Saya akan jelaskan.
WhatsApp menawarkan perpesanan grup yang menggunakan enkripsi end-to-end yang kuat.
Dalam obrolan grup WhatsApp, satu atau lebih anggota asli adalah administrator. Dari sudut pandang server, itu berarti bahwa orang-orang ini dapat menambah dan menghapus orang-orang dari grup. Semuanya baik sejauh ini, meskipun cara kerjanya - administrator mengirim sinyal ke setiap anggota grup dengan kunci penandatanganannya dan sebagai imbalannya, setiap anggota mengirim pesan balasan dengan kunci tanda tangan mereka kemudian pencetus pesan memberi tahu setiap anggota bahwa sekarang ada orang baru dalam grup - sedikit kludge untuk membuat antarmuka pengguna yang baik. Jika Anda bukan administrator, satu-satunya hal yang Anda ketahui adalah bahwa Anda melihat pesan bahwa Jerry sekarang adalah anggota grup. Anda dapat menerima itu atau meninggalkan obrolan.
Kelemahan serupa ditemukan dengan pesan grup melalui Signal.
Masalahnya adalah bahwa WhatsApp tidak benar mengautentikasi permintaan manajemen grup ini di server sendiri. Server WhatsApp perlu mengidentifikasi pengirim pesan dengan benar yang akan menambahkan seseorang ke obrolan grup. Orang tersebut mengirim pesan yang mengidentifikasi grup dan anggota yang ingin ditambahkan dan server memeriksa untuk memastikan orang yang mengirimnya sebenarnya adalah administrator obrolan. Pesan-pesan ini tidak dienkripsi ujung ke ujung, dan sebagai gantinya menggunakan enkripsi transport standar - pesan yang datang dari administrator obrolan dan pergi ke server yang meminta pengguna ditambahkan ke obrolan tidak ditandatangani oleh pengirim dengan kunci enkripsi mereka.
Ini berarti server WhatsApp dapat menambahkan pengguna yang diinginkannya ke grup mana saja, kapan saja. Server bisa, bukan pengguna lain. Itu penting, dan itu berarti setiap privasi yang diharapkan dalam obrolan grup WhatsApp hanya bergantung pada kepercayaan pada server obrolan WhatsApp. Itu mengalahkan seluruh tujuan enkripsi end-to-end, yang dirancang sehingga privasi dijamin bahkan jika server dikompromikan karena hanya pengirim dan penerima yang dapat mendekripsi pesan.
Dan kemudian internet kehilangan akal kolektifnya karena itulah yang dilakukan internet dengan sangat baik.
Ini tidak akan terjadi tetapi masih perlu diperbaiki
Satu-satunya cara kelemahan ini dapat dieksploitasi adalah oleh seseorang dengan akses ke server yang melakukannya. Itu berarti server dikompromikan, atau seorang karyawan menjadi nakal, atau tiga surat lembaga pemerintah mengajukan surat perintah. Semua hal itu bisa terjadi, mungkin pernah terjadi di masa lalu, dan bahkan bisa terjadi sekarang. Tetapi satu hal lain yang perlu dipertimbangkan - Anda akan tahu jika itu terjadi pada obrolan Anda.
Anda diberitahu setiap kali seseorang ditambahkan ke obrolan grup, dienkripsi atau tidak.
Hal pertama yang dilakukan server setelah anggota ditambahkan adalah memberi tahu setiap anggota grup lainnya bahwa "Jerry ditambahkan ke obrolan." Anda akan melihat pesan memberi tahu Anda bahwa seseorang telah ditambahkan, dan begitu juga orang lain. Ketika Jerry datang ke pesta obrolan pribadi dengan lelucon buruk dan bir murahnya, dan tidak ada yang mengundangnya, itu akan menjadi pertanda bahwa ada sesuatu yang salah dan tidak ada yang akan menganggap apa pun yang akan mereka ketik sebagai pribadi. Berkemas dan pindah ke obrolan lain tanpa Jerry dan mungkin bahkan layanan lain yang tidak akan membiarkannya macet.
Jadi, tidak ada yang akan dapat secara diam-diam memeriksa obrolan grup terenkripsi Anda, tetapi ini masih merusak enkripsi ujung-ke-ujung dalam setiap cara yang mungkin. Itu perlu diperbaiki segera, dan mungkin bahkan seluruh metode manajemen kelompok perlu dirubah. Minimal, kita semua perlu menggaruk kepala kita dan bertanya-tanya bagaimana sesuatu seperti ini terpeleset oleh programmer dan auditor kode. Ini adalah premis konyol yang tidak akan pernah dieksploitasi, tetapi tetap saja.
Apa yang kamu butuhkan
Tidak ada apa-apa. Hargai pekerjaan yang dilakukan oleh Rösler, Mainka, dan Schwenk dalam menemukan kelemahan ini karena riset keamanan adalah pekerjaan yang tidak berterima kasih dan sering kali mematikan pikiran, tetapi di masa lalu Anda tidak perlu mengubah rutinitas sama sekali. Metode otentikasi permintaan untuk menambahkan anggota ke obrolan grup terenkripsi akan disortir oleh orang-orang yang menjaga roda WhatsApp berputar sesaat dan ini akan berubah dari cacat yang tidak akan pernah dieksploitasi menjadi cacat yang tidak bisa lagi dieksploitasi pada semua.
Yang penting adalah Anda memperhatikan, karena cacat berikutnya mungkin sangat salah yang membutuhkan tindakan dari pihak Anda. Dan akan ada kekurangan lain, jadi pastikan Anda tetap memperhatikan.
