WhatsApp, attenzione: chiunque può leggere i vostri messaggi

Uno studente dell’Università di Utrecht scopre una vulnerabilità nel codice di WhatsApp che potrebbe consentire a qualunque malintenzionato di violare la privacy degli utenti

WhatsApp è il software di messaggistica istantanea più diffuso nel mercato mobile, un’applicazione multipiattaforma semplice ed immediata in grado di generare un traffico stimato in 10 miliardi di messaggi testuali al giorno.

Di recente un gruppo di ricercatori ha scovato alcune vulnerabilità nel codice dell’applicazione che potrebbero consentire a chiunque di decrittare i messaggi privati degli utenti attraverso una connessione remota: l’autore principale della scoperta è Thijs Alkemade, uno studente di informatica dell’Università di Utrecht che lavora al progetto di messaggistica istantanea Adium.

Nel post intitolato “Piercing Through WhatsApp’s Encryption” Alkemade ha sottolineato come WhatsApp di recente sia stato vittima di numerosi problemi riguardanti la sicurezza, che spaziano dal furto delle password alla decriptazione dei messaggi.

“A questo punto dobbiamo assumere che chiunque, con il giusto impegno, potrebbe essere in grado di intrufolarsi nella vostra connessione WhatsApp e decrittare i messaggi privati. Se l’eventualità si con concretizzasse dovreste considerare tutte le vostre precedenti conversazioni di WhatsApp compromesse. Non c’è nulla che possiate fare per eliminare il problema, a parte smettere di utilizzare l’applicazione in attesa che gli sviluppatori rilascino un update”, ha affermato Alkemade.

WhatsApp utilizza l’algoritmo di cifratura RC4 per generare stream di bytes che vengono successivamente criptati ricorrendo alla codifica simmetrica XOR. Gli algortimi sono semplici e richiedono un dispendio di risorse minimo, ma, nel caso di WhatsApp, usano le stesse chiavi di HMAC e di codifica in entrambe le direzioni: questo potrebbe consentire ad un utente malintenzionato di recuperare facilmente la maggior parte del testo dei messaggi inviati e ricevuti.

WhatsApp


I ricercatori olandesi, dopo aver scoperto che WhatsApp adotta le stesse chiavi di cifratura per gli stream di byte in ingresso e in uscita, hanno escogitato un semplice sistema di decrittazione: “we know that ciphertext byte i on the incoming stream xored with ciphertext byte i on the outgoing stream will be equal to xoring plaintext byte i on the incoming stream with plaintext byte i of the outgoing stream. By xoring this with either of the plaintext bytes, we can uncover the other byte.”

La tecnica adottata non rivela direttamente tutti i byte dello stream, ma nella maggior parte dei casi funziona e permette all’utente malintenzionato di intuire con facilità la struttura complessiva del testo partendo da una piccola porzione di messaggio decrittata.

Sfruttare la seconda debolezza del codice di WhatsApp, quella relativa all’HMAC, è stato più impegnativo:
“TLS counters this by including a sequence number in the plaintext of every message and by using a different key for the HMAC for messages from the server to the client and for messages from the client to the server. WhatsAppdoes not use such a sequence counter and it reuses the key used for RC4 for the HMAC.”

Alkemade è stato molto critico nei confronti del team di sviluppo di WhatsApp:
“There are many pitfalls when developing a streaming encryption protocol. Considering they don’t know how to use a xor correctly, maybe the WhatsApp developers should stop trying to do this themselves and accept the solution that has been reviewed, updated and fixed for more than 15 years, like TLS.”.

Le critiche di Alkemade sono giustificate dall’ampia diffusione di WhatsApp, che trasforma le vulnerabilità del software in una seria minaccia per la privacy.

(St.S.)

Gossip

Uomini e Donne: polemiche per una domanda indiscreta a Claudio Sona

Si è scatenata una polemica dopo una delle tante ospitate di Claudio Sona in una discoteca. Come è noto, l’ex tronista e Mario Serpa, dopo […]

Film

Robert De Niro e Michelle Pfeiffer in un film HBO su Bernie Madoff: guarda il trailer

È targato HBO, la rete via cavo che è sinonimo di produzioni televisive e cinematografiche di alta qualità, il film biografico The Wizard of Lies, […]

TV

Il Segreto: le trame di sabato 14 e domenica 15 gennaio 2017

Scopriamo cosa accadrà negli appuntamenti di sabato 14 e domenica 15 gennaio 2017.

Gossip

Checco Zalone di nuovo papà

Checco Zalone annuncia su Facebook la nascita di Greta, la secondogenita, dopo la piccola Gaia nata nel 2013,  avuta dalla compagna Mariangela Eboli, sua compagna da […]

TV

Amici 16 Anticipazioni: il cast per il serale

Scopriamo insieme le anticipazioni riguardanti il cast del serale della sedicesima edizione di Amici.

Gossip

Amy Adams conquista la stella sulla Walk of Fame di Hollywood: foto

Un anno che si preannuncia già meraviglioso quello per la star di vicentina Amy Adams, protagonista di recente in Animali Notturni di Denis Villeneuve accanto […]

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Tag