Petr Škuta Muchas vulnerabilidades fueron reveladas en la actual conferencia de seguridad Black Hat. Entre ellos se encuentran errores en la aplicación WhatsApp que permiten a los atacantes cambiar el contenido de los mensajes.
Los agujeros en WhatsApp se pueden explotar de tres formas posibles. Lo más interesante es cuando cambias el contenido del mensaje que estás enviando. Como resultado, se mostrará el texto que en realidad no escribiste.
Podría ser te interesa
Hay dos opciones:
- Un atacante puede utilizar la función "responder" en un chat grupal para confundir la identidad del remitente del mensaje. Incluso si la persona en cuestión no está en absoluto en el chat grupal.
- Además, puede sustituir el texto citado por cualquier contenido. De este modo puede sobrescribir completamente el mensaje original.
En el primer caso, es fácil cambiar el texto citado para que parezca que lo escribiste tú. En el segundo caso, no cambia la identidad del remitente, simplemente edita el campo con el mensaje citado. El texto se puede reescribir por completo y todos los participantes del chat verán el nuevo mensaje.
El siguiente vídeo muestra todo gráficamente:
Los expertos de Check Point también encontraron una manera de mezclar mensajes públicos y privados. Sin embargo, Facebook logró solucionar este problema en la actualización de WhatsApp. Por el contrario, los ataques descritos anteriormente no fueron corregidos por un probablemente ni siquiera pueda arreglarlo. Al mismo tiempo, la vulnerabilidad se conoce desde hace años.
El error es difícil de solucionar debido al cifrado.
Todo el problema radica en el cifrado. WhatsApp se basa en el cifrado entre los dos usuarios. Luego, la vulnerabilidad utiliza un chat grupal, donde ya puedes ver los mensajes descifrados frente a ti. Pero Facebook no puede verte, así que básicamente no puede intervenir.
Los expertos utilizaron la versión web de WhatsApp para simular el ataque. Esto le permite vincular una computadora (navegador web) mediante un código QR que carga en su teléfono inteligente.
Una vez vinculadas las claves pública y privada, se genera un código QR que incluye un parámetro "secreto" y se envía desde la aplicación móvil al cliente web de WhatsApp. Mientras el usuario escanea el código QR, un atacante puede aprovechar el momento e interceptar la comunicación.
Una vez que un atacante tiene detalles sobre una persona, un chat grupal, incluida una identificación única, puede, por ejemplo, cambiar la identidad de los mensajes enviados o cambiar completamente su contenido. De este modo, otros participantes del chat pueden ser fácilmente engañados.
Hay muy poco riesgo involucrado en conversaciones normales entre dos partes. Pero cuanto más grande es la conversación, más difícil es navegar por las noticias y más fácil es que una noticia falsa parezca real. Por eso es bueno tener cuidado.
Podría ser te interesa
David Hanak Fuente: 9to5Mac
