Svag säkerhet i WhatsApp och Signal gör det möjligt för lågutbildade angripare att spåra användare

En grupp forskare från University of Vienna har hittat ett litet men allvarligt säkerhetshål i hur end-to-end encrypted (E2EE) meddelandetjänster fungerar. Studien, som ursprungligen publicerades den 17 november 2024 under titeln "Careless Whisper: Exploiting Silent Delivery Receipts to Monitor Users on Mobile Instant Messengers"," belyser möjligheten att spåra enheter med hjälp av RTT-data (Round-Trip Time) när WhatsApp eller Signal är installerade.

Ett program har nu släppts på GitHub som automatiskt kan utnyttja denna sårbarhet i WhatsApp. Även om tillhandahållandet av ett sådant verktyg väcker etiska frågor, är dess syfte avsett att pressa WhatsApp att ta itu med säkerhetsklyftan och förbättra användarnas integritetsskydd.

Det visar sig att den grundläggande idén bakom det programmet är förvånansvärt enkel. Spåraren skickar reaktionsmeddelanden till icke-existerande meddelande-ID. Målenheten svarar fortfarande med ett leveranskvitto. Denna reaktion, som är osynlig för användaren, avslöjar den tid som krävs för att skicka och ta emot den manipulerade begäran - RTT.

Även om dessa datapunkter i sig inte avslöjar en omedelbar plats, kan de ge värdefulla insikter när de samlas in under längre perioder. Mönster i RTT-data kan indikera när en enhet används aktivt eller är i standby-läge. En typ av nätverksanslutning, t.ex. Wi-Fi eller mobilnät, kan också härledas. Genom att analysera dessa aktivitetsmönster under timmar eller dagar kan angripare dra slutsatser om användarnas beteende. Dessutom förbrukar de ständiga förfrågningarna batteritid och mobildata på den drabbade smarttelefonen.

För närvarande har användarna begränsade möjligheter att försvara sig mot denna spårningsmetod. Det finns inga meddelanden på smartphones som varnar användarna för sådan övervakning. Det går inte att få tag på angriparens telefonnummer, vilket gör det omöjligt att blockera det. Varken Signal eller WhatsApp erbjuder för närvarande ett alternativ för att inaktivera leveranskvitton. En drastisk lösning är det enda alternativet just nu. Avlägsnande av alla påverkade end-to-end-krypterade meddelandetjänster från din enhet.