WhatsApp: Angreifer könnten sich unter Umständen selbst in fremde Gruppenchats einladen
von Benjamin Mamerow | 6 Kommentare
Wie eine Gruppe von Forschern der Ruhr-Universität in Bochum herausgefunden hat, könnten Angreifer durchaus eine Möglichkeit haben, sich selbst in fremde Gruppenchats des Messengers WhatsApp einzuladen. Dasselbe Sicherheitsproblem würde außerdem auch die Apps Threema und Signal betreffen, wobei hier schon nachgebessert worden ist. WhatsApp selbst weiß laut Techcrunch bereits seit Juli 2017 von der Lücke. Laut eigener Aussagen sei es aber alles andere als einfach, mit der dargestellten Methode in fremden Chatgruppen zu agieren.
Demnach sei ein Angriff nämlich nur dann möglich, wenn der Hacker auch wirklich direkten Zugriff auf die WhatsApp-Server habe. Dann könnte er relativ problemlos eine oder mehrere Nummern zu einer bestehenden Gruppen-Konversation hinzufügen und ab dem Zeitpunkt alle eingehenden Nachrichten mitzuschneiden.
Die Lücke komme laut der Forschergruppe durch einen Fehler innerhalb des Einladungssystems für Chatgruppen zustande. Demnach fehle ganz einfach ein Authentisierungs-Mechanismus, der absichert, dass sich niemand ohne die eindeutige Zustimmung des Administrators der Gruppe zu dieser hinzufügen kann. Bisher scheint es allerdings auch nicht so, dass man seitens WhatsApp daran etwas ändern wolle. Demnach bestätigte ein Sprecher des Unternehmens zwar die entsprechende Lücke, beruhigte aber auch direkt mit der Aussage, dass das Betreten eines Chats durch eine fremde Person von allen bereits an der Konversation beteiligten Mitgliedern festgestellt werden könne und der Administrator der Gruppe jene Nummer umgehend des Chats verbannen kann. Auch seien weiterhin 1:1-Chats eine sichere Konversation, in der einzelne Mitglieder sich ungesehen über die neue unbekannte Person austauschen könnten.
Dennoch sei nicht zu vergessen, dass Angreifer mit Zugriff auf die Server auch einzelne Nachrichten innerhalb der Gruppe blockieren oder löschen könnten, je nachdem wie bedroht sie sich gerade während ihres Angriffs fühlen. Auch Threema und der Signal-Messenger seien der genannten Lücke ausgesetzt, allerdings hat ersterer Dienst bereits ein entsprechendes Update veröffentlicht. Bei Signal reiche der Zugriff auf den Server allein nicht aus. Hier benötige man zusätzlich die Gruppen-ID des Chats, welche nicht einfach mal so zu erraten sei.
Halten wir also fest: WhatsApp-Gruppen könnten unter Umständen von Angreifern unterwandert und ausspioniert werden, allerdings nicht ohne dass der Angreifer direkten Zugriff auf die Server des Dienstes hat. Und auch dann hätten Administratoren noch immer gute Chancen, den entsprechenden Kontakt umgehend der Gruppe zu verweisen. Ob WhatsApp eventuell doch noch etwas an seiner Sicherheitspolitik diesbezüglich ändern wird, ist derzeit noch fraglich.
Wird geladen ...
Wenn jemand unmittelbar Zugriff auf die Server hätte, dann ist doch das „sich selbst in fremde Chats einzuladen“ noch das geringste Problem oder?
Wo stehen denn überhaupt die Server?
Wer direkten und unmittelbaren Zugriff auf den Server hat, kann noch ganz andere Dinge machen. Das gilt auch für andere Bereiche und Dienste. Insofern ist das hier meines Erachtens eine Lücke, die eigentlich gar keine ist.
Wenn einer unmittelbaren Zugriff auf Fort Knox hat kann er die Goldbarren umstapeln. So what?
Peh:
Guter Spruch – gefällt mir, trifft den Nagel auf den Kopf!
Diese „Lücke“ ist schon seit Sommer letzten Jahres bekannt, da die Untersuchung schon so alt ist.
Und auch wenn Threema schnell die Sicherheit noch erhöht hat, hätte man dort, um Gruppen manipulieren zu können Nachrichten auf dem Server abfangen und noch einmal senden müssen. Dann wäre eine Person, die schon einmal in der Gruppe drin war, eventuell wieder drin. Neue/Fremde Leute hat man da nie in eine Gruppe bekommen. Ähnlich dann wohl auch bei Signal.
Vielleicht könnten Ermittlungsbehörden mit Zugriff auf die Server die Sicherheitslücke nutzen.