WhatsApp: Angreifer könnten sich unter Umständen selbst in fremde Gruppenchats einladen

Wie eine Gruppe von Forschern der Ruhr-Universität in Bochum herausgefunden hat, könnten Angreifer durchaus eine Möglichkeit haben, sich selbst in fremde Gruppenchats des Messengers WhatsApp einzuladen. Dasselbe Sicherheitsproblem würde außerdem auch die Apps Threema und Signal betreffen, wobei hier schon nachgebessert worden ist. WhatsApp selbst weiß laut Techcrunch bereits seit Juli 2017 von der Lücke. Laut eigener Aussagen sei es aber alles andere als einfach, mit der dargestellten Methode in fremden Chatgruppen zu agieren.

Demnach sei ein Angriff nämlich nur dann möglich, wenn der Hacker auch wirklich direkten Zugriff auf die WhatsApp-Server habe. Dann könnte er relativ problemlos eine oder mehrere Nummern zu einer bestehenden Gruppen-Konversation hinzufügen und ab dem Zeitpunkt alle eingehenden Nachrichten mitzuschneiden.

Die Lücke komme laut der Forschergruppe durch einen Fehler innerhalb des Einladungssystems für Chatgruppen zustande. Demnach fehle ganz einfach ein Authentisierungs-Mechanismus, der absichert, dass sich niemand ohne die eindeutige Zustimmung des Administrators der Gruppe zu dieser hinzufügen kann. Bisher scheint es allerdings auch nicht so, dass man seitens WhatsApp daran etwas ändern wolle. Demnach bestätigte ein Sprecher des Unternehmens zwar die entsprechende Lücke, beruhigte aber auch direkt mit der Aussage, dass das Betreten eines Chats durch eine fremde Person von allen bereits an der Konversation beteiligten Mitgliedern festgestellt werden könne und der Administrator der Gruppe jene Nummer umgehend des Chats verbannen kann. Auch seien weiterhin 1:1-Chats eine sichere Konversation, in der einzelne Mitglieder sich ungesehen über die neue unbekannte Person austauschen könnten.

Dennoch sei nicht zu vergessen, dass Angreifer mit Zugriff auf die Server auch einzelne Nachrichten innerhalb der Gruppe blockieren oder löschen könnten, je nachdem wie bedroht sie sich gerade während ihres Angriffs fühlen. Auch Threema und der Signal-Messenger seien der genannten Lücke ausgesetzt, allerdings hat ersterer Dienst bereits ein entsprechendes Update veröffentlicht. Bei Signal reiche der Zugriff auf den Server allein nicht aus. Hier benötige man zusätzlich die Gruppen-ID des Chats, welche nicht einfach mal so zu erraten sei.

Halten wir also fest: WhatsApp-Gruppen könnten unter Umständen von Angreifern unterwandert und ausspioniert werden, allerdings nicht ohne dass der Angreifer direkten Zugriff auf die Server des Dienstes hat. Und auch dann hätten Administratoren noch immer gute Chancen, den entsprechenden Kontakt umgehend der Gruppe zu verweisen. Ob WhatsApp eventuell doch noch etwas an seiner Sicherheitspolitik diesbezüglich ändern wird, ist derzeit noch fraglich.

(via Techcrunch)