圖片來源: 

WhatsApp

安全專家指出WhatsApp中一項設計,可能讓用戶通訊內容被駭客或政府單位等第三方人士監聽。不過這個說法遭到WhatsApp的技術合作廠商否認。
 
密碼專家暨加州大學教授Tobias Boelter去年即已揭露WhatsApp這項「漏洞」,不過直到上周Guardian報導後才引起廣泛注意。
 
為確保訊息傳輸安全,WhatsApp運用Open Whisper System開發出的Signal 協定作為加密金鑰的交換與驗證,以防訊息遭到中間人攔截,不過WhatsApp還多加了一道不為人知的程序;它會在通訊雙方不知情下重新產生另一把加密金鑰給離線使用者,而且會在訊息被標示為未送出時,迫使發送方以新的金鑰加密訊息。然而這個過程收訊人並不知情,而且發送方只有當初設定啟動通知,以及訊息重新送出後才會被通知。這個重新加密、重傳訊息的神祕過程可使駭客或是其他第三人士得以攔截、竊聽用戶通訊內容。
 
Guardian報導,Signal加密通訊app雖然使用同樣的協定,但在訊息未送出時並不會重傳,而且也會通知發送方,因而並沒有這樣的疑慮。
 
研究人員去年4月即已通知WhatsApp母公司臉書,但迄今這個漏洞仍然未修補。Boelter於是質疑這個「漏洞」純粹是程式撰寫上的失誤、或根本是刻意留在應用程式中的「後門」,以便臉書或政府、情報機關可以蒐集特定訊息。
 
Guardian報導刊出之後, Open Whisper Systems駁斥漏洞的指控,表示這其實是一項因應收訊方換手機或重新安裝WhatsApp避免無法收訊而做的功能設計。
 
該公司解釋,平常狀態下,收訊方離線期間內若有加密訊息傳送給他,會在他重新上線時獲得解密。然而在更換新裝置或重新安裝應用程式後,加解密金鑰的驗證過程就無法完成,使收訊方接不到訊息。WhatsApp的設計就是為了解決這個問題,發文方重新加密訊息,用收訊方新的金鑰解密,而此時,發文方也會獲得WhatsApp對方安全碼已經變更的通知。

Open Whisper表示,只要發文方的WhatsApp顯示兩個勾號就表示訊息已經成功送出,不會再重傳,這是為了避免有入侵WhatsApp伺服器的人可以選擇性攔截這些訊息。而如果有人想攔截訊息,發文方也會獲得通知,如同Signal、PGP或任何端對端加密的通訊系統一樣。
 
至於何以WhatsApp不在對方新金鑰變更時要求發文方手動驗證同意,而是自動同意,該公司表示是因為考慮到WhatsApp用戶數量龐大而選擇自動同意的驗證方式,因為一旦在未獲同意前封鎖訊息傳送,反而增加被中間人攔截的風險。

 


Advertisement

更多 iThome相關內容