Bericht: Massive Sicherheitslücken in WhatsApp
Dieser Artikel ist älter als ein Jahr!
Wie im Blog fileperms gezeigt wird, können die Sicherheitsvorkehrungen in der App WhatsApp sehr leicht übergangen werden. Bis vor wenigen Wochen wurden Nachrichten noch komplett unverschlüsselt übertragen und konnten theoretisch von jedem Nutzer im gleichen WLAN-Netz mitgelesen werden. Als Reaktion darauf hat WhatsApp ein Update veröffentlicht, ab dem Nachrichten verschlüsselt werden. Diese Verschlüsselung wurde mittlerweile bereits geknackt.
Die Telefonnummern der Nutzer (die gleichzeitig auch als Username fungieren) werden außerdem standardmäßig weiterhin in Klartext, also unverschlüsselt, übertragen. Die Authentifizierung bei den WhatsApp-Servern ist laut fileperms ein „sicherheitstechnischer Albtraum". Das benötigte Passwort wird unter Android dabei aus der umgedrehten Seriennummer (IMEI) des Telefons generiert. Angreifer könnten die Nummer entweder vom Gerät, oder über eine Malware auslesen.
iOS
Unter iOS ist die Sicherheitssituation offenbar noch dramatischer. Das Passwort werde aus der MAC-Adresse des WLAN-Adapters generiert. Jene kann von einem Angreifer, der sich im gleichen WLAN-Netz befindet, sehr einfach ausgelesen werden. Um sich zu schützen, sollten iPhone- und iPad-Nutzer WhatsApp grundsätzlich nicht in öffentlichen WLAN-Netzen nutzen.
API
Über die API können Angreifer mit Nutzername und Passwort Nachrichten im Namen des jeweiligen Nutzers versenden. Die Lücken wurde auch von heise Security überprüft und bestätigt. WhatsApp hat derzeit noch keine Stellungnahme zu den Vorwürfen abgegeben.
Wie die Sicherheitssituation in den WhatsApp-Versionen für BlackBerry, Symbian und WindowsPhone aussieht, beziehungsweise wie dort das benötigte Passwort generiert wird, ist derzeit noch nicht bekannt.
Es ist nicht das erste Mal, dass WhatsApp in den Fokus von Kritik kommt. So wurde in der Vergangenheit immer wieder Kritik an den Sicherheitsvorkehrungen geübt. Zeitweise wurde die App aufgrund der Gefahren auch aus dem iOS-AppStore und dem Windows-Phone-Marketplace genommen, jeweils kurz danach aber wieder online gestellt.
- WhatsApp verschlüsselt ab sofort Nachrichten
- Apps: Facebook und WhatsApp "sehr kritisch"
- Schwere Sicherheitslücken in Messenger-Apps
- WhatsApp: Wegen Sicherheitslücke entfernt?
- WhatsApp aus dem iTunes Store verschwunden
Kommentare