WhatsApp tem falha que permite espionar mensagens criptografadas

As mensagens criptografas enviadas via WhatsApp podem ser lidas pelo Facebook ou por agências do governo. Este foi o alerta deixado por um pesquisador que descobriu uma falha de segurança no aplicativo.

Tobias Boelter, um pesquisador de segurança da Universidade da Califórnia, contou que descobriu um backdoor no método de criptografia de ponta a ponta usado pelo WhatsApp. A tecnologia foi adicionada no ano passado para oferecer uma camada extra de proteção aos usuários, evitando que terceiros tivessem acesso ao conteúdo das mensagens trocadas.

O Facebook, dono do aplicativo, diz que ninguém pode interceptar mensagens do WhatsApp, nem mesmo a empresa e seus funcionários. No entanto, a brecha encontrada pelo pesquisador diz exatamente o contrário.

Como terceiros podem ler minhas mensagens no WhatsApp?

Para saber como funciona a vulnerabilidade, é preciso entender como acontece a criptografia end-to-end do WhatsApp. Quando um usuário envia uma mensagem para outro, uma chave de segurança é gerada e apenas o destinatário é capaz de desbloqueá-la. Ou seja, mesmo que a mensagem seja interceptada no caminho, terceiros não conseguirão ter acesso ao seu conteúdo, pois não possuem a chave única gerada para essa mensagem específica.

Acontece que o WhatsApp criou uma implementação adicional que permite forçar a geração de novas chaves de criptografia para usuários que estão off-line, deixando certas mensagens abertas a ataques. Isso porque o aplicativo cria uma segunda chave para avisar que a mensagem foi marcada como não entregue (apenas um tique). Esta recriptografia e retransmissão efetivamente permite que o WhatsApp intercepte e leia as mensagens dos usuários.

"Se uma agência governamental solicitar ao WhatsApp a divulgação dos seus registros de mensagens, ela pode efetivamente conceder acesso devido à mudança de chaves", explica o pesquisador.

Vale ressaltar que o backdoor de segurança não está relacionado ao protocolo Signal, mas sim ao próprio sistema criado pelo WhatsApp para entrega de mensagens criptografadas para usuários que estão off-line. Isso porque a implementação do WhatsApp reenvia automaticamente uma mensagem não entregue com uma nova chave sem avisar o usuário com antecedência.

O pior de tudo é que o pesquisador alertou o Facebook, dono do WhatsApp, sobre o problema em abril do ano passado, mas foi informado que a questão era um "comportamento esperado" e não necessariamente um bug.

Também é importante destacar que, apesar de importante, a falha não coloca diretamente a privacidade das suas mensagens em risco de serem roubadas por hackers comuns, mas sim deixa uma abertura para o Facebook e WhatsApp lerem as suas conversas.

Em resposta às acusações, um porta-voz do WhatsApp disse que a falha essencialmente impede que mensagens sejam perdidas em trânsito. "Na implementação do protocolo Signal do WhatsApp, temos uma configuração "Mostrar Notificações de Segurança" (opção em Configurações> Conta> Segurança) que notifica quando o código de segurança de um contato foi alterado. Sabemos que as razões mais comuns para que isso aconteça são porque alguém trocou de telefone ou reinstalou o WhatsApp. Isso ocorre porque em muitas partes do mundo, as pessoas frequentemente mudam dispositivos e cartões SIM", completou.

De qualquer forma, a situação nos faz pensar que nunca estamos 100% protegidos contra espionagem de terceiros em nossos dispositivos conectados.

Fonte: The Guardian