Дослідники з Віденського університету виявили у WhatsApp і Signal фундаментальну вразливість. Вона дає змогу стежити за місцеперебуванням людини, знаючи лише номер її телефону, і повністю усунути проблему неможливо, пише PCMag.
Слабким місцем виявилися позначки про доставлення. У WhatsApp і Signal перша галочка означає, що повідомлення дійшло до сервера, а друга — що воно потрапило на пристрій адресата. Проміжок між цими подіями — це час, за який сигнал доходить до пристрою й повертається назад. Фахівці називають його RTT (round-trip time), і саме в ньому криється вразливість.
Позначка про прочитання спрацьовує лише тоді, коли людина сама відкриє повідомлення, а сповіщення про доставлення надсилається автоматично. Воно надійде навіть тоді, коли вхідне повідомлення одразу потрапить до теки «Спам». Жодних дій від адресата атака не потребує. За часом повернення цього сигналу зловмисник отримує чимало даних про пристрій, характер його використання та місцеперебування власника.
Потрібен лише номер телефону, каже керівник дослідження Макс Гюнтер. Ані спеціального обладнання, ані інсайдерської інформації атака не вимагає. Вистачає простого скрипта, який аналізує зміни RTT, а подібні інструменти лежать у відкритому доступі на GitHub.
Підписуйтесь на Mediasat у Telegram: тут найцікавіші новини ТБ та телекому
За словами дослідника, важливу інформацію несуть навіть незначні коливання часу передавання. «Ми отримуємо відповідь від цілі й можемо виміряти часовий інтервал. Ми заміряємо час повернення сповіщення — він виявляється коротшим, наприклад, коли пристрій розблоковано або ним активно користуються, порівняно з режимом очікування чи просто заблокованим станом», — розповів Гюнтер.
Аналізуючи RTT, зловмисник може визначити, наскільки активно власник користується смартфоном, оцінити його приблизне місцеперебування та виявити стаціонарні мережі. Робочий смартфон, підключений до офісного Wi-Fi, показує стабільніші значення RTT. Особистий, який постійно перемикається між вежами стільникового зв’язку, поводиться інакше. Це дає зловмисникам інструмент для безперервного стеження.
За повідомлення про вразливість Meta виплатила дослідникам винагороду в 7 тис. доларів. Signal як некомерційна організація не змогла запропонувати жодної компенсації.
Обидві компанії вжили запобіжних заходів, зокрема запровадили обмеження частоти запитів (rate limiting), яке знижує інтенсивність надходження повідомлень і блокує частину спаму. Однак таке рішення лише сповільнює атаку. «Проблема полягає в тому, що ці вразливості неможливо усунути повністю», — сказав Гюнтер. Функція сповіщення про доставлення є в усіх платформ обміну повідомленнями. Тому повного розв’язання проблеми в короткостроковій перспективі бути не може.
Номер телефону лишається основним ідентифікатором у месенджерах, хоча приховати його від співрозмовника вже можна. Наприкінці червня WhatsApp дозволив резервувати імена користувачів у форматі @username, які показуються замість номера.
