*
 
AfterDawn: IT-alan uutiset

WhatsApp-viestit vaarassa, turva-aukko mahdollistaa viestien kaappauksen

Kirjoittaja Matti Vähäkainu (Google+) @ 12.3.2014 15:29 Kommentteja (15)

WhatsApp-viestit vaarassa, turva-aukko mahdollistaa viestien kaappauksen Konsultti Bas Bosschert on löytänyt WhatsApp-sovelluksen Android-versiosta tietoturva-aukon, joka voi mahdollistaa muiden sovellusten pääsyn viesteihin, kertoo TechCrunch.
DoubleThink-yrityksen tekninen johtaja Bas Bosschert kertoo blogissaan menetelmästä, jolla hän pääsi käsiksi WhatsAppin viesteihin. Hän myös vahvisti TechCrunchin toimittajalle, että haavoittuvuus on edelleen olemassa WhatsAppin eilisen suuren päivityksenkin jälkeen.

Haavoittuvuus ilmenee tällä tavoin. Android-sovellus tallentaa viestit SD-muistikortille, johon on pääsy myös muilla sovelluksilla, kunhan käyttäjä antaa oikeuden. Ongelma onkin siinä, että käyttäjän on helppo antaa pahaa-avistamattomana liian suuret oikeudet sovellukselle.

Kyse ei varsinaisesti ole WhatsAppin bugista, vaan Androidiin liityvästä ongelmasta. Tämä tarkoittaa, ettei haavoittuvuus koske muiden alustojen sovelluksia. WhatsApp on myös alkanut salata tiedostojaan tehokkaammin viimeisissä päivityksissä, mutta Bosschert kertoo, että tietojen paljastaminen onnistui edelleen kotikutoisella Python-skriptillä.

Facebookille myymisen jälkeen WhatsAppin suosio on hiipunut ja useat ihmiset ovat Facebook-pakon pelossa siirtyneet käyttämään vaihtoehtoisia sovelluksia. Onnistuuko Facebook kuitenkin turvaamaan käyttäjien viestit paremmin vai onko palveluiden yhdistäminen vain vaarallisempaa?

Tägit: WhatsApp Facebook
Edellinen Seuraava  

15 kommenttia

112.3.2014 16:37

Miten tämä on Androidin ongelma, jos Whatsapp tallentaa viestit suojattomaan paikkaan? Jos kyse on Androidin ongelmasta, olettaisin että sama ongelma koskee silloin kaikkia mahdollisia sovelluksia, mitkä tallentavat laitteeseen tietoa. Kyllä tuon mittakaavan sovelluksen kehittäjän tulisi osata suunnitella sovellus niin, ettei muilla softilla ole pääsyä sen viesteihin. Eikä olisi muutenkaan huono idea lisäksi kunnolla krypatata tallennettuja tietoja.

Viestiä on muokattu sen lähettämisen jälkeen. Viestiä on muokattu viimeksi 12.3.2014 @ 16:38

212.3.2014 17:34

Lainaus:
Jos kyse on Androidin ongelmasta, olettaisin että sama ongelma koskee silloin kaikkia mahdollisia sovelluksia, mitkä tallentavat laitteeseen tietoa.

Jos Android-sovelluksella on oikeus lukea muistikortteja/ulkoista massamuistia, voi se avata sieltä minkä tahansa tiedoston. Vastaavaa on ollut esillä aiemminkin muissa Android-sovelluksissa
http://www.androidpolice.com/2013/09/30...ly-stored-data/

Lainaus:
Kyllä tuon mittakaavan sovelluksen kehittäjän tulisi osata suunnitella sovellus niin, ettei muilla softilla ole pääsyä sen viesteihin.

Androidissa on tuo sisäinen tallennustila (Internal storage), jonne muut sovellukset eivät pääse käsiksi, mutta sen ongelma on pieni tallennuskapasiteetti monissa laitteissa. Esim. WhatsAppaajien suosimat kuvat ja ääniviestit tukkisivat nopeasti tuon tilan.

Lainaus:
Eikä olisi muutenkaan huono idea lisäksi kunnolla krypatata tallennettuja tietoja.

Täydellisen ratkaisun kannalta ongelma on vain tuon salausavaimen tallentaminen. Ulkoiselle massamuistille sitä ei voi tallentaa, koska muut sovellukset pääsisivät siihen edelleen käsiksi. Sisäisestä muistista sen voi kaivaa rootatussa puhelimessa sovellus tai adb shell-yhteyden käyttäjä. Jos avain olisi vain sovelluksen muistissa (ja Whatsappin palvelimella), ei keskusteluja voisi avata offline-tilassa laisinkaan, jos Whatsapp olisi suljettu tai palvelu nurin.

312.3.2014 17:44

Kyllä mulla nimenomaan kaikki sovellukset tunkee kaiken sisäiseen muistiin. Sehän onkin hanurista, kun suomesta ei saanut kuin 16 Gt mallia. Kyllä korealaiset on onnekkaita kun heillä on myynnissä 64 Gt mallia. :(

412.3.2014 17:46

Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:
Miten tämä on Androidin ongelma, jos Whatsapp tallentaa viestit suojattomaan paikkaan? Jos kyse on Androidin ongelmasta, olettaisin että sama ongelma koskee silloin kaikkia mahdollisia sovelluksia, mitkä tallentavat laitteeseen tietoa.
Kyllä se koskeekin aika pitkälti kaikkia sovelluksia, jotka tallentavat tietoa muistikortille, sillä täysillä oikeuksilla varustettu sovellus pääsee Androidissa käsiksi kaikkeen muistikortin sisältöön.

512.3.2014 18:16

Öh, jos tuo kerran on tunnettu "ongelma", niin eikös sovelluksen kehittäjän tulisi tällaiset puhelimeen tallennettavat tiedot salata jotenkin niin, etteivät muut sovellukset niistä tiedoista mitään hyödy vaikka lukisivatkin tiedoston?

612.3.2014 18:22

Lainaus, alkuperäisen viestin kirjoitti Jeva:
Öh, jos tuo kerran on tunnettu "ongelma", niin eikös sovelluksen kehittäjän tulisi tällaiset puhelimeen tallennettavat tiedot salata jotenkin niin, etteivät muut sovellukset niistä tiedoista mitään hyödy vaikka lukisivatkin tiedoston?
Pitäisi tietysti, mutta kun ei kukaan valvo tekeekö näin niin ei se sitä korjaa "sehän maksaisi palkata osaaja tätä varten"



i7-4770k@4,4GHZ/R9 290 OC+accelero xtreme III/8gb ddr3 1600mhz/Gigabyte z87x-d3h/Phanteks PH-TC14PE/5x fractal 140mm low speed/Fractal R4/Seasonic platinum 760w/samsung 830 256gb ssd/500gb hdd/Roccat kone xtd ja roccat isku.

712.3.2014 22:52

Vastaus Agent_007:lle. Yritin quatata, mutta viesti ei mennyt läpi jostain syystä:

Jos käyttäjä ei ymmärrä mitä tarkoittaa roottaus ja superuserin kysymys: "sallitaanko sovellukselle täydet root-oikeudet?" (tai mitä se nyt tarkalleen kysyikään), ei käyttäjän ehkä kannata rootata puhelinta. Sama pätee debug-modeen, mikä on piilotettujen kehittäjäasetuksien takana, minkä adb-shell vaatii. Sama kaiketi pätee iphonen jailbreikkaukseen. Näitä asiasta ymmärtämätön käyttäjä harvemmin osaa tai haluaakaan tehdä.

Jos käyttöjärjestelmä rajoittaisi pääsyn muilta sovelluksilta muistikortin tiettyyn osioon, niin ainahan tuon muistikortin voi napsauttaa irti ja kytkeä tietokoneeseen, jolloin on taas täysi pääsy salaamattomiin tietoihin. Toki se vaatii fyysisen pääsyn laitteeseen, mutta niin vaatii roottaus ja debug-moden kytkeminenkin ja on lisäksi pirun paljon helpompaa.

812.3.2014 23:32

@7

tietäisit vain kuinka moni roottaa vaikkei sitä tarvitsi tai tietäisi mitä se edes tekee.


i7-4770k@4,4GHZ/R9 290 OC+accelero xtreme III/8gb ddr3 1600mhz/Gigabyte z87x-d3h/Phanteks PH-TC14PE/5x fractal 140mm low speed/Fractal R4/Seasonic platinum 760w/samsung 830 256gb ssd/500gb hdd/Roccat kone xtd ja roccat isku.

913.3.2014 9:58
spam
Vahvistamaton

Lainaus, alkuperäisen viestin kirjoitti Jeva:
Öh, jos tuo kerran on tunnettu "ongelma", niin eikös sovelluksen kehittäjän tulisi tällaiset puhelimeen tallennettavat tiedot salata jotenkin niin, etteivät muut sovellukset niistä tiedoista mitään hyödy vaikka lukisivatkin tiedoston?
Nyt on kyse WhatsApp sovelluksesta, ei mistään sen kummoisemmasta.

1013.3.2014 10:40

Lainaus, alkuperäisen viestin kirjoitti munkki666:
@7

tietäisit vain kuinka moni roottaa vaikkei sitä tarvitsi tai tietäisi mitä se edes tekee.
No toki custom rommin asennuksen yhteydessä roottaus tulee useimmiten kylkiäisenä. Mutta vaikka laite on rootattu täytyy root-sovelluksille antaa root-oikeudet vielä erikseen, mitä kysytään sovelluksen käynnistyessä.

En silti menisi julistamaan että käyttöjärjestelmässä on tietoturvaongelma, jos se vaatii joko sovelluskehittäjältä törkeää piittaamattomuutta tai käyttäjältä käyttöjärjestelmän muokkaamista.

1113.3.2014 10:57
spam
Vahvistamaton

Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:
En silti menisi julistamaan että käyttöjärjestelmässä on tietoturvaongelma, jos se vaatii joko sovelluskehittäjältä törkeää piittaamattomuutta tai käyttäjältä käyttöjärjestelmän muokkaamista.

Tässä ei kyse kummastakaan, kyse ihan tavanomaisesta.

Markkinoilla on mobiili järjestelmiä joissa perus turvallisuus on viety paljon pidemmälle, estämällä devaajan ja käyttäjän toimet.
Lisäksi valvomalla laitteeseen asennattavat sovellukset, jälkimmäinen estää estettyjen mokien hyödyntämisen. :-)

Onneksi kaikki alustat ei edusta samaa ajattelua.

1213.3.2014 12:38

Lainaus, alkuperäisen viestin kirjoitti user@org:
Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:
En silti menisi julistamaan että käyttöjärjestelmässä on tietoturvaongelma, jos se vaatii joko sovelluskehittäjältä törkeää piittaamattomuutta tai käyttäjältä käyttöjärjestelmän muokkaamista.

Tässä ei kyse kummastakaan, kyse ihan tavanomaisesta.

Markkinoilla on mobiili järjestelmiä joissa perus turvallisuus on viety paljon pidemmälle, estämällä devaajan ja käyttäjän toimet.
Lisäksi valvomalla laitteeseen asennattavat sovellukset, jälkimmäinen estää estettyjen mokien hyödyntämisen. :-)

Onneksi kaikki alustat ei edusta samaa ajattelua.


Väitätkö että Applen tai Microsoftin järjestelmissä ei kehittäjä muka vastaavaa munausta voi tehdä?

Lisäksi ilmeisesti tässä väität että Apple ja Microsoft tarkistaa kauppojensa jokaisen sovelluksen siltä varalta että sovellus ei lue yhteisestä tallennustilasta suojaamatonta tietoa, mikä kuitenkin voisi olla arkaluonteista. Höhöhöpö.

1313.3.2014 12:42

Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:

Väitätkö että Applen tai Microsoftin järjestelmissä ei kehittäjä muka vastaavaa munausta voi tehdä?

Windowsphonesta ei ole tietoa, mutta iOs:issa ohjelmat leikkivät ihan omilla hiekkalaatikoillaan, eivätkä pääse vapaasti skannaamaan muiden ohjelmien tallentamia tiedostoja.

1413.3.2014 13:39

Lainaus, alkuperäisen viestin kirjoitti Lauzi:
Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:

Väitätkö että Applen tai Microsoftin järjestelmissä ei kehittäjä muka vastaavaa munausta voi tehdä?

Windowsphonesta ei ole tietoa, mutta iOs:issa ohjelmat leikkivät ihan omilla hiekkalaatikoillaan, eivätkä pääse vapaasti skannaamaan muiden ohjelmien tallentamia tiedostoja.

Näin Androidissakin kun tallentaa ne tiedot niille kuuluvaan paikkaan.
Eikö IOS:ssä muka ole yhteistä tallennustilaa mihin jokaisella sovelluksella olisi pääsy vai miten tämä ei ole mahdollista? Jos näin on, herää kysymys, miten onnistuu esim. yhden tiedoston käsittely useammalla ohjelmalla?

1513.3.2014 14:52
spam
Vahvistamaton

Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:


Väitätkö että Applen tai Microsoftin järjestelmissä ei kehittäjä muka vastaavaa munausta voi tehdä?
Mikä munausta ?

On alustoja joissa sovellukset eivät pääse toistensa tallenteisiin, ja tietojen jakamiseen on omat rajapintansa.

Sovellus voi toki tallennella omaa dataansa pilveen ja sitä kautta voidaan kierrättää dataa. toisille sovelluksille

Lainaus, alkuperäisen viestin kirjoitti jokutoinenvaan:

Lisäksi ilmeisesti tässä väität että Apple ja Microsoft tarkistaa kauppojensa jokaisen sovelluksen siltä varalta että sovellus ei lue yhteisestä tallennustilasta suojaamatonta tietoa, mikä kuitenkin voisi olla arkaluonteista. Höhöhöpö.
Esimerkkisi IoS ja WP8 laitteisiin ei käyttäjä voi asentaa kuin virallisesta kaupasta sovelluksia, joissa taasen on monen mielestä liiankin tiukat vaatimukset. Eli alustan rajoitusten lisäksi rajoituksia asettaa kauppapaikka.

Mainituilla alustoilla on mahdollisuus esim päästä yhteisiin valokuviin. se ei ole tieturva-aukko vaan tarkoitus. Millä muuten kohduulla esim valokuvan lähettäisit jos siihen ei sovellus pääsisi.


Jos joku tekee haittaohjelman joka jollain peite toiminnalla käyttäisi vääriin tarkoituksiin esim. noita kuvia siirtäisi vieraalle palvelimella, niin se vuotavi ohjelma olisi se ohjelma (Ei esim kamera), ja saadakseen ohjelma levitykseen devaajan pitäisi saada ohjelma kauppaan ja sieltä vielä kohteiden se asentamaan ja sen lisäki kohteen vielä käyttämään. tämä ei 100% mahdotonta.

Jostain ihmeestä on tullut tuore käsitys nykyään kaikki olisi tuollaista, ja kuvittelevat että johonkin muistikortilla data olisi jotekin suojattu ja salattu. eivät ehkä ole koskaan kameran muistikorttia esim tietokoneella lukeneet.

Tämän uutisen kommentointi ei ole enää mahdollista.

Uutisarkisto