WhatsApp-Sicherheitsverbesserung: Verschlüsselte Backups

WhatsApp , ein Unternehmen von Facebook, ist eine mobile Anwendung, mit der Nutzer Textnachrichten und Sprachanrufe versenden sowie Dokumente mit anderen WhatsApp-Nutzern teilen können. Die App kommt Ihnen vielleicht bekannt vor? Das liegt wahrscheinlich am Hackerangriff auf Jeff Bezos im Jahr 2018, bei dem sein Telefon gehackt und Gigabytes an persönlichen Daten gestohlen wurden. Dies führte zur Veröffentlichung kompromittierender Fotos von Bezos mit seiner Geliebten, einer öffentlichkeitswirksamen Scheidung und einer Parodie bei den Oscars durch Chris Rock – alles aufgrund eines Cyberangriffs, bei dem WhatsApp eine Rolle spielte. Seit dem Bezos-Angriff 2018 arbeitet WhatsApp daran, seinen Ruf in puncto Sicherheit zu verbessern.

Am 10. September 2021 kündigte WhatsApp an , die Unterstützung für Ende-zu-Ende -verschlüsselte Chat-Backups in der Cloud für Android- und iOS-Nutzer einzuführen. Damit wird der Weg geebnet, Informationen wie Chat-Nachrichten und Fotos kryptografisch sicher in Apple iCloud oder Google Drive zu speichern . Bei korrekter Implementierung kann die Ende-zu-Ende-Verschlüsselung verhindern, dass WhatsApp-Mitarbeiter die Nutzer ausspionieren. Normalerweise wäre dies kein Problem, doch wenn WhatsApp eine Vorladung erhält, muss das Unternehmen dieser nachkommen, sofern es dazu in der Lage ist. Die Ende-zu-Ende-Verschlüsselung verhindert, dass selbst WhatsApp-Mitarbeiter diese Chatverläufe erfassen und an die Behörden weitergeben können.

Vorherige Sicherheitsfunktion

Bereits 2016 führte WhatsApp die Ende-zu-Ende- Verschlüsselung (E2EE) für persönliche Nachrichten, Anrufe, Videochats und Medien zwischen Sender und Empfänger ein. Das Problem dieser E2EE-Lösung betrifft die in der Cloud gespeicherten Backup-Daten der Nutzer. Beim Übertragen von Konversationen oder Daten von Nutzergeräten war der gleiche E2EE-Sicherheitsschutz nicht gewährleistet. Dadurch konnten die Backups von WhatsApp-Mitarbeitern, Regierungsbehörden mit richterlicher Anordnung, den Cloud-Anbietern selbst und sogar von Hackern innerhalb der Cloud-Netzwerke eingesehen werden.

Die neue Funktion

Die optionale Funktion wird im September 2021 eingeführt, funktioniert aber nur auf den primären Geräten, die mit dem Konto eines Nutzers verknüpft sind; nicht auf Begleitgeräten wie Desktops oder Laptops, die lediglich die Inhalte von WhatsApp auf den Smartphones spiegeln. WhatsApp äußerte sich in einem Whitepaper dazu:

„Mit der Einführung von Ende-zu-Ende-verschlüsselten Backups hat WhatsApp einen auf HSM (Hardware Security Module) basierenden Backup Key Vault erstellt, um benutzerspezifische Verschlüsselungsschlüssel für Benutzer-Backups sicher in einem manipulationssicheren Speicher aufzubewahren und so eine stärkere Sicherheit des Nachrichtenverlaufs der Benutzer zu gewährleisten.“

Bei aktivierter Ende-zu-Ende-Verschlüsselung verschlüsselt die Anwendung vor der Speicherung in der Cloud die Chatnachrichten und alle Nachrichtendaten (Texte, Fotos, Videos usw.) mit einem zufälligen Schlüssel, der auf dem Gerät des Nutzers generiert wird. Der vom Gerät generierte Schlüssel zur Verschlüsselung des Backups ist mit einem vom Nutzer vergebenen Passwort gesichert, das im Tresor gespeichert wird, um im Falle eines Gerätediebstahls eine einfache Wiederherstellung zu ermöglichen.

Alternativ können Benutzer anstelle eines Passworts einen 64-stelligen Verschlüsselungsschlüssel angeben. In diesem Fall muss der Verschlüsselungsschlüssel jedoch manuell gespeichert werden, da er nicht mehr an den HSM-Backup-Schlüsseltresor gesendet wird. Benötigt ein Kontoinhaber Zugriff auf sein Backup, kann er dies mithilfe des Passworts oder des 64-stelligen Schlüssels tun. Dieser dient anschließend dazu, den Verschlüsselungsschlüssel aus dem Backup-Schlüsseltresor abzurufen und die Backups zu entschlüsseln.

Der Tresor ist geografisch über fünf Rechenzentren verteilt und ist für die Durchsetzung der Passwortverifizierung sowie für die Unzugänglichkeit des Schlüssels nach einer festgelegten Anzahl erfolgloser Anmeldeversuche verantwortlich; dadurch wird die Wahrscheinlichkeit von Brute-Force-Angriffen verringert.

Was sollten Sie jetzt tun?

Wenn Sie WhatsApp nutzen, sollten Sie die Nutzung von WhatsApp vermeiden, bis diese neue Funktion eingeführt ist. Sobald die Funktion verfügbar ist, empfiehlt CyberHoot, diese optionale Funktion zu aktivieren, um das Risiko von Datenschutzverletzungen zu verringern.

Wichtige Empfehlungen für KMUs von CyberHoot

Während Sie auf die Veröffentlichung der neuen E2EE-Sicherheitsfunktion von WhatsApp warten, ist es wichtig, dass Sie die folgenden Empfehlungen von CyberHoot umsetzen: 

• Adoptiere a Password Manager für eine bessere persönliche/berufliche Passworthygiene
• Erfordern Zwei-Faktor-Authentifizierung auf allen SaaS-Lösungen und kritische Berichte
• Erfordert Passwörter mit mindestens 14 Zeichen in Ihrem Governance-Richtlinien und Technologiekonfigurationen
• Mitarbeiter schulen E-Mail-basierte Phishing Attacken
• Testen Sie, ob die Mitarbeiter kann Phishing-E-Mails erkennen und vermeiden
• Sichern Sie Daten mit dem 3-2-1-Methode
• Integrieren Sie die Prinzip des geringsten Privilegs
• Führen Sie eine Risikobewertung alle zwei bis drei Jahre
• Stellen Sie einen professionellen virtuellen Chief Information Security Officer ein (vCISO), um Ihr Cybersicherheitsprogramm zu einem Bruchteil der Kosten zu beraten, zu leiten und aufzubauen, die für die Einstellung einer Vollzeitkraft anfallen würden.

Quellen:

Hacker News

Minze

Zusätzliche Lektüre: 

Jeff Bezos und die Sicherheitslücke bei WhatsApp

Wie Facebook den Datenschutz für seine 2 Milliarden WhatsApp-Nutzer untergräbt

Finden Sie heraus, wie CyberHoot Ihr Unternehmen schützen kann.

Buchen Sie eine Demo