Miglioramento della sicurezza di WhatsApp: backup crittografati

WhatsApp , un'azienda di proprietà di Facebook, è un'applicazione mobile che consente agli utenti di inviare messaggi di testo, effettuare chiamate vocali e condividere documenti con altri utenti WhatsApp. Forse vi chiederete perché il nome dell'app vi suoni familiare: probabilmente è a causa dell'attacco informatico subito da Jeff Bezos nel 2018, quando il suo telefono fu hackerato e l'aggressore rubò gigabyte di dati personali. Questo portò alla diffusione pubblica di foto compromettenti di Bezos con la sua amante, a un divorzio molto pubblicizzato e a una presa in giro agli Oscar da parte di Chris Rock , tutto a causa di un attacco informatico che coinvolse WhatsApp. Da allora, WhatsApp si è impegnata a migliorare la propria reputazione in termini di sicurezza.

Il 10 settembre 2021, WhatsApp ha annunciato l'introduzione del supporto per il backup delle chat con crittografia end-to-end sul cloud per gli utenti Android e iOS, aprendo la strada all'archiviazione di informazioni come messaggi di chat e foto su Apple iCloud o Google Drive in modo crittograficamente sicuro. Se implementata correttamente, la crittografia end-to-end può impedire ai dipendenti di WhatsApp di spiare gli utenti. Normalmente, questo non sarebbe un problema, ma quando WhatsApp riceve un mandato di comparizione, è tenuta a ottemperarvi, se possibile. La crittografia end-to-end impedisce persino ai dipendenti di WhatsApp di intercettare e consegnare alle autorità le cronologie delle chat.

Funzionalità di sicurezza precedente

Nel 2016 , WhatsApp ha attivato la crittografia end-to-end (E2EE) per messaggi privati, chiamate, videochiamate e contenuti multimediali tra mittenti e destinatari. Il problema di questa soluzione E2EE riguarda i backup dei dati degli utenti nel cloud. Durante il trasferimento di conversazioni o dati dai dispositivi degli utenti, le stesse protezioni di sicurezza E2EE non erano applicabili, rendendo i backup leggibili dal personale di WhatsApp, dalle agenzie governative con un mandato di comparizione, dagli stessi provider di servizi cloud e persino dagli hacker all'interno delle reti dei provider di servizi cloud.

La nuova funzionalità

La funzionalità opzionale sarà disponibile a settembre 2021, ma funzionerà solo sui dispositivi principali associati all'account dell'utente; non su dispositivi complementari come computer desktop o laptop che semplicemente replicano il contenuto di WhatsApp sui telefoni. WhatsApp ha rilasciato una dichiarazione in un white paper:

Con l'introduzione dei backup crittografati end-to-end, WhatsApp ha creato un Backup Key Vault basato su HSM (Hardware Security Module) per archiviare in modo sicuro le chiavi di crittografia per utente per i backup degli utenti in un archivio a prova di manomissione, garantendo così una maggiore sicurezza della cronologia dei messaggi degli utenti.

Abilitando i backup crittografati end-to-end, prima di archiviarli nel cloud, l'applicazione crittografa i messaggi di chat e tutti i dati di messaggistica (testi, foto, video, ecc.) utilizzando una chiave casuale generata sul dispositivo dell'utente. La chiave generata dal dispositivo che crittografa il backup è protetta da una password fornita dall'utente, che viene archiviata nel vault per consentirne un facile recupero in caso di furto del dispositivo.

In alternativa, gli utenti hanno la possibilità di fornire una chiave di crittografia a 64 cifre anziché una password, ma in questo caso la chiave di crittografia dovrà essere memorizzata manualmente, poiché non verrà più inviata all'HSM Backup Key Vault. Quando il proprietario di un account necessita di accedere al proprio backup, può farlo utilizzando la password o la chiave di crittografia a 64 cifre, che, successivamente, viene utilizzata per recuperare la chiave di crittografia dall'HSM Backup Key Vault e decrittografare i backup.

Il sistema di archiviazione è distribuito geograficamente in cinque data center ed è responsabile dell'applicazione della verifica della password, nonché della disabilitazione della chiave dopo un determinato numero di tentativi di accesso non riusciti, riducendo così la probabilità di attacchi di forza bruta.

Cosa dovresti fare adesso?

Se utilizzi WhatsApp, ti consigliamo di evitarlo finché questa nuova funzionalità non verrà implementata. Una volta rilasciata, CyberHoot consiglia di abilitare questa funzione opzionale per ridurre il rischio di violazione della privacy dei dati.

Raccomandazioni cruciali per le PMI da CyberHoot

Mentre aspetti il rilascio della nuova funzionalità di sicurezza E2EE di WhatsApp, è fondamentale implementare i seguenti consigli di CyberHoot: 

• Adotta un gestore di password per una migliore igiene delle password personali/di lavoro
• Richiedere autenticazione a due fattori su tutto Soluzioni SaaS e resoconti critici
• Richiedi password di 14+ caratteri nel tuo Politiche di governance e configurazioni tecnologiche
• Formare i dipendenti per individuare ed evitare email basate phishing attacchi
• Verificare che i dipendenti può individuare ed evitare le email di phishing
• Eseguire il backup dei dati utilizzando il Metodo 3-2-1
• Incorporare il Principio del minimo privilegio
• Eseguire un valutazione del rischio ogni due o tre anni
• Assumi un Chief Information Security Officer virtuale professionista (vCISO) per consigliare, guidare e sviluppare il tuo programma di sicurezza informatica a una frazione del costo dell'assunzione di un FTE.

Fonti:

Hacker News

Menta

Letture aggiuntive: 

Jeff Bezos e la falla di sicurezza di WhatsApp

Come Facebook mina la protezione della privacy dei suoi 2 miliardi di utenti WhatsApp

Scopri come CyberHoot può proteggere la tua attività.

Programma una demo