Forbedring av WhatsApp-sikkerhet: Krypterte sikkerhetskopier

21. september 2021 | Blogg, Sticky

WhatsApp , et Facebook-eid selskap, er en mobilapplikasjon som lar brukere sende tekstmeldinger, taleanrop og dele dokumenter med andre WhatsApp-brukere. Du lurer kanskje på hvorfor appen høres kjent ut, det er sannsynligvis på grunn av Jeff Bezos-angrepet i 2018, der telefonen hans ble hacket og angriperen stjal personopplysninger verdt GB. Dette førte til at belastende bilder ble offentliggjort av Bezos med elskerinnen sin, en svært offentlig skilsmisse og en Oscar-suksess med Chris Rock , alt på grunn av et cyberangrep som involverte WhatsApp. WhatsApp har jobbet med å forbedre sitt sikkerhetsrelaterte omdømme helt siden Bezos-angrepet i 2018.

10. september 2021 annonserte WhatsApp at de vil rulle ut støtte for ende-til-ende- krypterte sikkerhetskopier av chat i skyen for Android- og iOS-brukere. Dette baner vei for lagring av informasjon som chatmeldinger og bilder i Apple iCloud eller Google Drive på en kryptografisk sikker måte. Når den implementeres riktig, kan ende-til-ende-kryptering forhindre WhatsApp-ansatte i å snike på brukerne. Normalt ville ikke dette være et problem, men når en stevning utstedes til WhatsApp, må de overholde kravene hvis de kan. Ende-til-ende-kryptering forhindrer selv WhatsApp-ansatte i å kunne fange opp og overlevere disse chatmeldingsloggene til myndighetene.

Forrige sikkerhetsfunksjon

I 2016 aktiverte WhatsApp ende-til-ende -kryptering (E2EE) for personlige meldinger, samtaler, videochatter og media mellom avsendere og mottakere. Problemet med denne E2EE-løsningen er knyttet til brukernes sikkerhetskopierte data i skyen. Ved overføring av samtaler eller data fra brukerenheter var ikke de samme E2EE-sikkerhetsbeskyttelsene mulige, noe som gjorde sikkerhetskopier lesbare for WhatsApp-ansatte, offentlige etater med stevning, skyleverandørene selv og til og med hackere i skyleverandørnettverk.

Den nye funksjonen

Den valgfrie funksjonen vil bli lansert i september 2021, men vil bare fungere på de primære enhetene som er knyttet til en brukers konto; ikke tilhørende enheter som stasjonære eller bærbare datamaskiner som bare speiler innholdet i WhatsApp på telefonene. WhatsApp kom med en uttalelse i en hvitbok:

«Med introduksjonen av ende-til-ende-krypterte sikkerhetskopier har WhatsApp laget et HSM-basert (Hardware Security Module) sikkerhetskopieringsnøkkelhvelv for å lagre krypteringsnøkler per bruker for sikkerhetskopier sikkert i manipulasjonssikker lagring, og dermed sikre sterkere sikkerhet for brukernes meldingshistorikk.»

Med ende-til-ende-krypterte sikkerhetskopier aktivert, krypterer applikasjonen chatmeldingene og alle meldingsdata (tekstmeldinger, bilder, videoer osv.) før sikkerhetskopier lagres i skyen ved hjelp av en tilfeldig nøkkel generert på brukerens enhet. Den enhetsgenererte nøkkelen som krypterer sikkerhetskopien er sikret med et brukeroppgitt passord, som lagres i hvelvet for å muliggjøre enkel gjenoppretting dersom enheten blir stjålet.

Alternativt har brukere muligheten til å oppgi en 64-sifret krypteringsnøkkel i stedet for et passord, men i dette scenariet må krypteringsnøkkelen lagres manuelt, siden den ikke lenger sendes til HSM Backup Key Vault. Når en kontoeier trenger tilgang til sikkerhetskopien sin, kan det gjøres ved hjelp av passordet eller den 64-sifrede nøkkelen, som deretter brukes til å hente krypteringsnøkkelen fra backup-nøkkelhvelvet og dekryptere sikkerhetskopiene.

Hvelvet er geografisk spredt over fem datasentre og er ansvarlig for å håndheve passordverifisering samt gjøre nøkkelen utilgjengelig etter et visst antall mislykkede påloggingsforsøk. Dette reduserer sannsynligheten for brute-force-angrep.

Hva bør du gjøre nå?

Hvis du er WhatsApp-bruker, bør du unngå å bruke WhatsApp inntil denne nye funksjonen er rullet ut. Når funksjonen er lansert, anbefaler CyberHoot at du aktiverer denne valgfrie funksjonen for å redusere sannsynligheten for brudd på personvernregler.

Viktige anbefalinger for små og mellomstore bedrifter fra CyberHoot

Mens du venter på at den nye sikkerhetsfunksjonen for WhatsApp E2EE skal lanseres, er det viktig at du implementerer følgende CyberHoot-anbefalinger:

Vedta en Password Manager for bedre personlig/arbeidsmessig passordhygiene
Krev tofaktorautentisering på alle SaaS-løsninger og kritiske kontoer
Krev passord på 14+ tegn i ditt Styringspolitikk og teknologikonfigurasjoner
Tren ansatte å oppdage og unngå e-postbaserte phishing angrep
Test de ansatte kan oppdage og unngå phishing-e-poster
Sikkerhetskopier data ved hjelp av 3-2-1 metode
Innlemme Prinsippet om minst privilegium
Utfør en risikovurdering hvert annet til tredje år
Ansett en profesjonell virtuell IT-sikkerhetssjef (vCISO) for å gi råd, veilede og bygge opp ditt cybersikkerhetsprogram til en brøkdel av kostnaden ved å ansette en heltidsansatt.