Melhoria de segurança do WhatsApp: backups criptografados

O WhatsApp , empresa pertencente ao Facebook, é um aplicativo móvel que permite aos usuários enviar mensagens de texto, fazer chamadas de voz e compartilhar documentos com outros usuários do WhatsApp. Você pode estar se perguntando por que o aplicativo parece familiar; provavelmente, isso se deve ao ataque cibernético sofrido por Jeff Bezos em 2018, quando seu telefone foi invadido e o invasor roubou gigabytes de dados pessoais. Isso levou à divulgação pública de fotos comprometedoras de Bezos com sua amante, um divórcio bastante público e uma crítica mordaz de Chris Rock no Oscar , tudo por causa de um ataque cibernético envolvendo o WhatsApp. Desde o ataque de 2018, o WhatsApp tem trabalhado para melhorar sua reputação em relação à segurança.

Em 10 de setembro de 2021, o WhatsApp anunciou que implementaria suporte para backups de conversas com criptografia de ponta a ponta na nuvem para usuários de Android e iOS, abrindo caminho para o armazenamento de informações como mensagens de bate-papo e fotos no iCloud da Apple ou no Google Drive de forma criptograficamente segura. Quando implementada corretamente, a criptografia de ponta a ponta pode impedir que funcionários do WhatsApp espionem seus usuários. Normalmente, isso não seria um problema, mas quando uma intimação é emitida para o WhatsApp, eles devem cumpri-la, se possível. A criptografia de ponta a ponta impede que até mesmo os funcionários do WhatsApp consigam capturar e entregar esses históricos de mensagens de bate-papo às autoridades.

Recurso de segurança anterior

Em 2016 , o WhatsApp habilitou a criptografia de ponta a ponta (E2EE) para mensagens pessoais, chamadas, videochamadas e mídias entre remetentes e destinatários. O problema com essa solução E2EE está relacionado aos dados de backup dos usuários na nuvem. Ao transferir conversas ou dados de dispositivos dos usuários, as mesmas proteções de segurança E2EE não eram possíveis, tornando os backups legíveis para funcionários do WhatsApp, agências governamentais mediante intimação, os próprios provedores de nuvem e até mesmo hackers dentro das redes dos provedores de nuvem.

O novo recurso

O recurso opcional será lançado em setembro de 2021, mas funcionará apenas nos dispositivos principais vinculados à conta do usuário; não em dispositivos complementares, como desktops ou laptops, que simplesmente espelham o conteúdo do WhatsApp nos celulares. O WhatsApp fez uma declaração em um whitepaper:

“Com a introdução de backups criptografados de ponta a ponta, o WhatsApp criou um Backup Key Vault baseado em HSM (Módulo de Segurança de Hardware) para armazenar com segurança chaves de criptografia por usuário para backups de usuários em um armazenamento à prova de violação, garantindo assim maior segurança do histórico de mensagens dos usuários.”

Com backups criptografados de ponta a ponta habilitados, antes de armazená-los na nuvem, o aplicativo criptografa as mensagens de bate-papo e todos os dados de mensagens (textos, fotos, vídeos, etc.) usando uma chave aleatória gerada no dispositivo do usuário. A chave gerada pelo dispositivo que criptografa o backup é protegida por uma senha fornecida pelo usuário, que é armazenada no cofre para permitir fácil recuperação em caso de roubo do dispositivo.

Como alternativa, os usuários têm a opção de fornecer uma chave de criptografia de 64 dígitos em vez de uma senha, mas, neste cenário, a chave de criptografia terá que ser armazenada manualmente, visto que não será mais enviada para o Cofre de Chaves de Backup do HSM. Quando um proprietário de conta precisa acessar seu backup, isso pode ser feito com a ajuda da senha ou da chave de 64 dígitos, que, posteriormente, é usada para recuperar a chave de criptografia do cofre de chaves de backup e descriptografar seus backups.

O cofre está geograficamente distribuído por cinco centros de dados e é responsável por impor a verificação de senha, bem como tornar a chave inacessível após um determinado número de tentativas de login malsucedidas, reduzindo a probabilidade de ataques de força bruta.

O que você deve fazer agora?

Se você usa o WhatsApp, evite usá-lo até que este novo recurso seja lançado. Após o lançamento, a CyberHoot recomenda ativar este recurso opcional para reduzir a probabilidade de violação de privacidade de dados.

Recomendações cruciais para PMEs da CyberHoot

Enquanto você espera o lançamento do novo recurso de segurança E2EE do WhatsApp, é essencial que você implemente as seguintes recomendações do CyberHoot: 

• Adote um gerenciador de senhas para melhor higiene de senhas pessoais/de trabalho
• Exigir autenticação de dois fatores em todos Soluções SaaS e contas críticas
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança e configurações de tecnologia
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Teste que os funcionários pode identificar e evitar e-mails de phishing
• Dados de backup usando o Método 3-2-1
• Incorpore o Princípio do Menor Privilégio
• Realizar uma avaliação de risco a cada dois a três anos
• Contrate um Diretor de Segurança da Informação virtual profissional (vCISO) para aconselhar, orientar e desenvolver seu programa de segurança cibernética por uma fração do custo de contratação de um FTE.

Fontes:

Hacker News

hortelã

Leituras adicionais: 

Jeff Bezos e a falha de segurança do WhatsApp

Como o Facebook enfraquece a proteção de privacidade de seus 2 bilhões de usuários do WhatsApp

Descubra como o CyberHoot pode proteger seu negócio.

Agende uma demonstração