Vylepšenie zabezpečenia WhatsAppu: Šifrované zálohy

WhatsApp , spoločnosť vlastnená Facebookom, je mobilná aplikácia, ktorá umožňuje používateľom posielať textové správy, hlasové hovory a zdieľať dokumenty s ostatnými používateľmi WhatsAppu. Možno vás zaujíma, prečo vám táto aplikácia znie povedome, pravdepodobne je to kvôli útoku na Jeffa Bezosa v roku 2018, keď mu bol hacknutý telefón a útočník ukradol osobné údaje v hodnote gigabajtov. To viedlo k zverejneniu inkriminujúcich fotografií Bezosa s milenkou, k veľmi verejnému rozvodu a k oslave Chrisa Rocka na udeľovaní Oscarov , a to všetko kvôli kybernetickému útoku, do ktorého bol zapojený WhatsApp. WhatsApp pracuje na zlepšení svojej reputácie v oblasti bezpečnosti už od útoku na Bezosa v roku 2018.

10. septembra 2021 spoločnosť WhatsApp oznámila , že zavedie podporu pre zálohy chatu šifrované end-to-end v cloude pre používateľov systému Android a iOS, čím vydláždi cestu pre ukladanie informácií, ako sú chatové správy a fotografie, v Apple iCloud alebo Google Drive kryptograficky bezpečným spôsobom. Pri správnej implementácii môže end-to-end šifrovanie zabrániť zamestnancom WhatsAppu v špehovaní jeho používateľov. Za normálnych okolností by to nebol problém, ale keď je do WhatsApp vydané predvolanie, musia ho ak je to možné dodržať. End-to-end šifrovanie bráni aj zamestnancom WhatsAppu v tom, aby zachytili a odovzdali históriu týchto chatových správ úradom.

Predchádzajúca bezpečnostná funkcia

V roku 2016 WhatsApp povolil šifrovanie End-to-End (E2EE) pre osobné správy, hovory, videohovory a médiá medzi odosielateľmi a príjemcami. Problém s týmto riešením E2EE sa týka zálohovaných údajov používateľov v cloude. Pri prenose konverzácií alebo údajov z používateľských zariadení neboli možné rovnaké bezpečnostné opatrenia E2EE, čo znemožňovalo čítanie záloh zamestnancami WhatsAppu, vládnymi agentúrami s predvolaním, samotnými poskytovateľmi cloudových služieb a dokonca aj hackermi v sieťach poskytovateľov cloudových služieb.

Nová funkcia

Voliteľná funkcia bude spustená v septembri 2021, ale bude fungovať iba na primárnych zariadeniach prepojených s používateľským účtom; nie na sprievodných zariadeniach, ako sú stolné počítače alebo notebooky, ktoré jednoducho zrkadlia obsah WhatsAppu na telefónoch. WhatsApp vydal vyhlásenie v informačnej dokumentácii:

„So zavedením záloh šifrovaných od začiatku do konca vytvoril WhatsApp úložisko záložných kľúčov založené na HSM (Hardware Security Module) na bezpečné ukladanie šifrovacích kľúčov pre jednotlivých používateľov pre zálohy používateľov v úložisku odolnom voči neoprávneným zásahom, čím sa zabezpečí silnejšie zabezpečenie histórie správ používateľov.“

Ak sú zálohy šifrované od začiatku do konca, aplikácia pred uložením záloh do cloudu zašifruje správy chatu a všetky údaje správ (textové správy, fotografie, videá atď.) pomocou náhodného kľúča vygenerovaného v zariadení používateľa. Kľúč vygenerovaný zariadením, ktorý šifruje zálohu, je zabezpečený heslom poskytnutým používateľom, ktoré je uložené v trezore, aby sa v prípade krádeže zariadenia dalo ľahko obnoviť.

Používatelia majú alternatívne možnosť poskytnúť 64-miestny šifrovací kľúč namiesto hesla, ale v tomto scenári bude potrebné šifrovací kľúč uložiť manuálne, pretože sa už nebude odosielať do záložného trezoru kľúčov HSM. Keď vlastník účtu potrebuje prístup k svojej zálohe, môže tak urobiť pomocou hesla alebo 64-miestneho kľúča, ktorý sa následne použije na načítanie šifrovacieho kľúča zo záložného trezoru kľúčov a dešifrovanie záloh.

Trezor je geograficky rozptýlený v piatich dátových centrách a je zodpovedný za vynucovanie overenia hesla, ako aj za zneprístupnenie kľúča po určitom počte neúspešných pokusov o prihlásenie, čím sa znižuje pravdepodobnosť útokov hrubou silou.

Čo by ste teraz mali robiť?

Ak ste používateľom WhatsAppu, mali by ste sa vyhýbať používaniu WhatsAppu, kým nebude táto nová funkcia spustená. Po vydaní funkcie CyberHoot odporúča povoliť túto voliteľnú funkciu, aby sa znížila pravdepodobnosť narušenia ochrany osobných údajov.

Dôležité odporúčania pre malé a stredné podniky od CyberHoot

Kým čakáte na vydanie novej bezpečnostnej funkcie E2EE v aplikácii What's App, je nevyhnutné, aby ste implementovali nasledujúce odporúčania spoločnosti CyberHoot: 

• Prijať a Password Manager pre lepšiu hygienu osobných/pracovných hesiel
• Požadovať dvojfaktorová autentizácie na všetky SaaS riešenia a kritické účty
• Vyžadovať heslá s dĺžkou 14 a viac znakov Zásady riadenia a konfigurácie technológií
• Školiť zamestnancov odhaliť a vyhnúť sa e-mailovým Phishing útoky
• Otestujte zamestnancov dokáže odhaliť a vyhnúť sa phishingovým e-mailom
• Zálohujte dáta pomocou 3-2-1 metóda
• Začleniť Princíp najmenších privilégií
• Vykonajte a risk assessment každé dva až tri roky
• Najmite si profesionálneho virtuálneho riaditeľa pre informačnú bezpečnosť (vCISO) poradiť, viesť a budovať váš program kybernetickej bezpečnosti za zlomok nákladov na prenájom FTE.

Zdroje:

Hacker News

Mäta

Ďalšie čítania: 

Jeff Bezos a bezpečnostná chyba WhatsAppu

Ako Facebook podkopáva ochranu súkromia svojich 2 miliárd používateľov WhatsAppu

Zistite, ako môže CyberHoot zabezpečiť vaše podnikanie.

Naplánujte si ukážku