WhatsApp grupları takip altında

Yaklaşık iki yıl önce uygulamaya uçtan uca şifreleme özelliği getiren WhatsApp, dijital iletişim mahremiyeti kavramında çıtayı önemli ölçüde yükseltmişti.

ÇarÅŸamba günü Zürih’te gerçekleÅŸen Real World Crypto Güvenlik Konferansı’na katılan Ruhr Ãœniversitesi’nden bir grup araÅŸtırmacı, aralarında WhatsApp, Signal ve Threema gibi uygulamaların da bulunduÄŸu bir dizi kriptolu mesajlaÅŸma uygulamasında tespit ettikleri güvenlik açıklarını paylaÅŸtı. Signal ve Threema’da bulunan açıklar nispeten zararsız olsa da araÅŸtırmacılar WhatsApp’ın güvenliÄŸinde çok daha önemli boÅŸluklar tespit etti. Ekip, WhatsApp sunucularını kontrol eden herhangi birinin, grup yöneticisine bile fark ettirmeden gruba yeni kiÅŸiler ekleyebileceÄŸini söylüyor.

Bu durum araÅŸtırmanın makalesinde, “Davetsiz üye grubun bütün yeni mesajlarına eriÅŸim imkanı bulup okuduÄŸunda grubun gizliliÄŸi ortadan kalkıyor. Hem grup konuÅŸmalarında hem de ikili konuÅŸmalarda uçtan uca ÅŸifreleme olması, konuÅŸmaya yeni bir üye eklemenin yasak olması anlamına gelmeli. EÄŸer öyle deÄŸilse kriptolamanın pek de bir anlamı yok gibi duruyor.” ÅŸeklinde ifade ediliyor.

Saldırgan gönderilen mesajları kontrol edebiliyor
Alman araştırmacılar, tespit edilen WhatsApp açığının basit bir hatadan kaynaklandığını söylüyor. Normalde sadece WhatsApp grubunun yöneticisi olan kişi gruba yeni üyeler ekleyebilir fakat açık yüzünden sunucu, yöneticiye hiç fark ettirmeden gruba yeni üyeler ekleyebiliyor. Böylece gizlice eklenen kişi gruptaki bütün katılımcıların telefon numarası ve mesajlarına erişim imkanı buluyor.

Normalde WhatsApp grubuna yeni bir üye katıldığında gruptaki herkese bildirim gider. Eğer grup yöneticisi grubu yakından takip ediyorsa grubu katılan davetsiz misafirle ve sahte davet mesajıyla ilgili uyarabilir. Fakat Ruhr Üniversitesi araştırmacıları ve Kriptografi Profesörü Matthew Green, saldırganın fark edilmesini geciktirmenin birkaç hilesi olduğunu söylüyor. WhatsApp sunucusunun kontrolünü elinde tutan bir saldırgan gruba girdiğinde, kişi sunucuyu gruptaki herhangi bir mesajı engelleyecek şekilde de kullanabilir. Örneğin gruba yeni gelen kişiyle ilgili sorulan soruları veya uyarıları devre dışı bırakabilir.

AraÅŸtırmacı Paul Rösler, “Saldırgan bütün mesajları kontrol ederek hangi mesajın kime gönderileceÄŸini veya gönderilmeyeceÄŸini kontrol edebilir. Birden fazla yönetici bulunan gruplarda ele geçirilen sunucu, her bir yöneticiye farklı sahte mesajlar gönderilecek ÅŸekilde kontrol edilebilir. Bu da yöneticilerin gruba yeni dahil olan saldırganın baÅŸka bir yönetici tarafından eklendiÄŸini düşünmelerine sebep olabilir.” diyor.

Konuyla ilgili daha detaylı bilgi edinmek isteyenler için; Ruhr Ãœniversitesi araÅŸtırmacılarının yayımladığı makale.

Kaynak: Dünya Halleri