WhatsApp: Forscher entdecken Hintertür [Update]

Update vom 14. Januar
In einem Blog-Eintrag bestreiten die für das verschlüsselte WhatsApp-Protokoll verantwortlichen Open Whisper Systems, dass es sich bei den Fundstücken des Security-Forschers Boelter um eine Hintertür handelt.

Original-Artikel vom 13. Januar
Sicherheits-Forscher haben eine Hintertür in der populären Nachrichten-Applikation WhatsApp entdeckt, die es Facebook ermöglichen würde, beliebige Nachrichten und Gruppen-Konversationen mitzulesen. Dies berichtet der englische Guardian und erläutert das Problem, das Facebooks Versprechen eine Ende-zu-Ende-Verschlüsselung ad absurdum führt.

So sei WhatsApp in der Lage die Crypto-Keys, die für den Austausch verschlüsselter Nachrichten benötigt werden, nach belieben neu zu generieren. Mit einer Einschränkung. Die Anwender müssen dazu vorübergehend offline sein.

[…] WhatsApp hat jedoch die Möglichkeit, die Erzeugung neuer Crypto-Keys für Offline-Benutzer zu erzwingen. Ohne das Wissen von Absender und Empfänger können ungelesene Nachrichten so erneut verschlüsselt und abermals verschickt werden. Der Empfänger wird von der Änderung der Verschlüsselung nicht benachrichtigt, während der Absender nur darüber benachrichtigt wird, dass die Einstellungen für die Verschlüsselungswarnungen modifiziert wurden – und dies auch erst, nachdem die Nachrichten erneut gesendet wurden. Diese Neu-Verschlüsselung und der Neu-Versand ermöglicht WhatsApp Abhören und Lesen der Nachrichten ihrer Nutzer […]

Die Hintertür wurde von dem Security-Experten Tobias Boelter entdeckt, der als Wissenschaftler an der University of California forscht. Boelter erklärt: „Sollten Strafverfolgungsbehörden an WhatsApp herantreten und die Freigabe von Nachrichten erbitten, kann WhatsApp durch den Tausch der Crypto-Schlüssel einen effektiven Zugang auf die Korrespondenz gewähren.“

Facebook ignoriert Warnung

Bereits im April 2016 sei Boelter mit seinen Erkenntnissen an Facebook herangetreten. Das Unternehmen soll jedoch erklärt haben, dass es sich bei der gefundenen Schwachstelle um ein „erwartetes Verhalten“ der App handeln würde. Für das soziale Netzwerk war die Angelegenheit damit vom Tisch. Bei WhatsApp selbst verweist man auf die Verschlüsselungswarnungen in der Applikation, die den Anwendern ein ausreichendes Indiz geben sollten…