Petr Škuta Banyak kerentanan terungkap pada konferensi keamanan Black Hat yang sedang berlangsung. Diantaranya adalah bug pada aplikasi WhatsApp yang memungkinkan penyerang mengubah isi pesan.
Lubang di WhatsApp dapat dieksploitasi dengan tiga cara yang mungkin. Yang paling menarik adalah ketika Anda mengubah isi pesan yang Anda kirimkan. Hasilnya, teks yang sebenarnya tidak Anda tulis akan ditampilkan.
Bisa jadi Anda minati
Ada dua pilihan:
- Penyerang dapat menggunakan fitur "balas" dalam obrolan grup untuk mengacaukan identitas pengirim pesan. Padahal orang yang dimaksud sama sekali tidak ada dalam grup chat.
- Selanjutnya, ia dapat mengganti teks kutipan dengan konten apa pun. Dengan demikian, pesan aslinya dapat ditimpa sepenuhnya.
Dalam kasus pertama, mudah untuk mengubah teks yang dikutip agar terlihat seperti Anda yang menulisnya. Dalam kasus kedua, Anda tidak mengubah identitas pengirim, tetapi cukup mengedit kolom dengan pesan yang dikutip. Teks dapat ditulis ulang sepenuhnya dan pesan baru akan dilihat oleh semua peserta obrolan.
Video berikut menunjukkan semuanya secara grafis:
Pakar Check Point juga menemukan cara untuk menggabungkan pesan publik dan pribadi. Namun, Facebook berhasil memperbaikinya pada pembaruan WhatsApp. Sebaliknya, serangan yang dijelaskan di atas tidak diperbaiki dengan a mungkin bahkan tidak bisa memperbaikinya. Pada saat yang sama, kerentanannya telah diketahui selama bertahun-tahun.
Kesalahan ini sulit diperbaiki karena enkripsi
Seluruh masalahnya terletak pada enkripsi. WhatsApp mengandalkan enkripsi antara kedua penggunanya. Kerentanannya kemudian menggunakan obrolan grup, di mana Anda sudah dapat melihat pesan yang didekripsi di depan Anda. Tapi Facebook tidak bisa melihat Anda, jadi pada dasarnya Facebook tidak bisa melakukan intervensi.
Para ahli menggunakan WhatsApp versi web untuk mensimulasikan serangan tersebut. Ini memungkinkan Anda memasangkan komputer (browser web) menggunakan kode QR yang Anda muat ke ponsel cerdas Anda.
Setelah kunci pribadi dan publik ditautkan, kode QR yang menyertakan parameter "rahasia" dibuat dan dikirim dari aplikasi seluler ke klien web WhatsApp. Saat pengguna memindai kode QR, penyerang dapat memanfaatkan momen tersebut dan mencegat komunikasi.
Setelah penyerang memiliki rincian tentang seseorang, obrolan grup, termasuk ID unik, ia dapat, misalnya, mengubah identitas pesan terkirim atau mengubah kontennya sepenuhnya. Peserta obrolan lain bisa dengan mudah tertipu.
Ada sangat sedikit risiko yang terlibat dalam percakapan normal antara dua pihak. Namun semakin besar perbincangannya, semakin sulit untuk menavigasi berita dan semakin mudah berita palsu terlihat seperti berita asli. Jadi ada baiknya untuk berhati-hati.
Bisa jadi Anda minati
David Hanak Zdroj: 9to5Mac
