Galería

WhatsApp : facilmente hackeable??

Las pruebas realizadas por Heise Security han confirmado (una vez más) que los mensajes de texto enviados por WhatsApp son fácilmente obtenibles utilizando herramientas de distribución libre. Cualquier persona que utilice WhatsApp en Wi-Fi público corre el riesgo de que sus datos sean obtenidos y que su cuenta sea utilizada para enviar y recibir mensajes. Una vez robada, no hay manera de restaurar la seguridad de la cuenta y los atacantes podrían seguir utilizándola.

Durante la semana pasada la falta de seguridad en la autenticación de WhatsApp ha sido comprobanda. Los investigadores han descubierto que el cliente utiliza una contraseña generada internamente para iniciar sesión en el servidor, esta contraseña se genera en dispositivos Android a partir del número de serie del dispositivo (IMEI) y en los dispositivos iOS con la dirección MAC del Wi-Fi. El problema es que esa información no es secreta.

Hacer sniffing de estos datos es fácil cuando se trata de dispositivos que ejecutan iOS porque la dirección MAC es visible para cualquiera dentro del alcance de la red Wi-Fi. Si se trata de un Wi-Fi público, se puede determinar el número de teléfono del usuario desde los paquetes de datos transmitidos por WhatsApp.

En las pruebas, Heise Security descubrió que, con la ayuda de WhatsAPI, basado en PHP, es posible asumir el control de la cuenta de usuario WhatsApp tanto desde Android como desde iOS . Todo lo que los atacantes deben hacer es introducir el número de teléfono y la dirección MAC o IMEI en un script y son capaces de enviar cualquier mensaje desde la cuenta comprometida. El remitente es reportado como el número de teléfono del usuario comprometido.

También hay indicios de que WhatsApp pudo haber sido igualmente laxo en el diseño del algoritmo que utiliza para generar las claves de cifrado de sus mensajes. Un anónimo dice que al menos para la versión de iOS, la clave se puede determinar fácilmente.

Para utilizar WhatsApp tras instalarlo no es necesario registrarse ni seguir complicados procesos de autentificación. La aplicación registra automáticamente al usuario, generando un nombre y contraseña únicos, que comunica a los servidores de WhatsApp al inicio de cada sesión.

El nombre de usuario no es más que el número de teléfono y la clave es el MD5 invertido (puesto al revés) del IMEI del teléfono.

Sabiendo esto, es relativamente fácil conseguir acceso al API de los servidores de WhatsApp para ver los mensajes intercambiados por la víctima, si tenemos acceso físico a su móvil (hay que marcar *#06# para ver el IMEI). A partir de ahí, generar su MD5 e invertirlo es cosa de niños.

Este ataque puede ser explotado por aplicaciones maliciosas, que perfectamente pueden obtener el IMEI y número de teléfono y enviarlo silenciosamente a un servidor remoto.

 

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s