O breşă de securitate poate fi utilizată pentru a permite companiei Facebook să intercepteze şi să citească mesajele criptate care sunt publicate de utilizatorii aplicaţiei de mesagerie instantanee WhatsApp, deţinută de compania americană, informează The Guardian.

Compania Facebook susţine că nimeni nu poate să intercepteze mesajele de pe WhatsApp, nici măcar ea însăşi sau angajaţii ei, asigurând astfel confidenţialitatea celor peste 1 miliard de utilizatori ai acestui serviciu de mesagerie instantanee. Un studiu recent a demonstrat însă faptul că, în realitate, firma americană poate să citească acele mesaje datorită felului în care WhatsApp a implementat protocolul său de criptare totală a datelor.

Apărătorii dreptului la intimitate spun că această vulnerabilitate reprezintă ”o ameninţare uriaşă la adresa libertăţii cuvântului” şi a avertizat că breşa ar putea fi folosită de agenţii guvernamentale pentru a spiona utilizatorii WhatsApp, care trăiesc cu iluzia că mesajele lor sunt ”securizate 100%”.

Aplicaţia WhatsApp a făcut din confidenţialitatea utilizatorilor şi securizarea completă a mesajelor acestora principalul ei atuu de comercializare. În ultimii ani, acest serviciu a devenit mediul preferat de comunicare online folosit de activişti, disidenţi şi diplomaţi.

Criptarea totală a mesajelor publicate pe WhatsApp se bazează pe generarea unor coduri de securitate unice, folosind mult lăudatul protocol Signal, dezvoltat de Open Whisper Systems, care sunt schimbate şi verificate între utilizatori, pentru a garanta faptul că discuţiile sunt securizate şi că nu pot fi interceptate de către terţi.

Totuşi, WhatsApp dispune de abilitatea de a ”forţa” generarea unor noi coduri de criptare pentru utilizatorii offline, necunoscuţi de expeditorii şi destinatarii mesajelor, şi de a-l face pe expeditor să recripteze mesajele cu noi coduri, pentru a le trimite apoi din nou - această breşă e valabilă în cazul acelor mesaje care nu au fost marcate ca fiind expediate.

Destinatarul nu este conştient de această schimbare a criptării, în timp ce expeditorul este doar notificat - dacă a bifat opţiunea de avertizare în cazul unei recriptări - şi doar după ce mesajul a fost reexpediat. Această recriptare şi această retransmitere permit în mod efectiv serviciului WhatsApp să intercepteze şi să citească mesajele utilizatorilor.

Breşa de securitate a fost descoperită de Tobias Boelter, un expert în criptare şi securitate cibernetică din cadrul Universităţii California, Berkeley.

”Dacă reprezentanţii WhatsApp sunt somaţi de agenţiile guvernamentale să dezvăluie înregistrările cu mesajele utilizatorilor, acest serviciu poate într-adevăr să ofere acces, din cauza schimbării codurilor de securitate”, a spus el.

Breşa de securitate nu este însă inerentă protocolului Signal. Aplicaţia de mesagerie instantanee dezvoltată de Open Whisper Systems, Signal, folosită şi recomandată de Edward Snowden, nu este afectată de această vulnerabilitate. Dacă un destinatar îşi schimbă codurile de securitate în timp ce este offline, de exemplu, un mesaj ce i-a fost trimis de un alt utilizator nu va putea să îi parvină, iar expeditorul va fi notificat în legătură cu schimbarea codurilor de criptare, fără ca acel mesaj să fie reexpediat în mod automat.

Modul în care este construită aplicaţia WhatsApp determină reexpedierea automată a unui mesaj rămas nelivrat, folosind o nouă cheie de criptare, fără avertizarea în prealabil a utilizatorului şi fără a-i oferi acestuia posibilitatea de a preveni o astfel de situaţie.

Îngrijorările generate de confidenţialitatea utilizatorilor WhatsApp au fost subliniate de mai multe ori după ce Facebook a achiziţionat acest serviciu în anul 2014 contra sumei de 22 de miliarde de dolari. În august 2015, Facebook a anunţat o modificare a politicii sale de confidenţialitate aplicabilă serviciului WhatsApp, pentru a permite reţelei de socializare să comaseze datele utilizatorilor de WhatsApp cu cele ale utilizatorilor de Facebook, inclusiv numerele de telefon şi tiparele de folosire a aplicaţiei, în scopuri publicitare şi de dezvoltare.

Facebook a oprit însă folosirea datelor partajate în scopuri publicitare în noiembrie, în urma presiunilor făcute de Article 29 Working Party, o agenţie paneuropeană ce militează pentru protejarea datelor confidenţiale ale internauţilor. Comisia Europeană a depus apoi o plângere împotriva Facebook, pentru a preveni furnizarea de informaţii ”înşelătoare” în urma achiziţionării de către reţeaua de socializare a serviciului de mesagerie instantanee WhatsApp, după comasarea datelor utilizatorilor.