— один из самых популярных мессенджеров в мире, он и его пользователи постоянно подвержены множественным атакам и угрозам. Даже несмотря на то, что разработчики ввели шифрование, нужно придерживаться некоторых правил и советов, чтобы не стать жертвами мошенников и других жуликов.
1. Используйте веб-версию более эффективно
Веб-версия WhatsApp позволяет удобнее читать и отправлять сообщения вашим коллегам, друзьям и родственникам. Все что вам для этого потребуется — прочитать QR-код с помощью вашего телефона. После этого все сообщения станут доступны на компьютере через браузер.
Когда вы покидаете компьютер, не забывайте разорвать соединение, чтобы никто не смог прочесть ваши личные сообщения на компьютере после того, как вы уйдете. Это особенно важно, если вы подключались на чужом компьютере.
Разорвать соединения можно прямо с телефона в разделе WhatsApp Web.
2. Используйте двухфакторную авторизацию
Этот дополнительный элемент — пин-код, который надо будет вводить после активации устройства и программы WhatsApp на нем.
3. Запретите доступ посторонних к вашей аватарке
Чтобы посторонние люди не могли видеть вашу аватарку, установите соответствующую опцию в настройках программы.
Достаточно разрешить контактам видеть ваше фото, а чужаки не смогут это сделать.
4. Скройте фото и видео в галерее
Одной из самых назойливых функций WhatsApp является то, что если вам кто-то прислал фото или видео, они тут же попадают к вам в галерею.
Чтобы этого избежать и случайно не выдать секретов друзей, которые могут прислать вам что-то личное, то с помощью простого файлового менеджера создайте в папке медиафайлов WhatsApp файл с именем .nomedia и перезагрузите свое устройство. После этого фото не будут попадать в Галерею.
5. Запретите доступ к WhatsApp с помощью стороннего приложения
Если в вашей переписке есть очень важные вещи, которые ни в коем разе не должны попасть в чужие руки и которые надо скрыть, то можно заблокировать доступ к приложению с помощью сторонней программы.
В этом случае для доступа к приложению потребуется введение пин-кода. Реализовать такую возможность можно с помощью приложения AppLock .
6. Деактивируйте аккаунт, если потеряли телефон или его украли
Если вдруг вы случайно потеряли телефон или его украли, то незамедлительно напишите в службу поддержки и попросите деактивировать свою учетную запись.
Для этого напишите в поддержку WhatsApp сообщение, указав в теме письма Lost/Stolen: Please deactivate my account и номер своего телефона.
7. Остерегайтесь мошеннических сообщений
WhatsApp настолько популярен, что достаточно часто приходят сообщения от незнакомцев, которые что-то пытаются выманить у своих жертв. Не стоит отвечать на сообщения от незнакомых людей — они могут представляться теми, кем на самом деле не являются. От этого можете пострадать не только вы, но и другие люди.
Open Whisper Systems разработчик мессенджера Signal и одноименного протокола безопасной связи, который используется в том числе и в WhatsApp. В своем блоге наличие уязвимости в WhatsApp и объяснила недавнее , особенностью реализации протокола Signal, а именно механизма проверки подлинности участников переписки.
WhatsApp как и все системы на основе протокола Signal использует асимметричное шифрование (открытый и закрытый ключ) для защиты переписки. Данное шифрование работает следующим образом:
- На Вашем устройстве генерируются открытый и закрытый ключ. С помощью открытого ключа возможно зашифровать сообщение, но расшифровать сообщение может только обладатель закрытого ключа.
- Ваш открытый ключ через сервер WhatApp распространяется всем вашим контактам, аналогично вы получаете открытые ключи всех ваших контактов. Закрытый ключ остается только на вашем устройстве.
- Таким образом человек с которым Вы переписываетесь, зашифровывает сообщение предназначенное Вам вашим открытым ключом, расшифровать его можете только Вы, потому что закрытый ключ есть только на вашем устройстве.
Атака человек посередине (man-in-the-midle)
- При использовании End-To-End шифрования важно убедиться, что ваши контакты обладают верными открытыми ключами (полученными именно от Вас), в противном случае никто не мешает злоумышленнику представиться вами, снабдить вашего собеседника своим открытым ключом, получать сообщения предназначенные для Вас и пересылать их вам пользуясь Вашим открытым ключом. Такая атака называется человек посередине (man-in-the-midle).
- Чтобы исключить возможность проведения такой атаки против вас, необходимо удостовериться, что контакт с которым вы переписываетесь использует именно ваш открытый ключ для шифрования сообщений, а вы в свою очередь используете открытый ключ вашего собеседника.
Как сверить ключи безопасности WhatsApp
Для выполнения такой проверки в WhatApp предусмотрен механизм сверки ключей на основе QR кода.При личной встрече с вашим собеседником, откройте его профиль в WhatsApp и выберите раздел Шифрование , для сверки открытых ключей отсканируйте QR код вашего собеседника, а он тем временем отсканирует Ваш. К сожалению, такую сверку придется выполнять с каждым контактом.
| Фото: secretvpn.net |
Как получать уведомления безопасности WhatsApp
Чтобы получать уведомления безопасности, в частности о том, что секретный код вашего собеседника изменился.- Откройте WhatsApp и нажмите на Настройки .
- Нажмите на Аккаунт и выберите Безопасность .
- Здесь вы можете включить уведомления безопасности, выбрав Показывать уведомления безопасности .
Это повод прекратить общение и еще раз сверить ключи при личной встрече, возможно кто-то из Вас сменил телефон или Вас пытаются прослушать.
Шифрование для всех пользователей
WhatsApp, дочерняя компания Facebook, включила сквозное шифрование сообщений для всех пользователей своего мессенджера, сообщило издание Wired. Шифрование касается любых данных, будь то текстовые сообщения, изображения, видео, аудио или голосовые звонки, — и работает, в том числе, в групповых чатах.
WhatsApp — самый популярный мессенджер в мире, в котором появилось сквозное шифрование. В мессенджере Telegram Павла Дурова такая функция присутствовала изначально. Активная аудитория Telegram составляет около 100 млн пользователей, тогда как у WhatsApp — около 1 млрд. Единственный сервис, позволяющий обмениваться сообщениями, в котором количество пользователей превышает 1 млрд, это соцсеть Facebook, аудитория которой равна 1,5 млрд человек.
Сквозное шифрование
Сквозное шифрование (end-to-end encryption) подразумевает, что сообщение находится в зашифрованном виде на всем пути следования от отправителя к получателю. Ключ, с помощью которого сообщение можно расшифровать, находится только у адресата. Компания WhatsApp им не владеет, то есть она не сможет передать его властям, даже если они будут на этом настаивать.
Поэтапное внедрение технологии
Шифрование в WhatsApp появлялось поэтапно. В 2014 г. компания оснастила сквозным шифрованием приложение для Android. Таким образом, с 2014 г. пользователи уже обменивались зашифрованными сообщениями, но только в рамках одной платформы.
Сквозное шифрование стало доступно всем пользователям WhatsApp
Теперь же оно стало доступно владельцам устройств на платформах iOS, Windows Phone, Nokia S40, Nokia S60, BlackBerry OS и BlackBerry 10. Для того чтобы воспользоваться новой возможностью, необходимо установить последнюю версию приложения WhatsApp.
Проверка подлинности
Пользователям WhatsApp, установившим последнюю версию клиента, будет доступна опция проверки подлинности собеседника. Для этого нужно будет сравнить цифровой код на своем экране и код на экране собеседника либо позволить собеседнику с помощью камеры на мобильном устройстве считать QR-код с экрана инициирующего соединение пользователя. После этого в чате возникнет пометка, что соединение полностью зашифровано.
WhatsApp стал самым крупным мессенджером со сквозным шифрованием
Используемый протокол
Партером WhatsApp по внедрению новой возможности стала компания Open Whisper Systems, разработчик мобильного приложения Signal — любимого мессенджера Эдварда Сноудена (Edward Snowden), который в 2013 г. передал журналистам большое количество секретных документов, раскрывающих зачастую незаконную деятельность Агентства национальной безопасности США, в котором он работал системным администратором.
Шифрование в Signal — а теперь и в WhatsApp — базируется на протоколе Signal Protocol. Это асинхронный протокол с открытым исходным кодом. Он, в свою очередь, был создан на основе протокола Off-the-Record (OTR) Messaging Protocol. Одно из ключевых свойств OTR — и, как следствие, Signal Protocol, заключается в так называемой «прямой секретности» (forward secrecy), которая еще называется «совершенной прямой секретностью» (perfect forward secrecy).
В отличие, например, от популярного протокола шифрования электронной почты PGP, в котором сообщения шифруются снова и снова одним и тем же публичным ключом, в прямой секретности используются новые ключи для каждой сессии. Поэтому, если некто годами записывает зашифрованный трафик в надежде однажды декодировать его, в случае с прямой секретностью он обречен на провал.
За последнее время WhatsApp стал одним из самых популярных мессенджеров не только в России, но и по всему миру. С помощью него удобно вести переписки, передавать данные, осуществлять звонки. И конечно же любой пользователь хочет быть уверенным, что его звонки никто не сможет прослушать, переписку прочитать, а файлы будут доступны только ему и собеседнику. Именно поэтому не стоит упускать из внимания такой параметр, как безопасность .
Уровень безопасности в WhatsApp. Защищенность информации
Прежде всего безопасность — это конфиденциальность, доступность и целостность информации . Компания-разработчик должна давать уверенность своим пользователям в том, что все эти три параметра безопасности функционируют на должном уровне.
В плане безопасности WhatsApp имеет очень богатую историю. Несколько лет назад выяснилось, что изначально, когда приложение только вышло в релиз, безопасность Ватсап осуществлялась всего лишь за счет хеширования пароля с помощью алгоритма MD5. Т.е. взломщик почти не прилагая никаких усилий мог с легкостью заполучить пароль пользователя . Исправить свою репутацию разработчики решили сотрудничеством с криптографической фирмой Open Whisper Systems.
В настоящее время Ватсап использует безопасную технологию шифрования данных, так называемое сквозное шифрование. Для тех, кто не знает, что это такое, попробуем объяснить на простых словах.
Представим, что существует два пользователя Дима и Коля. И у Димы и у Коли генерируется
по два ключа. Первый ключ (открытый) предназначен для зашифровки сообщений
, а второй (закрытый) для обратного процесса — расшифровки. Соответственно открытый ключ находится в открытом доступе, то есть его может просмотреть абсолютно любой
пользователь, но вот расшифровать сможет только обладатель закрытого ключа. Таким образом, сгенерировав по паре ключей, Дима и Коля начинают защищенное общение, так как ключ для расшифровки есть только у автора послания и его получателя.
Однако, несмотря на то, что безопасность в Ватсап осуществляется за счет сквозного шифрования , WhatsApp безопасность находится не совсем на должном уровне. К примеру, Ватсап не защищен от Dos-атак , но немного в своеобразной форме. Разработчики WhatsApp ограничили размер сообщения 6600 символами. Но если сообщение будет содержать 4400 смайлов , работа приложения Вотсап из-за переполнения буфера аварийно завершится. Единственный способ избавиться от данной проблемы на данный момент — удалить переписку с таким отправителем. Следует отметить, что WhatsApp безопасность на iOS пошатнуть подобной атакой невозможно .
Значительно недавно 15.03.2017 г. стало известно о такой уязвимости, используя которую злоумышленники могли захватить полную власть над аккаунтом пользоваться через WhatsApp Web. Так как Ватсап
позволяет отправлять различные типы данных, вредоносный код маскировался под обычную картинку, нажав
на которую атакующий получает доступ к контенту
пользователя. Эта уязвимость была актуальна не только для WhatsApp, но и для Telegram. Новое обновление помогло устранить подобный баг.
Еще один интересный факт. Как выяснил специалист компании iOS по информационной безопасности стертую историю чатов можно восстановить, так как Ватсап не до конца удаляет историю. Связано это с тем, что мессенджер использует базу данных (БД) SQLite для хранения переписок. И когда пользователь пытается удалить выбранные сообщения, они не удаляются , а перемещаются в так называемый free list. Т.е. Ватсап в дальнейшем перезаписывает поверх этих сообщений новые. Но особенность в том, что некоторые сообщения могут ждать своей очереди ни один месяц, чтобы до конца исчезнуть.
Более осторожными необходимо быть пользователям iOS. WhatsApp безопасность несет для них дополнительные риски. Если пользователь платформы iOS создает бекап переписок на Ватсап , то БД SQLite сохраняет незашифрованную историю сообщений на серверы Apple. Специалист по информационной безопасности iOS рекомендует периодически удалять Вотсап с устройства с целью обнуления БД, а также по возможности не пользоваться бекапами icloud.
Также известна еще одна уязвимость. Ватсап может сгенерировать новые пары ключей, если пользователь продолжительное время не был онлайн и при этом не предупредить об случившемся участников переписки. Это значит, что если абонент отправит сообщение пользователю, который давно не был онлайн, либо удалил приложение с телефона, то послание может потеряться, т.е. не дойти до конечного получателя.
Но наполовину этот недочет всё же можно исправить.
Так почему же эта опция исправляет ситуацию лишь наполовину? Дело в том, что Ватсап не поддерживает повторную отправку сообщений, но может предупредить отправителя о том , что ключ шифрования обновился.
Пароль на WhatsApp
Иногда приходиться скрывать свои переписки от посторонних глаз. Нижеописанный способ конечно не спасет ваши данные от профессиональных хакеров, но от тех к кому может попасть в руки ваш телефон вполне возможно.
Приложение ChatLock позволяет поставить пароль на любой мессенджер, в том числе и Ватсап.
Теперь после каждой попытки входа в WhatApp система будет спрашивать у пользователя пароль. При неудачной попытки, вход не совершится.
Подведя итоги, нельзя утверждать, что безопасность в Ватсап осуществляется на должном уровне . Как и любой другой мессенджер WatsApp имеет свои недостатки. Но зная, какие именно есть уязвимости в приложении, можно уберечь себя от многих неприятных ситуаций .
Четыре совета, которым необходимо следовать всем, кто опасается утечки личных данных.
Но прежде чем вы начали распространять через WhatsApp свои планы по свержению мирового капитализма, учтите, что перехват сообщений по время их передачи – всего лишь один из способов следить за вами, причем довольно маловероятный. От шифровки самой по себе не много толку, если вы также не следуете приведенным ниже правилам.
Вы не сохраняете сообщения в телефоне
Если вы действительно хотите, чтобы ваши сообщения никто кроме вас не прочитал, удаляйте их сразу после прочтения. Если кто-то завладеет вашим телефоном (украдет, например) и сможет разблокировать его – что совсем недавно удалось ФБР с iPhone стрелка из Сан-Бернардино – он получит доступ ко всему, что хранится в памяти. Некоторые мессенджеры, например , имеют функцию «самоуничтожения», при активации которой сообщения автоматически удаляются через заданный промежуток времени. В WhatsApp такой функции пока нет. (С другой стороны, в Telegram оконечное шифрование не работает по умолчанию, нужно его включать специально.)
Вы не сохраняете сообщения в облако
WhatsApp не сохраняет вашу переписку на своих серверах. Но, к примеру, на можно сохранять резервную копию сообщений на iCloud, облачном сервисе . Как только информация попадает на облако, ее может перехватить правительство.
Signal – это приложение, популярное среди сторонников неприкосновенности личной переписки. В нем используется та же технология шифрования, что и в WhatsApp, а резервного копирования в облако не происходит.
Way to go WhatsApp, but I"m not ready to give up Signal. I fear that many of my WhatsApp friends have enabled unencrypted cloud backups.
Christopher Soghoian (@csoghoian) 5 апреля 2016 г.
Отличная работа, WhatsApp, но я пока не готов отказаться от Signal. Подозреваю, что у многих моих друзей в WhatsApp включена копирование в облако.
Кристофер Согойан (@csoghoian)
И, надеемся, не стоит говорить отдельно, что съемка скриншота с сообщениями, которые вы удалили, тоже подвергает вас риску, если включено резервное копирование фотографий или вы потеряете телефон.
Никто не смотрит на ваш экран
Если кто-то может увидеть экран вашего телефона с перепиской, то шифровать его бессмысленно. К тому же, учитывая быстрое распространение телефонов с мощными камерами, единственный способ полностью от этого обезопаситься – уйти со всех возможных линий обзора и исключить нахождение рядом любых отражающих поверхностей , включая очки и, возможно, даже сами глаза. Так что, пожалуй, лучше всего вести переписку в комнате без окон, прижавшись спиной к стене.
