Слежка за WhatsApp и Signal через привязку устройств

Функция, которая делает мессенджеры удобнее, оказалась удобной и для тех, кто хочет читать чужую переписку. Современные приложения позволяют привязать телефонный аккаунт к компьютеру: WhatsApp Web и Signal Desktop дают пользоваться учётной записью с ноутбука или настольного ПК. Именно этот механизм и используют для слежки.

По данным издания Netzpolitik, Таможенное ведомство Германии подключает к аккаунту подозреваемого компьютер, находящийся под контролем полиции. Как только связь установлена, сообщения начинают доставляться и на этот компьютер — взламывать защищающее переписку шифрование при этом не нужно вовсе. Сквозное шифрование остаётся нетронутым: следствие просто становится ещё одним «легальным» получателем.

Как получают доступ

Способов подключить чужой аккаунт несколько. Первый — физический доступ к телефону: достаточно на короткое время завладеть устройством. Остальные строятся на перехвате кода подтверждения — либо через санкционированную государством фишинговую атаку, либо через перехват SMS в рамках телефонного наблюдения.

Здесь важна деталь, на которую обращает внимание Брюс Шнайер: подключение нового устройства требует согласия пользователя. Иными словами, атака работает не в обход защитных механизмов приложения, а через них — обманом или принуждением заставляя владельца (или сам его телефон) одобрить привязку.

Что могло бы помочь

Логичная защита, о которой пишет Шнайер, — функция, показывающая список подключённых устройств, чтобы пользователь заметил появление нового. Как отмечают в комментариях к записи, и Signal, и WhatsApp такую возможность уже имеют: это полный перечень связанных устройств с отметкой о времени последней активности и кнопкой отвязки. Вопрос, скорее, в том, заглядывает ли туда рядовой пользователь, — ведь именно бдительность владельца остаётся последним рубежом, когда шифрование само по себе взламывать не приходится.

Источник: Schneier on Security