Flex étrange mais ok : WhatsApp moins menacé par une vulnérabilité récemment découverte que Signal

admin0

[ad_1]

Les applications de messagerie instantanée populaires peuvent exposer l’emplacement de l’utilisateur, rapporte un groupe de défense de la confidentialité numérique Restaurer la confidentialité.
Une équipe de chercheurs a découvert que WhatsApp, signal, et Threema possède une vulnérabilité qui peut être exploitée par les cybercriminels pour déterminer l’emplacement d’un utilisateur avec une précision de plus de 80 %.

Les notifications d’état de livraison peuvent indiquer votre position

Les personnes mal intentionnées peuvent mener ce qu’on appelle une attaque temporelle dans laquelle un adversaire essaie de déduire l’emplacement d’un utilisateur en mesurant le temps qu’il faut pour que son message soit livré. Ils s’appuient sur l’état de livraison du message pour cet élément d’information critique.

Cela peut bien fonctionner car les réseaux Internet et l’infrastructure du serveur d’applications de messagerie ont des caractéristiques physiques spécifiques qui conduisent à des voies de signal standard. Par conséquent, les notifications d’état de livraison ont des retards prévisibles en fonction de l’emplacement d’un utilisateur.

Un attaquant peut mesurer ces délais pour déterminer le pays, la ville ou le district d’un destinataire et peut même savoir s’il utilise le Wi-Fi ou l’Internet mobile.

Pour des emplacements plus précis, un attaquant peut effectuer cet exercice plusieurs fois et préparer un ensemble de données pour déterminer l’emplacement parmi un ensemble de différents endroits possibles tels que la maison, le bureau et la salle de sport de la victime.

Pour que cette attaque fonctionne, l’attaquant et la cible doivent se connaître et avoir déjà engagé une conversation au préalable.

WhatsApp est utilisé par 2 milliards de personnes dans le monde et bien que Signal et Threema aient une base d’utilisateurs plus petite, avec 40 millions et 10 millions d’utilisateurs, respectivement, ils se présentent comme des applications axées sur la confidentialité, sûres et sécurisées, donc ces résultats sont plus alarmant pour les utilisateurs de ces deux applications.

En fait, Signal et Threema semblent plus sensibles à ces attaques dans le sens où l’attaque temporelle peut être utilisée pour déduire l’emplacement des utilisateurs de Signal avec une précision de 82 % et des utilisateurs de Threema avec une précision de 80 %. Pour WhatsApp, ce nombre s’élève à 74 % et bien que cela soit également inquiétant, nous nous serions attendus à ce que l’écart soit plus important.

Le rapport semble impliquer que les utilisateurs d’iOS et d’Android sont également vulnérables.

Comment déjouer l’attaque temporelle

Les chercheurs ont découvert que l’attaque ne fonctionnera probablement pas avec les appareils qui sont inactifs lorsqu’un message est reçu. Ils ont donc proposé que les développeurs affichent des délais de confirmation de livraison aléatoires aux expéditeurs. Si le minutage est décalé de 1 à 20 secondes, cela rendrait l’attaque de minutage inutile sans affecter l’utilité pratique des notifications de livraison.

Les utilisateurs soucieux de la confidentialité de leur emplacement peuvent essayer de désactiver la fonction de notification de livraison, si elle est prise en charge par l’application de leur choix. De plus, en supposant que l’application n’est pas configurée pour contourner un VPN (réseau privé virtuel), les utilisateurs peuvent utiliser un VPN pour augmenter la latence ou le retard.

RestorePrivacy a contacté le créateur des applications en question et a obtenu la réponse suivante de Threema :

Nous avons déjà envisagé différentes solutions de contournement et effectué divers tests, y compris ceux où le client retarde légèrement les notifications de livraison de manière aléatoire pour rendre ces types d’analyses temporelles inutiles. (Les mises à jour de l’application contenant cette amélioration devraient bientôt être disponibles.)

Notez toutefois que l’exploitabilité pratique de ces analyses temporelles est discutable : les utilisateurs n’ont généralement pas leur application de messagerie ouverte en permanence, et les notifications push qui réveillent l’application en arrière-plan ajoutent déjà un délai considérable pouvant aller jusqu’à plusieurs secondes.

[ad_2]

Source link -12