Phát Hiện Lỗ Hổng Trên WhatsApp Cho Phép Hacker Theo Dõi Nhóm Chat Đã Được Mã Hóa

Tính đến tháng 01/2018, tính năng mã hóa đầu cuối đóng một vai trò quan trọng trong việc đảm bảo các dịch vụ nhắn tin, với mục đích chính là ngừng tin cậy những máy chủ trung gian, không ai, thậm chí là công ty hoặc máy chủ truyền dữ liệu, có thể giải mã tin nhắn của người dùng, hoặc lợi dụng vị trí trung gian để can thiệp vào dữ liệu. Điều đó có nghĩa rằng, không một ai có thể nghe trộm hoặc đọc được dữ liệu liên lạc được mã hóa đầu cuối.

Tuy nhiên, những dịch vụ tin nhắn mã hóa đầu cuối nổi tiếng nhất hiện nay, bao gồm WhatsApp, Threema và Signal bị phát hiện có những lỗ hổng zero day trong hệ thống dẫn tới việc tính năng mã hóa đầu cuối không còn được đảm bảo theo đúng nghĩa của nó. Nhóm bảo mật tại Ruhr-Universität Bochum -Đức đã phát hiện ra lỗ hổng, cho phép bất cứ ai cũng có kiểm soát được máy chủ WhatsApp/Signal, có thể lén lút thêm một người dùng vào trong nhóm chat bí mật, để có thể theo dõi cuộc trao đổi trong nhóm, thậm chí không cần phải có quyền quản trị.

Theo nhóm chuyên gia, trong giao tiếp theo cặp, khi chỉ có hai người giao tiếp với nhau, máy chủ đóng một vai trò hạn chế, nhưng trong trường hợp trò chuyện nhiều người, vai trò của máy chủ tăng lên đáng kể để quản lý toàn bộ quá trình. Vấn đề bắt đầu phát sinh khi người dùng buộc phải tin tưởng máy chủ công ty trong việc quản lý nhóm người và hành động của họ.

Theo bản mô tả được công bố của nhóm chuyên gia bảo mật, cả Signal và WhatsApp không chứng thực đúng cách ai đang thêm thành viên mới của nhóm, và có thể để cho một người không được phép hoặc không phải là quản trị viên của nhóm, thậm chí là một thành viên của nhóm để thêm một người vào cuộc trò chuyện nhóm. Một quản trị viên có mục đích xây dựng, hoặc nhân viên có quyền truy cập vào máy chủ có thể thao tác, hoặc chặn, các tin nhắn quản lý nhóm mà có nghĩa vụ phải cảnh báo cho các thành viên của nhóm chat biết.

WhatsApp đã thừa nhận vấn đề, nhưng lập luận rằng nếu có bất kỳ thành viên mới nào được thêm vào nhóm, tất cả các thành viên của nhóm sẽ đều được thông báo. Dù vậy, nếu thuộc nhóm có nhiều thành viên, chắc chắn nhiều người sẽ bỏ qua các thông báo một cách dễ dàng.

Các chuyên gia bảo mật khuyên các công ty khắc phục vấn đề bằng cách bổ sung thêm một cơ chế xác thực, để đảm bảo rằng các thông điểm quản lý nhóm được cho phép chỉ đến từ quản trị viên của nhóm. Tuy nhiên, người dùng không cần quá lo lắng, vì cuộc tấn công sẽ không dễ dàng để thực hiện.