Ще в 2017 році WhatsApp отримав механізм двофакторної аутентифікації, покликаний забезпечити додатковий рівень безпеки для мільйонів користувачів месенджера. Однак, як виявилося недавно, в реалізації цього механізму є серйозний недолік.
Згідно з повідомленнями користувачів Twitter, WhatsApp зберігає коди безпеки для двофакторної аутентифікації в незашифрованому вигляді (на iOS-пристроях в /var/mobile/Containers/Data/Application/Whatsapp/Library, на Android-пристроях в /data/data/app/com.whatsapp/shared_prefs/com.whatsapp_preferences.xml).
Текстовий файл з кодом зберігається в пісочниці, тому інші програми не можуть отримати до нього доступ. До того ж, файл не зберігається в звичайних резервних копіях WhatsApp. З іншого боку, коди видно на Android-пристроях, чиї власники мають на них права суперкористувача. Тобто, у додатків з привілеями суперкористувача є доступ до файлу з кодом. В iOS також можуть бути уразливості, що дозволяють стороннім додаткам отримувати доступ до файлу, тому розробникам WhatsApp варто зашифрувати його, щоб уникнути можливих негативних наслідків.
A user has recently discovered that WhatsApp stores the 2FA passcode in plain text in a file in their sandbox.
Being into the sandbox, no other apps can read that file, but there are some cases (in particular the second one) that should force to encrypt the 2FA Code. https://t.co/nmrNSGkKSU
— WABetaInfo (@WABetaInfo) March 22, 2020
Також радимо звернути увагу на поради, про які писав Cybercalm, а саме:
-
ФІШИНГ ТА СПАМ: ЯК РОЗПІЗНАТИ ІНТЕРНЕТ-ШАХРАЙСТВА, ПОВ’ЯЗАНІ З COVID-19?
-
АПГРЕЙД ВАШОГО КОМП’ЮТЕРА: 5 КОМПЛЕКТУЮЧИХ, ЯКІ ВАРТО ОНОВИТИ В ПЕРШУ ЧЕРГУ
-
-
ЧИМ ЗАГРОЖУЄ ВАМ СОЦІАЛЬНА ІНЖЕНЕРІЯ ТА ЯК НЕ СТАТИ ЖЕРТВОЮ “СОЦІАЛЬНОГО ХАКЕРА”?
-
Нагадаємо, використовуючи реквізити платіжних карток громадян інших держав, зловмисник купував товари в Інтернет-магазинах. Далі продавав їх у соціальних мережах українцям.
Окрім цього, прогалини в безпеці знайдені в продуктах Amazon, Apple, Google, Samsung, Raspberry, Xiaomi, а також точках доступу від Asus і Huawei.
До речі, рекламні агенції, що надавали послуги з розміщення реклами, в тому числі на сайтах онлайн-кінотеатрів, своєю діяльністю забезпечували функціонування ресурсів з піратським контентом.
Також довгий час більшість користувачів вважали, що загроз для Linux значно менше, ніж для Windows чи macOS. Однак останнім часом комп’ютерні системи та додатки на базі цієї операційної системи все частіше стають об’єктами атак кіберзлочинців.
