WhatsApp xuất hiện lỗ hổng bảo mật cho phép tin tặc theo dõi nhóm chat đã được mã hóa

Nhóm chuyên gia bảo mật ở Đức đã phát hiện ra lỗ hổng cho phép bất cứ ai kiểm soát được máy chủ WhatsApp/Signal có thể lén lút thêm một người dùng vào trong nhóm chat bí mật, họ có thể theo dõi cuộc trao đổi trong nhóm, thậm chí không cần phải có quyền quản trị.

Tính năng mã hóa đầu cuối đóng một vai trò quan trọng trong việc đảm bảo các dịch vụ nhắn tin. Mục đích chính của việc mã hóa đầu cuối là việc ngừng tin cậy những máy chủ trung gian theo cách mà không ai, thậm chí là công ty hoặc máy chủ truyền dữ liệu có thể giải mã tin nhắn của bạn hoặc lợi dụng vị trí trung gian để can thiệp vào dữ liệu của bạn. Điều đó có nghĩa rằng, không một ai có thể nghe trộm hoặc đọc được dữ liệu liên lạc được mã hóa đầu cuối của bạn.

Đầu năm 2016, Facebook tự hào tuyên bố bổ sung tính năng mã hóa đầu – cuối cho các dịch vụ nhắn tin của họ, bao gồm cả WhatsApp, nhằm giúp người dùng an tâm hơn về khả năng bảo mật các cuộc trò chuyện cá nhân. Theo quảng cáo về tính năng mới, ngay cả WhatsApp cũng không thể đọc hay truy nhập vào các thông điệp/tin nhắn bằng chữ, hình ảnh hay video của người dùng. Và khi người dùng muốn, các cuộc trò chuyện của họ sẽ bị xóa bỏ hoàn toàn và không còn lưu trữ trên bất kỳ máy chủ nào.

Đáng buồn thay, một trong những dịch vụ tin nhắn mã hóa đầu cuối nổi tiếng nhất hiện nay là WhatsApp, Threema và Signal lại có những lỗ hổng zero day trong hệ thống dẫn tới việc tính năng mã hóa đầu cuối không còn được đảm bảo theo đúng nghĩa của nó.

Nhóm chuyên gia bảo mật tại Ruhr-Universität Bochum -Đức đã phát hiện ra lỗ hổng cho phép bất cứ ai kiểm soát được máy chủ WhatsApp/Signal có thể lén lút thêm một người dùng vào trong nhóm chat bí mật, cho phép họ có thể theo dõi cuộc trao đổi trong nhóm, thậm chí không cần phải có quyền quản trị.

Nhóm chuyên gia cho biết trong giao tiếp theo cặp (khi chỉ có hai người giao tiếp với nhau) máy chủ đóng một vai trò hạn chế nhưng trong trường hợp trò chuyện nhiều người (chat nhóm, nơi các tin nhắn được mã hóa rồi chuyển đến rất nhiều người dùng) vai trò của máy chủ tăng lên đáng kể để quản lý toàn bộ quá trình. Vấn đề bắt đầu phát sinh từ đây khi người dùng buộc tin tưởng máy chủ công ty trong việc quản lý nhóm người (người có toàn bộ quyền để truy cập vào cuộc trò chuyện nhóm) và hành động của họ.

Như trong bản mô tả được công bố của nhóm chuyên gia bảo mật cho biết cả Signal và WhatsApp không chứng thực đúng cách ai đang thêm thành viên mới của nhóm và có thể cho một người không được phép hoặc không phải là quản trị viên của nhóm thậm chí là một thành viên của nhóm để thêm một người vào cuộc trò chuyện nhóm. Có thể bạn đang tự hỏi rằng việc thêm một thành viên mới vào nhóm sẽ hiện thị một thông báo trực quan cho các thành viên khác nhưng điều đó đã không xảy ra. Một quản trị viên có mục đích hoặc nhân viên có quyền truy cập vào máy chủ có thể thao tác (hoặc chặn) các tin nhắn quản lý nhóm mà có nghĩa vụ phải cảnh báo cho các thành viên của nhóm chat biết.

WhatsApp đã thừa nhận vấn đề này, nhưng lập luận rằng nếu có bất kỳ thành viên mới nào được thêm vào nhóm thì tất cả các thành viên của nhóm sẽ đều được thông báo. Nhưng nếu bạn không thuộc nhóm có nhiều thành viên thì chắc chắn nhiều người sẽ bỏ qua các thông báo này một cách dễ dàng.