Seguretat al WhatsApp
WhatsApp és una aplicació de xat per a mòbils que s’ha fet molt famosa. La gran diferència amb els altres programes de xat, és que no cal introduir cap codi d’usuari ni contrasenya. El WhatsApp utilitza el propi número de telèfon del mòbil com a codi d’usuari. Així de senzill.
Ara bé el problema és com està segur el servidor de xat del WhatsApp que el número de telèfon és el que toca? Es pot canviar? Es poden connectar des d’un altre mòbil utilitzant el meu número de telèfon i fer-se passar per mi?
A S21Sec han demostrat que això és possible utilitzant una còpia manipulada del WhatsApp. El protocol de seguretat del WhatsApp es base en enviar un SMS.
Per comprovar si el nombre introduït és correcte, l’aplicació de WhatsApp genera un token alfanumèric i construeix un SMS de la forma “WhatsApp [Codi] WhatsApp internal use – safe to discard” i l’envia al número que l’usuari li ha introduït. Si efectivament és el mateix nombre, l’SMS anirà fins al centre de missatges de l’operador corresponent i aquest tornarà al terminal. En aquest moment l’aplicació de WhatsApp rep el SMS i comprova que el Token rebut és el mateix que l’enviat. Si això és així, això vol dir que el nombre introduït per l’usuari és el correcte, i per tant, envia una connexió a WhatsApp registrant l’usuari, assignant-li una contraseña.
Ahora ve la pregunta: Com que tot aquest procés es realitza en el programari instal lat en el nostre terminal mòbil, i com a amos d’aquest tenim total control sobre el programari que instal … ¿Podríem modificar el programari de WhatsApp perquè simplement acceptés qualsevol número que li introduïm com a vàlid?
