Olimpo Informatico

[Zeus News]

Leggi l'articolo Allarme WhatsApp, messaggi intercettabili? Un momento



 
(Fai clic sull'immagine per visualizzarla ingrandita)
 

Segnala un refuso

[colemar]

link
Spiega Tobias Boelter qui sopra:
"He registers Bob's phone number with the WhatsApp server (by attacking the way to vulnerable GSM network, putting WhatsApp under pressure or by being WhatsApp itself)."
Cioè il punto focale è che la mia app Whatsapp accetta come buona(1) la chiave pubblica proveniente dallo stesso numero di telefono che per me identificava il mio amico, anche se la chiave ADESSO È DIVERSA, e oltretutto NON ME LO FA SAPERE (a meno di attivare l'apposita notifica), e peggio ancora INVIA SUBITO EVENTUALI MESSAGGI CHE ERANO RIMASTI IN SOSPESO.
Effettivamente è necessario accettarla perché il mio amico può avere cambiato o resettato il telefono, e comunque la necessità di accettare una chiave si presenta sempre la prima volta che riceviamo messaggi da una certa persona.
Il problema è che chi mi sta messaggiando potrebbe essere qualcuno che ha trovato il telefono del mio amico e lo ha resettato (perché aveva la password), o ha trovato solo la SIM, oppure ancora ha trovato la Twin Card(2) che il mio amico ha dimenticato in giro.
Sarebbe consigliabile avere attivato la apposita notifica. Questa dice "Il codice di sicurezza di Mario Rossi è cambiato. Tocca per maggiori informazioni", e di qui si arriva all'opzione VERIFICA che a sua volta visualizza il FINGERPRINT della chiave in formato numerico e in formato QR Code. Il fingerprint andrebbe comparato col fingerprint che il mio amico visualizza sulla sua app, di conseguenza DOVREI INCONTRARE DI PERSONA il mio amico, altrimenti questo discorso non ha più senso. Questo vale anche la PRIMA VOLTA CHE RICEVO MESSAGGI DAL MIO AMICO, se voglio essere sicuro che i messaggi che invierò arriveranno proprio al telefono di costui.

Tuttavia il problemone è che nel caso ci siano messaggi in sospeso essi vengono inviati all'eventuale impostore prima che io abbia il tempo di validare la chiave!!!
Questo è il vero punto focale della questione, e mi dispiace notare che nessuna testata giornalistica (nemmeno quelle più tecniche) lo ha centrato.

Per finire vorrei far notare che è molto più probabile essere impallinati perché l'amico ha dimenticato in giro il cell senza password piuttosto che per questo caso particolare.

(1) Chiave "buona" nel senso che viene ritenuta appartenere al mio vero amico.
(2) Twin Card è una SIM secondaria che ha lo stesso numero di quella principale. Si può ad esempio usarla nel tablet per avere la connessione internet senza dover estrarre la principale dallo smartphone. In caso di chiamata entrante questa viene sempre diretta sulla SIM principale (master) anziché sulla SIM secondaria (slave), a meno che la master sia offline. Ma le chiamate uscenti dalla slave saranno comunque caratterizzate con lo stesso numero di telefono assegnato alla master.

[ziomik]

Sinceramente non capisco tutta questa fissa per questo IM.
Se si fa una ricerca su ZeusNews, non passa mese che non si vede una "notizia".
A me e credo anche a molti altri non frega un cappero di questo "software spia commerciale". Su via.. Bastaaaa... che avete aperto un contratto con Facebook & C.? Vi pagano per tutta questa propaganda?

[Il Castiglio]

[Gladiator]

Direi che sono d'accordo con colemar la vera scelta sbagliata o, se vogliamo, fortemente opinabile è quella di inviare comunque i messaggi in mancanza di specifica autorizzazione da parte dell'utente nel caso in cui quest'ultimo abbia deciso di attivare la segnalazione da parte dell'app del cambio di chiave da parte del corrispondente (ma anche qui sono evidentemente state fatte valutazioni di opportunità a favore di una estrema semplificazione per l'utente finale).

[Gladiator]

[Danielix]

[Gladiator]

@Danielix

Sì, si chiama Telegram, ma non volevo apparire troppo fanboy...