Do. 16. März 2017 um 13:13

WhatsApp und Telegram: Schwerwiegende Sicherheitslücke trotz End-To-End-Verschlüsselung

von Marcel Laser1 Kommentare

Um uns vor unbefugten Zugriffen und Mitlesenden in WhatsApp zu schützen, hat der Dienst vor einiger Zeit eine sogenannte End-To-End-Veschlüsselung implementiert. Nachrichten werden also mit einem einzigartigen Code verschlüsselt und diese können nur vom empfangenden Gerät gelesen werden, für die die Nachricht auch gedacht ist. Allerdings hat eine schwerwiegende Sicherheitslücke in WhatsApp dazu geführt, dass das System umgangen werden konnte.

Lücke bestand Monate, betraf nur den Webclient und wurde wieder geschlossen

Gefunden wurde die Sicherheitslücke von der Sicherheitsfirma Check Point. Der Angriff erfolgt über ein durch WhatsApp Web verschicktes Bild, welches durch das Anklicken HTML-Schadcode auf dem betroffenen Gerät ausführt. Nutzt man also den Webclient im Browser von WhatsApp, kann der Angriff dazu führen, dass Nachrichten mitgelesen oder auch unter falschem Namen versendet werden können. Auch weitere Bilder können dann verschickt werden, die wiederum Zugriff auf die Konten anderer verschaffen. Das Aushebeln der von WhatsApp implementierten Verschlüsselung war also gar nicht notwendig, denn diese wurde einfach schlichtweg übergangen.

 

Interessant und kurios ist zudem auch die Tatsache, dass die Verschlüsselung sogar dabei half diese Angriffe zu starten. Denn die verschlüsselten Nachrichten die zu den Angriffen führten, konnten eben durch diese Sicherheitsmassnahme nicht überprüft werden, eben weil sie verschlüsselt waren. WhatsApp selbst wusste also nicht, dass schädliche Mitteilungen verteilt wurden.

 

Die Sicherheitslücke besteht allerdings mittlerweile nicht mehr. WhatsApp validiert nun vor dem Versand die entsprechenden Nachrichten und gewährleistet so, dass kein Schadcode über den Webclient verschickt werden kann.

Messengerdienst Telegram ebenfalls betroffen, Check Point lobt beide Dienste

Auch Telegram kann über einen Webclient genutzt werden und setzt auf eine End-To-End-Verschlüsselung. Die in WhatsApp gefundene Sicherheitslücke bestand kurioserweise in identischer Form also auch hier. Durch manipuliertes Bildmaterial konnte man sich also auch hier Zugriff auf die Telegram-Konten verschaffen. Der Dienst hat diese Lücke allerdings ebenfalls auf die selbe Weise geschlossen wie WhatsApp und validiert nun die Dateien vor dem Versand um getarnten Schadcode vor dem Versand zu erkennen.

 

Die Warnung über die Sicherheitslücke gab Check Point am 7. März an beide Unternehmen raus, die nur wenige Tage benötigten um die Lücken zu schliessen. Damit einher ging dann auch ein gesondertes Lob der Sicherheitsfirma an WhatsApp und Telegram für die schnelle Reaktion.


 

 

Quelle: Check Point (Englisch)

Das könnte Sie auch interessieren

Eine Antwort zu “WhatsApp und Telegram: Schwerwiegende Sicherheitslücke trotz End-To-End-Verschlüsselung”

  1. kukn sagt:

    Hallo,
    Telegram schreibt aber, dass nur durch ein Bild anklicken, im Gegensatz zu WA, kein Zugriff auf Konten möglich war.
    http://telegra.ph/Checkpoint-Confusion-NEWS
    Nur mal so als Hinweis, ein kleiner, aber feiner Unterschied!
    Gruß Kay

Schreibe einen Kommentar

Teilen