الأمن الإلكتروني

ثغرة في واتساب تتيح قراءة الرسائل المرسلة المشفرة

نشرت صحيفة الغارديان البريطانية اليوم تقريراً جديداً تشير فيه إلى إمكانية قيام شركة فيسبوك بقراءة الرسائل المشفرة ضمن خدمة التراسل الفوري التابعة لها واتساب، حيث يشير التقرير إلى وجود ثغرة من نوع “الباب الخلفي” Backdoor، والتي يمكن استخدامها من قبل فبس بوك لاعتراض وقراءة الرسائل المشفرة المرسلة ضمن تطبيق التراسل.

واستندت الصحيفة إلى التجارب التي قام بها توبياس بولتر الباحث في مجال الأمن والتشفير في جامعة كاليفورنيا، والذي تمكن من اكتشاف هذه الثغرة، وأوضح توبياس أنه باستطاعة واتساب أن تقوم بالكشف عن سجلات رسائل مستخدمي التطبيق عند طلبها من قبل وكالات حكومية.

وانتقدت مجموعة من نشطاء الخصوصية الضعف الموجود في تطبيق التراسل الفوري واتساب واعتبروا انه يشكل تهديداً كبيراً لحرية التعبير وحذروا من إمكانية استغلاله من قبل جهات حكومية، وان عملية التغيير في مفاتيح الأمان تضعف الأمان في التطبيق.

ويخالف التقرير الجديد الإدعاءات السابقة التي أطلقتها فيسبوك حول عدم إمكانية أحد، بما في ذلك الشركة وموظفيها، من اعتراض رسائل واتساب، حيث حذر النشطاء من إمكانية استخدام هذا الضعف من قبل الوكالات الحكومية للتحري عن المستخدمين الذين يعتقدون بأن رسائلهم آمنة.

وكانت واتساب قد لعبت بشكل كبير على نقاط الأمان والخصوصية في التسويق لنفسها مما جعل التطبيق وسيلة اتصال أساسية لدى النشطاء والمعارضين والدبلوماسيين.

وتعتمد واتساب على بروتوكول Signal للتشفير من نوع نهاية إلى نهاية، والذي يستخدم لتوليد مفاتيح الأمان الفريدة من نوعها، وقد عملت شركة Open Whisper Systems على تطوير هذا البروتوكول واستخدمته في تطبيقها للتراسل الذي يحمل نفس الاسم.

ويحظى هذا البروتوكول على ثقة المستخدمين، وفي مقدمتهم الخبير الأمني إدوارد سنودن، وذلك لما يقدمه من ضمانات تجعل الاتصالات آمنة وغير قابلة للاعتراض من قبل الوسطاء الذين يحاول اعتراض الاتصالات المشفرة.

وتكمن المشكلة بحسب الناشطين في الطريقة التي تطبق بها الشركة برتوكول التشفير من نوع نهاية إلى نهاية، حيث تمتلك واتساب إمكانية إنشاء مفاتيح تشفير جديدة للمستخدمين غير المتصلين بشبكة الإنترنت بدون علم الشخص المرسل والمستقبل للرسائل.

ويتيح هذا الأمر لواتساب القدرة على إعادة تشفير وإرسال أي رسالة من الرسائل التي لم يتم تسليمها للطرف الأخر، وذلك عبر استخدامها لمفاتيح أمان جديدة، بحيث لا يتلقى المستلم للرسائل تحذيراً فيما يخص هذا التغيير في التشفير.

وتعمل الشركة على تنبيه مرسل الرسالة للتغيير الذي حصل في مفاتيح الأمان في حال كان قد اختار الحصول على تحذيرات تخص التشفير من خلال إعدادات التطبيق.

وتقوم واتساب بتنبيه المرسل حول التغيير في مفاتيح الأمان بعد أن تكون قد قامت بإعادة إرسال الرسائل، وبالتالي يمكن للشركة، عبر طريقة إعادة تشفير الرسائل من خلال مفاتيح أمان جديدة وإعادة الإرسال، باعتراض وقراءة رسائل المستخدمين.

تجدر الإشارة إلى أن تطبيق التراسل المسمى Signal، التابع لشركة Open Whisper Systems والذي يستخدم نفس البروتوكول، لا يعاني من هذا الضعف.

ويظهر تطبيق Signal فشلاً في عملية تسليم الرسالة عند قيام المستلم غير المتصل بشبكة الإنترنت بتغيير مفاتيح الأمان، كما يعمل التطبيق على تنبيه المرسل حول التغيير الذي حصل في مفاتيح الأمان بدون أن يقوم بإعادة إرسال الرسالة تلقائياً.

بينما يعمل تطبيق واتساب وبشكل تلقائي على إعادة إرسال الرسالة التي لم يتم تسليمها مع مفاتيح أمان جديدة مغايرة للمفاتيح الأساسية وبدون تحذير مسبق للمستخدم أو منحه القدرة على منع ذلك.

ويمكن القول أن هذه الثغرة قد لا تعرض المستخدمين لخطر سرقة رسائلهم من قبل القراصنة بشكل مباشر، إلا انها تترك الباب مفتوحاً امام واتساب وفيسبوك لقراءة المحادثات الخاصة بالمستخدمين.

وعمد الباحث الأمني توبياس بولتر إلى إخبار شركة فيسبوك حول هذا الضعف منذ شهر أبريل/نيسان من عام 2016، إلا أن فيسبوك أخبرته أنها على علم بوجود هذه القضية وأن هذا الأمر هو سلوك متوقع، ولم تقم الشركة بتغيير هذا السلوك.

وأصدرت شركة فيسبوك بياناً حول الموضوع “يستخدم اليوم أكثر من مليار شخص تطبيق واتساب لأنه بسيط وسريع وآمن وموثوق به، ونحن نؤمن في واتساب ان محادثات المستخدمين يجب أن تكون آمنة وخصوصية، لذلك قمنا في العام الماضي بإعطاء كافة مستخدمينا أفضل المستويات من حيث الأمان من خلال جعل كل رسالة أو صورة أو فيديو أو ملف أو مكالمة مشفرة بشكل تلقائي وبتشفير من نوع نهاية إلى نهاية”.

وأضاف البيان “عند تنفيذنا لبروتوكول Signal ضمن تطبيق واتساب أضفنا خيار “إظهار تنبيهات الأمان” في خيارات الأمان ضمن إعدادات التطبيق، والتي تعمل على تنبيه المستخدم عند وجود تغيير في رمز حماية جهة الاتصال أو ما يعرف باسم مفاتيح الأمان، ونحن نعلم أن الأسباب الأكثر شيوعاً لمثل هذا التغيير تعود إلى قيام المستخدم بالتحويل بين الهواتف أو إعادة تثبيت التطبيق أو تغير شريحة الهاتف، ونحن نرغب في هذه الحالة أن يتم تسليم الرسائل المرسلة بشكل أكيد وأن لا تضيع عند عملية التبديل أو التغيير”.

كما نشرت شركة واتساب بياناً تشير فيه إلى أن ما أطلقت عليه صحيفة الغارديان اسم ثغرة باب خلفي ما هي إلا ميزة تصميمية “نشرت صحيفة الغارديان صباح اليوم تقريراً تدعي فيه أن الميزة التصميمية الموجودة في واتساب والتي تمنع فقدان المستخدمين لملايين الرسائل هي عبارة عن باب خلفي يسمح للحكومات بإجبار واتساب على فك تشفير الرسائل، وهذا الإدعاء باطل”.

وأضاف البيان “لا توفر واتساب للحكومات باباً خلفياً ضمن أنظمتها ونرفض أي طلب حكومي لإنشاء باب خلفي، وتعمل هذه الميزة التصميمية التي تم الإشارة إليها كونها باباً خلفياً على حفظ ملايين الرسائل من الضياع، كما تعمل الشركة على تنبيه المستخدمين حول أي خطر أمني محتمل”.

زر الذهاب إلى الأعلى