Como se especifica en el artículo mencionado anteriormente, WhatsApp está enviando tráfico al puerto 443 (el puerto HTTPS normal) * sin cifrar *. Esto hace que sea trivial para un atacante leer todos los datos y metadatos de una sesión determinada que encuentre.
Dado que Wireshark está clasificando los datos como tráfico SSL a pesar de que no está encriptado, es probable que el tráfico esté usando el cifrado NULL. En la mayoría de las implementaciones SSL del mundo real, esto se configura de manera tal que no se permite. La solución # 1 sería no permitir el cifrado NULL y obligar a los clientes a cifrar realmente el tráfico al servidor, mitigando la mayor parte del ataque descrito en el artículo.
La razón más probable para hacerlo es una latencia reducida y menores costos operativos en el servidor de WhatsApp. Supongo que las conexiones al servidor de WhatsApp de los clientes son particularmente duraderas (ya que es un protocolo de mensajería con estado), por lo que la sobrecarga del apretón de manos inicial y el cifrado posterior se amortizarían bastante bien en el lado del servidor. También pueden haber optado por utilizar el cifrado NULL para reducir los requisitos de energía en los teléfonos móviles.
- ¿Se pueden piratear los teléfonos si están apagados?
- ¿Qué significa celular?
- ¿Qué implica colocar un sitio celular en la parte superior de un departamento o edificio de oficinas?
- ¿WhatsApp es una aplicación segura? ¿Los usuarios se asustarán si no es así?
- ¿Se pueden clonar todos los teléfonos móviles?
También dicen que confían en la seguridad subyacente de la capa de enlace (3G, Wifi, etc.) [1], que la OMI es un gran error. Se sabe que son bastante débiles y fáciles de eludir. Incluso si no lo fueran, lo que realmente desea en un servicio de mensajería instantánea es la seguridad a nivel de sesión, es decir, la seguridad de que el atacante no puede conocer el contenido de sus mensajes y con quién está conversando. Esto lo deja completamente abierto a otros miembros de una LAN inalámbrica o cableada para detectar su tráfico sin cesar.
Me parece que simplemente no se están tomando en serio la seguridad.
[1] http: //eva-quirinius.blogspot.co…
