Forbes - Čeprav sodi med najpopularnejše aplikacije za hipno sporočanje, WhatsApp tehnološko ni nič kaj pred konkurenco. Dvostopenjsko preverjanje pristnosti (2FA) sploh ni obvezno in ga veliko uporabnikov ne uporablja, a pred najnovejšim napadom sploh ne ščiti. V Forbesu poročajo o načinu, kako nas lahko zlikovci zaklenejo iz lastnega profila. Pri tem ne gre za klasičen vdor, temveč za zlorabo slabo izpeljanih mehanizmov.

Vsakdo lahko namreč namesti aplikacijo WhatsApp na svoj telefon in vnese poljubno telefonsko številko, s katero ga želi povezati - četudi nima dostopa do te številke. WhatsApp potem pošlje na to številko SMS s kodo, ki je potrebna za aktivacijo na novi napravi. To kodo seveda prejme legitimni lastnik, ki z njo nima kaj početi, lahko jo le ignorira. Toda če zlikovec kodo zahteva in vpiše dovoljkrat, bo povzročil 12-urni zaklep sistema za vnos kode, ki je namenjen zaščiti pred ugibanjem. To še ni problem.

Problematičen pa je drugi del napada. Če zlikovec potem pošlje...

Slo-Tech - Raziskovalci norveškega podjetja Promon so v Androidu odkrili varnostno ranljivost, ki obstoji v vseh verzijah Androida (tudi v desetici) in jo napadalci v resničnem življenju že izkoriščajo. Poimenovali so jo StrandHogg po nekdanji vikinški praksi zajema živine in ljudi za delovno silo in sužnje.

Ranljivost tiči v večopravilnosti, kot jo ponuja Android. Zlonamerna aplikacija se lahko pretvarja, da je legitimna aplikacija, saj se zažene ob kliku na ikono legitimne aplikacije in prestreže vnesene prijavne podatke. Uporabniki menijo, da uporabljajo legitimno aplikacijo, v resnici pa zlonamerna aplikacija prikazuje lažen prijavni zaslon. Aplikacija lahko na enak način pridobi tudi privilegije za dostop do različnih delov telefona, saj zanje sprašuje, kakor da bi bila legitimna aplikacija.

V praksi to pomeni, da lahko zlikovci kradejo gesla za dostop do spletne banke, kar so dejansko počeli. Raziskovalci so odkrili 36 zlonamernih aplikacij, ki izkoriščajo omenjeno ranljivost. Teh...

Trend Micro - Google je s spletne tržnice Play Store umaknil 29 aplikacij, za katere je Trend Micro ugotovil, da kradejo fotografije uporabnikov, jih preusmerjajo na zlonamerne spletne strani in jim strežejo pornografske vsebine. Skupno so sporne aplikacije nabrale 4,3 milijona prenosov, torej je bilo prizadetih veliko ljudi.

Aplikacije so se predstavljale kot običajni programi za urejanje in spreminjanje fotografij (npr. Pro Camera Beauty, Cartoon Art Photo, Emoji Camera itd.). Aplikacije so uporabnikom obljubljale, da jih bodo polepšale (beautify). V resnici so se fotograije, ki smo jih želeli polepšati, prenašale na spletni strežnik, ki je bil pod nadzorom piscev. Hkrati so aplikacije nasilno prikazovale reklame, ki so vsebovale škodljive vsebine. Aplikacije uporabnikom niso razkrile svoje povezave z nenavadnimi oglasi, zato ti v številnih primerih niso posumili,...

Slo-Tech - Lažna aplikacija za Android, ki se je pretvarjala, da gre za uveljavljeno aplikacijo za hipno sporočanje WhatsApp, je uspela pretentati več kot milijon uporabnikov, da so jo namestili. Aplikacija se je imenovala Update WhatsApp Messenger (sedaj so njeno ime že spremenili v Dual Whatsweb Update) in je uporabljala enake ikone in grafični dizajn kakor legitimna aplikacija. Tudi kot založnik je bil zapisan WhatsApp Inc., le da je bil na koncu imena še neopazen znak Unicode, podoben presledku.

To seveda ni prvi primer, da je lažna aplikacija na Google Playu uspela pretentati nekaj uporabnikov, je pa eden redkih tako množičnih. Aplikacija je namreč zbrala kar milijon prenosov, kar je zaskrbljujoče veliko. Kar se tiče funkcionalnosti, je šlo za sorazmerno benigen primer, saj aplikacija ni zahtevala skoraj nobenih privilegijev, temveč je zgolj prikazovala reklame. Podobno se je dogajalo tudi Facebooku, katerih ime so...

Slo-Tech - Aplikacija za komuniciranje WhatsApp je letos aprila požela veliko odobravanja, ko je podobno kot sorodne aplikacije (npr. Viber) začela šifrirati vso komunikacijo med uporabniki s protokolom Signal. Tako ponudnik infrastrukture in aplikacije ne moreta prebirati vsebine. Ko pa sporočila enkrat prispejo na telefon, se tam seveda shranijo. WhatsApp seveda omogoča brisanje sporočil in pravi, da jih po brisanju ne moremo povrniti. Jonathan Zdziarski pa ugotavlja, da za WhatsApp na iOS velja isto kot za Applov iMessages - tudi po brisanju lokalno ostanejo drobci sporočil, ki omogočajo rekonstrukcijo.

Obnašanje aplikacije WhatsApp je enako ne glede na to, ali izbrišemo posamezno sporočilo, pogovor...

Slo-Tech - Ustroj mobilne aplikacije za pošiljanje sporočil (in v prihodnosti tudi glasovne storitve) dopušča resno varnostno pomanjkljivost, ki napadalcu omogoča globlji poseg v zasebnost uporabnika, kot bi slednji želel. Čeprav je WhatsApp napovedal šifriranje pogovorov, imajo po drugi strani v samem dizajnu luknjo, ki sicer ne omogoča prisluškovanja komunikaciji, omogoča pa pridobivati podatke o aktivnosti uporabnika.

Pomanjkljivost je opazil Maikel Zweerink in spisal orodje, ki služi kot demonstracija koncepta. Za uporabo potrebujete le napravo z mobilno številko, ki ni registrirana v WhatsApp, in že lahko za poljubnega uporabnika, čigar telefonsko številko poznate, spremljate aktivnost. To pomeni, da lahko vidite, kdaj je bil dosegljiv prek WhatsAppa in kdaj ne, kdaj je spremenil profilno sliko, kdaj je...

Slo-Tech - Aplikacija za hipno sporočanje prek mobilnih telefonov WhatsApp je dobila še odjemalca za brskalnike na osebnih računalnikih. Odslej bo mogoče komunicirati prek obeh naprav, vsa sporočila v pogovorih pa bodo takoj vidna na obeh.

Za aktivacijo aplikacija v brskalniku ob obisku strani WhatsApp računalniku pokaže QR-kodo, ki jo potem skeniramo s telefonom, kjer smo jo bili že poprej namestili. Ker ne uporablja gesel in uporabniških imen, je treba QR-kodo posneti vsakokrat.

Vseeno je sistem še precej okoren, saj mora biti telefon ves čas povezan v internet, sicer pade tudi povezava prek osebnega računalnika. Na ta način so izničili pomembno prednost, tj. možnost uporabe, ko telefona bodisi nimamo v...

Slo-Tech - WhatsApp, ki ga poznamo po priljubljeni aplikaciji za pošiljanje sporočil po mobilnih telefonih prek podatkovne povezave, sicer pa ga je letos kupil Facebook, je napovedal partnerstvo z WhisperSystems. Sporočila bodo šifrirana od pošiljatelja do prejemnika, tako da jih ne bo mogel prestreči in prebrati nihče, niti WhatsApp sam. To pomeni, da tudi organi pregona ne bodo mogli dobiti sporočil, ker WhatsApp šifrirnega ključa ne bo imel. To pomeni, da 600 milijonom uporabnikov WhatsAppa ne bo treba storiti ničesar, pa se bodo pomenkovali šifrirano.

WhisperSystems je partner pri projektu, ki je razvil protokol TextSecure, katerega bo WhatsApp uporabljal za dostavo sporočil. Odjemalec za Android že podpira šifrirano izmenjavo besedilnih sporočil, medtem ko...

Slo-Tech - Facebook kupuje podjetje WhatsApp, ki skrbi za istoimensko aplikacijo za mobilno sporočanje. Zanjo bodo odšteli rekordnih 19 milijard dolarjev, od tega 12 milijard dolarjev v delnicah Facebooka, štiri milijarde dolarjev v denarju in tri milijarde dolarjev v delnicah z omejitvijo odtujitve (RSU). Če kupčija propade, recimo zaradi nesoglasja varuhov konkurence, bo Facebook plačal dve milijardi (pol v delnicah, pol v denarju) penalov.

WhatsApp je sila priljubljena aplikacija za hipno sporočanje na mobilnih telefonih, ki deluje praktično na vseh platformah (Apple, Android, Windows Phone, BlackBerry, Symbian,...