WhatsApp: trovata una nuova falla di sicurezza nell’applicazione di messaggistica istantanea

08 maggio 2012 di Andrea Scrimieri in Applicazioni App Store, News, push, Social Network

Nel mese di gennaio si è rapidamente sparso il panico per via della rimozione di WhatsApp da App Store vista la fama dell’applicazione e l’ottimo servizio di messaggistica istantanea offerto agli utenti. Il motivo di tale rimozione non è stato mai ufficialmente diffuso, e si parlò addirittura di un problema di sicurezza, e sempre di sicurezza parliamo oggi. Pare infatti che sia stato trovata una nuova falla in WhatsApp in grado di offrire a persone con intenzioni malevole la possibilità di accedere al nostro database di messaggi. Vediamo di cosa si tratta.

Il problema di sicurezza di cui vi parliamo in questo articolo, riportato da Techie Buzz, fa riferimento al database in cui WhatsApp archivia tutti i log dei nostri messaggi sia in entrata che in uscita e, nonostante il database SQLite sia localizzato in una directory accessibile unicamente tramite lo sblocco del dispositivo sia tramite jailbreak (iPhone) che rooting (Android), tale database è criptato con una chiave statica “hard-coded” con protocollo AES-192.

Il database completo è localizzato in /com.whatsapp/databases/msgstore.db su Android e su ~/Documents/ChatStorage.sqlite sui dispositivi iOS, e può essere ‘facilmente’ decifrato tramite l’uso della suddetta chiave con la richiesta che openssl riconverta il database in un file di testo:

openssl enc -d -aes-192-ecb -in msgstore-1.db.crypt -out msgstore.db.sqlite -K346a23652a46392b4d73257c67317e352e3372482177652c

La persona dietro tale metodo ha inoltre creato un sito online per semplificare ed automatizzare processo semplicemente caricando il file criptato del database. Il fatto che un’applicazione usata da milioni di utenti possieda lacune in termini di sicurezza così gravi è certamente sconcertante, e sarebbe opportuno che gli sviluppatori considerino più attentamente problematiche di questo genere. Naturalmente la speranza che è gli sviluppatori di WhatsApp rilascino presto un nuovo aggiornamento per introdurre una nuova chiave, soprattutto se si considera la grandissima mole di persone che ogni giorno utilizzano quest’applicazione di messaggistica, disponibile su praticamente tutte le piattaforme principali.

Ricordiamo infine come l’accesso al suddetto database sia possibile esclusivamente tramite lo sblocco del dispositivo, per cui chi possiede un device non rooted o jailbroken può dormire sonni tranquilli.

Grazie nervous per la segnalazione

[via]

Per restare sempre aggiornato sul tema di questo articolo, puoi seguirci su Twitter, aggiungerci su Facebook o Google+ e leggere i nostri articoli via RSS.

Unisciti alla nostra community su Facebook! Clicca Mi Piace!
L'utilizzo del contenuto di questo articolo è soggetto alle condizioni della Licenza Creative Commons. Sono consentite la distribuzione, la riproduzione e la realizzazione di opere derivate per fini non commerciali, purché venga citata la fonte.
  • Fbizzarri

    E quindi che si fa? Si usa viber o quant’altro in attesa che risolvano?

  • Palanzana

    ma sticazzi…asd

  • Crazy Joker

    Tutti i dati di qualsiasi dispositivo sono a rischio se lo si ha craccato!!! Onestamente mi preoccuperebbero di più i dati sensibile personali quali rubrica, codici di accesso e chi più ne ha più ne metta e non dei messaggi…almeno a me.

  • http://pulse.yahoo.com/_T3NADXCUOIYK7E2BCCLU43BGG4 Avery

    ma si leggano pure i miei messaggi… cosa vuoi che trovino… mica ci sono messaggi col segreto di stato! mah…

  • http://smartusers1.blogspot.it/ NewBeta1

    Al di là del fatto che non siano messaggi di Stato il problema della privacy resta. A me francamente scoccerebbe se i miei messaggi venissero letti da chissàchi…

  • Harley Quinn

    Bravo

  • http://smartusers1.blogspot.it/ NewBeta1

    Anche questo è vero e condivido, ma comunque il problema rimane e sarebbe il caso di risolverlo al più presto.

  • Anonymous

    Grande Nervous….
    Io lo conosco di persona, e lui consiglia di utilizzare “ebuddy xms” dato che ha le stesse funzionalita…

  • Luca

    ma quindi chi NON ha l’iphone jailbroken è al sicuro??

  • Geek

    Ma non capisco dove sia il problema scusate… Il file oltre ad essere visibile solo da dispositivi sbloccati a livello i root non è inviato a fonti esterne ma rimane solo in locale… Quindi i messaggi non vengono letti da nessuno. Inoltre una persona che vuole leggere i nostri messaggi non penso si metta a trasferire il file e decriptarlo in quanto farebbe prima ad aprire l applicazione stessa e leggere direttamente le chat normalmente

    Tutto dipende appunto da: il file rimane in locale o no? È l unico dubbio che trasformerebbe tale cosa in falla…

  • frank

    considerato che noi possessori di iphone siamo gli UNICI che PAGHIAMO questa applicazione  un po di attenzione in più non guasterebbe

  • Pierlucax

    Anche l’italiano è importante però…siamo gli unici a pagare…

    P.s. Whatsapp è qualche ora che nn va… Anche a voi?

  • Barone

    ma saranno le solite idiozie. probabilmente qualche operatore si sarà lamentato e adesso saltano fuori le notizie bomba…tra un po’ diranno che usare whatsapp fa cadere la lingua 

  • frank

     cosa c’è che non va in ” unici che paghiamo “??

  • Luca

    Sembrerebbe :D

  • Mariowinand

    Stasera il server whatsapp ha problemi da qualche ora anche loro hanno “tweettato” il problema. O forse il problema di sicurezza li ha spaventati e hanno bloccato i server volutamente? Qui urge un UPDATE alla notizia.

  • Dead

    Il db degli sms del vostro iPhone è in chiaro, non crittato. Se avete il jail è leggibile senza nessuna fatica, ancora meno sicuro di WhatsApp che almeno una misera crittazione ce l’ha! Perchè parlate di cose che non sapete e non capite?

  • VcomeVendetta

    Allora posso fare tranquillamente la nanna :)
    Un punto a favore per chi ha ancora l’iPhone “vergine”

  • Pierlucax

    È corretto dire, siamo gli unici a pagare o siamo gli unici a pagare… NOn è un bel italiano! Anzi sembra armeno! ;)

  • Pierlucax

    Correggo*** siamo gli unici a pagare o siamo gli unici che pagano.

    Sorry

  • Pingback: AppleZein - Il blog Italiano Apple News per gli utenti Apple » Scoperta una nuova importante falla di sicurezza nell’applicazione WhatsApp

  • Roberto Parrilla

    Se il mio non e’ jb e lo dovessi invece sbloccare, sarebbe possibile ricavare la cronologia dei miei messaggi solo post jb o anche di prima? Grazie x l’info.

  • insofferente

    Cito testualmente:
    “Il fatto che un’applicazione usata da milioni di utenti possieda lacune in termini di sicurezza così gravi è certamente sconcertante, e sarebbe opportuno che gli sviluppatori considerino più attentamente problematiche di questo genere.”

    E ancora

    “Ricordiamo infine come l’accesso al suddetto database sia possibile esclusivamente tramite lo sblocco del dispositivo, per cui chi possiede un device non rooted o jailbroken può dormire sonni tranquilli.”

    Non trovate che ci sia qualcosa di ambiguo in questo articolo?
    Una falla di sicurezza che intacca i dispositivi jailbroken. Non penso che gli sviluppatori creino applicazioni in ottica di jailbreak, no?

  • Frankiko

    Solito problema jb e poi dicono che non e’ pericoloso il jb

  • CRI$

    Il problema non si risolve usando altre app per messaggiare… Anche perche resta il fatto che come what’s app non vi è nesdun’altra applicazione ( riguardo alla popolarità) perciò io e i miei amici dovremmo stare a scaricare tutti quanti un’altra applicazione che magari non ti da comunque la stessa velocità e le stesse funzioni di what’s app…

  • Pingback: - Vivi Capena

  • BeLa80

    articolo inesatto, tutti i terminali rooted o non rooted non sono sicuri, inquanto è il messaggio in se che viene trasmesso senza cryptazione tramite le reti wifi.
    mentre è l’applicazione “whatsappsniffer” che funziona solo su terminali rooted.
    conclusione:
    i vantaggi sono solo per chi sa usare e “smanettare”, gli altri restano svantaggiati e spiati.

  • Pingback: WhatsApp: tutti i rischi per la sicurezza | SalvatoreCapolupo.it