Дослідження Citizen Lab виявило вразливості в захисті даних у популярному месенджері WeChat, який налічує понад мільярд активних користувачів на місяць. Програма використовує пропрієтарний протокол MMTLS, який виявився менш надійним порівняно з міжнародним стандартом TLS 1.3, від якого він був модифікований.
Аналіз показав, що протокол MMTLS містить низку криптографічних недоліків. Одним із найсерйозніших є використання передбачуваних ініціалізаційних векторів (IV), що потенційно дає змогу зловмисникам відновлювати ключі шифрування і розкривати конфіденційні дані. Крім того, WeChat не підтримує пряму секретність (Forward Secrecy), що уможливлює доступ до минулих даних у разі компрометації ключів.
Дослідники також зазначили, що раніше WeChat використовував ще менш надійні методи шифрування, які все ще частково застосовуються в сучасних версіях застосунку. Це викликає сумніви в надійності захисту даних користувачів, незважаючи на відсутність доведених успішних атак.
Оскільки розробники WeChat використовують власні шифрувальні технології, що нерідко трапляється в китайських застосунках, вони виявляються менш безпечними порівняно з міжнародними стандартами. У результаті, дослідники Citizen Lab розробили інструменти для аналізу трафіку WeChat, щоб допомогти співтовариству в поліпшенні безпеки застосунку і даних його користувачів.
Продовжити обговорення можна в нашій спільноті – https://t.me/technozonuachat
