Penyebutan yang lebih dramatis tahun 2018 – orang luar bisa diam-diam menguping obrolan rahasia grup end-to-end terenkripsi Anda di aplikasi olahpesan WhatsApp dan Signal.
Mengingat perlindungan terhadap tiga jenis penyerang – pengguna jahat, penyerang jaringan, dan server jahat – protokol enkripsi end-to-end memainkan peran penting dalam mengamankan layanan pesan instan.
Tujuan utama enkripsi end-to-end adalah berhenti mempercayai server perantara sedemikian rupa sehingga tidak ada orang, bahkan perusahaan atau server yang mentransmisikan data, dapat mendekripsi pesan Anda atau menyalahgunakan posisi terpusatnya untuk memanipulasi layanan.
Dengan kata lain – dengan asumsi skenario terburuk – karyawan perusahaan yang korup seharusnya tidak dapat menguping komunikasi terenkripsi end-to-end dengan cara apapun.
Namun, sejauh ini bahkan layanan pesan terenkripsi end-to-end yang populer, seperti WhatsApp, Threema and Signal, belum sepenuhnya mencapai sistem zero-knowledge.
Peneliti dari Ruhr-Universität Bochum (RUB) di Jerman menemukan bahwa siapa pun yang mengendalikan server WhatsApp / Signal dapat secara diam-diam menambahkan anggota baru ke grup pribadi manapun, yang memungkinkan mereka untuk memata-matai percakapan kelompok, bahkan tanpa izin dari administrator.
Seperti yang dijelaskan oleh para periset, dalam komunikasi berpasangan (bila hanya dua pengguna berkomunikasi satu sama lain), server memainkan peran terbatas, namun dalam kasus obrolan multi-pengguna (obrolan kelompok di mana pesan terenkripsi disiarkan ke banyak pengguna), peran server meningkat untuk mengelola keseluruhan proses.
Di situlah masalahnya berada, yaitu mempercayai server perusahaan untuk mengelola anggota grup (yang akhirnya memiliki akses penuh ke percakapan kelompok) dan tindakan mereka.
Seperti yang dijelaskan dalam makalah RUB yang baru diterbitkan, berjudul “More is Less: Pada Keamanan End-to-End dari Chatting Grup di Signal, WhatsApp, dan Threema,” karena kedua Signal dan WhatsApp gagal mengotentikasi dengan benar bahwa siapa yang menambahkan yang baru anggota ke grup, adalah mungkin bagi orang yang tidak berwenang-bukan administrator grup atau bahkan anggota grup-untuk menambahkan seseorang ke obrolan berkelompok.
Apalagi? Jika Anda bertanya-tanya, menambahkan anggota baru ke grup akan menunjukkan pemberitahuan visual kepada anggota lainnya, bukan itu masalahnya.
Menurut para periset, admin yang dikompromikan atau pegawai nakal yang memiliki akses ke server dapat memanipulasi (atau memblokir) pesan pengelolaan grup yang seharusnya mengingatkan anggota kelompok anggota baru.
“Kelemahan yang dijelaskan memungkinkan penyerang A, yang mengendalikan server WhatsApp atau dapat mematahkan keamanan lapisan transport, untuk mengendalikan sepenuhnya grup. Memasuki grup, bagaimanapun, meninggalkan jejak sejak operasi ini terdaftar di antarmuka pengguna grafis. WhatsApp Oleh karena itu, server dapat menggunakan fakta bahwa ia dapat secara diam-diam menyusun ulang dan menjatuhkan pesan dalam grup, “tulis surat kabar tersebut.
“Dengan demikian, cache dapat mengirim pesan ke grup, membaca konten mereka terlebih dahulu dan memutuskan urutannya dikirim ke anggota. Selain itu, server WhatsApp dapat meneruskan pesan ini ke anggota secara terpisah sehingga kombinasi pesan yang dipilih secara halus dapat membantu itu untuk menutupi jejaknya. ”
WhatsApp telah mengakui masalah ini, namun berpendapat bahwa jika ada anggota baru ditambahkan ke grup, katakanlah oleh siapapun, anggota grup lainnya akan diberitahu dengan pasti.
“Kami telah melihat masalah ini dengan hati-hati. Anggota yang ada diberitahu saat orang baru ditambahkan ke grup WhatsApp. Kami membuat pesan agar tidak ada pesan grup yang tidak dapat dikirim ke pengguna tersembunyi,” kata juru bicara WhatsApp kepada Wired.
“Privasi dan keamanan pengguna kami sangat penting bagi WhatsApp, karena itulah kami mengumpulkan sedikit informasi dan semua pesan yang dikirim ke WhatsApp bersifat end-to-end yang dienkripsi.”
Tetapi jika Anda bukan bagian dari kelompok dengan anggota yang sangat terpilih, saya yakin banyak dari Anda akan relatif mengabaikan pemberitahuan semacam itu dengan mudah.
Periset juga menyarankan perusahaan untuk memperbaiki masalah hanya dengan menambahkan mekanisme otentikasi untuk memastikan bahwa pesan manajemen grup yang ditandatangani hanya berasal dari administrator grup saja.
Namun, serangan ini tidak mudah (exception-services di bawah tekanan hukum) untuk dieksekusi, jadi pengguna jangan khawatir.
