0
0
Ao instalar um mensageiro móvel como o WhatsApp,novos usuários podem iniciar instantaneamente mensagens de texto com base nos números de telefone armazenados em seu dispositivo. Para que isso aconteça, os usuários devem conceder permissão ao aplicativo para acessar e carregar regularmente sua agenda de endereços para servidores da empresa em um processo chamado de descoberta de contato móvel.
Um estudo recente de uma equipe de pesquisadores do Secure Software Systems Group da Universidade de Würzburg e do Cryptography and Privacy Engineering Group na TU Darmstadt mostra que atualmente os serviços de descoberta de contato implantados ameaçam severamente a privacidade de bilhões de usuários.
Utilizando pouquíssimos recursos, os pesquisadores foram capazes de realizar ataques práticos de rastreamento nos mensageiros populares WhatsApp, Signal e Telegram. Os resultados dos experimentos demonstram que usuários ou hackers mal-intencionados podem coletar dados confidenciais em grande escala e sem restrições notáveis consultando serviços de detecção de contato para números de telefone aleatórios.
Os atacantes são habilitados a construir modelos de comportamento precisos
Para o extenso estudo, os pesquisadores consultaram 10% de todos os números de telefone celular dos EUA para o WhatsApp e 100% para o Signal. Assim, eles foram capazes de coletar dados pessoais (meta) comumente armazenados nos perfis de usuários dos mensageiros, incluindo fotos de perfil, apelidos, textos de status e o tempo “último online”.
Os dados analisados também revelam estatísticas interessantes sobre o comportamento do usuário. Por exemplo, muito poucos usuários alteram as configurações de privacidade padrão, que para a maioria dos mensageiros não são nada amigáveis à privacidade.
Os pesquisadores descobriram que cerca de 50% dos usuários do WhatsApp nos EUA têm uma foto de perfil público e 90% um texto público “Sobre”. Curiosamente, 40% dos usuários do Signal, que podem ser mais preocupados com a privacidade em geral, também estão usando o WhatsApp, e todos os outros usuários do Signal têm uma foto de perfil público no WhatsApp.
O rastreamento desses dados ao longo do tempo permite que os invasores construam modelos de comportamento precisos. Quando os dados são combinados em redes sociais e fontes de dados públicos, terceiros também podem construir perfis detalhados, por exemplo, para enganar os usuários.
Para o Telegram,os pesquisadores descobriram que seu serviço de descoberta de contatos expõe informações confidenciais até mesmo sobre proprietários de números de telefone que não estão registrados no serviço.
Quais informações são reveladas durante a descoberta de contatos e podem ser coletadas através de ataques de rastreamento depende do provedor de serviços e das configurações de privacidade do usuário. O WhatsApp e o Telegram, por exemplo, transmitem toda a agenda de endereços do usuário para seus servidores.
Mensageiros mais preocupados com a privacidade, como o Signal, transferem apenas valores de hash criptográficos curtos de números de telefone ou dependem de hardware confiável. No entanto, a equipe de pesquisa mostra que, com novas e otimizadas estratégias de ataque, a baixa entropia dos números de telefone permite que os invasores deduzam números de telefone correspondentes de hashes criptográficos dentro de milissegundos.
Além disso, como não há restrições notáveis para se inscrever em serviços de mensagens, qualquer terceiro pode criar um grande número de contas para rastrear o banco de dados de usuários de um mensageiro para obter informações solicitando dados para números de telefone aleatórios.
“Aconselhamos fortemente todos os usuários de aplicativos de mensageiro a revisitar suas configurações de privacidade. Esta é atualmente a proteção mais eficaz contra nossos ataques investigados”, concordam a Prof. Alexandra Dmitrienko (Universidade de Würzburg) e o Prof. Thomas Schneider(TU Darmstadt).
Impacto dos resultados da pesquisa: prestadores de serviços melhoram suas medidas de segurança
A equipe de pesquisa relatou seus achados aos respectivos prestadores de serviços. Como resultado, o WhatsApp melhorou seus mecanismos de proteção de tal forma que ataques em larga escala podem ser detectados, e o Signal reduziu o número de possíveis consultas para complicar o rastreamento.
Os pesquisadores também propuseram muitas outras técnicas de mitigação, incluindo um novo método de descoberta de contato que poderia ser adotado para reduzir ainda mais a eficiência dos ataques sem impactar negativamente a usabilidade.
FONTE: HELPNET SECURITY