WhatsApp retirada de App Store por fallos de seguridad
WhatsApp retirada de App Store por fallos de seguridad
Es extraño que la gente de WhatsApp no haya dicho nada más. Las especulaciones son muchas, pero las informacione son pocas, y lo único seguro 100% es que Apple ha retirado WhatsApp de la App Store. Este hecho, ha sido confirmado desde la cuenta twitter de WhatsApp con un mensaje escueto, como manda la regla de los 140 caracteres, pero a la vez misterioso. En el mensaje se confirma que WhatsApp ya ha enviado una nueva versión a Apple para su revisión, por lo que se supone que incluso en el momento en que estés leyendo este artículo puede que haya vuelto a su sitio.
Figura 1: Mensaje de WhatsApp confirmando los hechos |
WhatsApp ha estado bajo la atenta mirada de los investigadores de seguridad durante largo tiempo, y desde el principio se conoce que no cifra los mensajes, y han ido apareciendo distintos métodos para hacer hijacking, pero nunca un fallo de estos hizo que Apple tomara una decisión como ésta.
Las especulaciones sobre cuales pueden ser los fallos apuntan a la publicación del paper SEC Consult Singapore, que tras una mala relación con el equipo de WhatsApp han publicado una POC pública sin código de exploit, y un documento en el que alertan de la posibilidad de:
1) Cambiar el estado de cualquier persona que utilice WhatsApp, al no haber una comprobación fuerte de quién está poniendo el estado nuevo.
2) Realizar un ataque de fuerza bruta al código de registro de teléfonos, saltandoselo.
3) Capturar las conversaciones al no ir cifradas, algo conocido ya, y que ha llevado a la aparición de herramientas de sniffing especializadas.
Figura 2: Explicación del fallo en el proceso de registro en el paper publicado |
Las pruebas de concepto las han hecho con la versión para Android, pero afectan de igual manera a la versión para Apple, aunque no hay noticias de que la versión de Android haya sido retirada del market de Google. Es por eso que algunos hablan de competencia agresiva para promocionar iMessage – que también tuvo su polémica al seguir recibiéndose mensajes por él en móviles wipeados – , el servicio análogo de Apple, pero de momento son teorías de conspiración nada más.
Fuente: Informática64 blog