Il y a déjà un an, Check Point Research annonçait à WhatsApp que l’application présentait d’importantes vulnérabilités.

Les hackeurs pourraient modifier des messages, et ainsi, se faire passer pour toi.

Une cible facile et intéressante

La messagerie possédée par Facebook compte plus d’un milliard et demi d’utilisateurs. Elle est actuellement numéro un des téléchargements du Google Play Store. En raison de ces chiffres, elle est une cible intéressante pour les pirates informatiques.

Malheureusement, une application aussi populaire et importante n’est pas pour autant sécurisée à 100%. En effet, Check Point avait trouvé déjà il y a un an pas moins de 3 façons de modifier les messages des utilisateurs, en conversation privée comme en groupe public. Ils peuvent ainsi faire passer de fausses informations comme provenant de sources sûres.

De quoi te méfier?

Ne fais pas confiance à la fonction de réponse. Celle-ci permet originellement de citer le message d’un utilisateur d’une conversation privée, afin de montrer ce à quoi notre propre texto répond. Cependant, deux méthodes permettent de modifier ces citations.

La première est de changer le nom de l’expéditeur du message originel. Il est donc possible de faire croire à tout un groupe que quelqu’un d’autre a prononcé des mots, parfois dangereux.

La deuxième méthode est bien plus dangereuse encore. En effet, il est possible de modifier le contenu direct du message. Cela t’autorise alors à convaincre tous les participants d’un groupe privé de n’importe quelle information qui t’aurait été donnée par un autre usager.

Note par ailleurs qu’il existait une dernière méthode l’an passé, qui consistait à déguiser un message privé en message public en changeant sa source. Une réponse pouvait alors le renvoyer vers cette source, et le rendre donc visible par tout un groupe. Fort heureusement, cette faille a été corrigée par Whatsapp.

Comment ça marche?

Whatsapp est connu pour son encryptage de message ne laissant pas d’utilisateurs récupérer les données serveur des messages. Cependant, l’équipe de Check point a réussi à inverser l’algorithme de cryptage Whatsapp.

Ainsi, en récupérant le trafic de données envoyées par protocoles HTTP, Check Point est alors en mesure de décrypter ces données et donc de voir exactement à quoi elles correspondent. Il est alors possible de les modifier, de les encrypter à nouveau, puis de les envoyer sur le serveur.

Source: Tom’s Guide