警惕 WhatsApp 的潜在弱点：智利警方是否可以解密来自 WhatsApp 的信息？ - iYouPort
警惕 WhatsApp 的潜在弱点：智利警方是否可以解密来自 WhatsApp 的信息？
- 当技术背叛我们时，当某些事情失败时会发生什么？我们如何在这方面获得确定性？我们可以信任谁？
数字权利技术团队对智利警方破解 WhattsApp 加密的方式很感兴趣。
技术发展所带来的核心问题就是：信任。我们为了获得更美好的明天而选择了支持技术发展，而且经常忘记自己不是在谈论一个单独的、全能的、最重要的是本质上好的实体。我们对技术的依赖已经妨碍了提升健康的批判性思考的能力。
盲目信任的一个重要原因是，我们中大多数人 不知道这些技术是如何工作的，而且无心去认真了解它们，因为它们太便利了，即使是最缺乏技术能力的用户也不需要付出任何努力就能获得满足。
这种无知还使我们能够将新技术融入生活中而无需过多地考虑这种行为的含义： 如果我们知道其他人可以访问这些信息、并收集和处理我们的私密，是否还愿意将我们的生活放在手机上？ 尽管我们应该这样做，但对于有些事往往不愿意多想。
当技术背叛我们时，当某些事情失败时会发生什么？我们如何在这方面获得确定性？我们可以信任谁？
这些问题在 2017 年 9 月被再次提出，智利武警通过 媒体 解释说，“多亏了 WhatsApp，已经确定了在该国第九区的森林纵火的嫌疑人，通过拦截他们在 WhatsApp 中的对话获悉的”。
当时除了少数例外，所有官方声音都认定这一结论而毫无置疑，没有询问其中所涉及的基本概念的含义，只是顺便提及那些概念。然而事实证明，这种影响是巨大的：四个月后，检察官和警察正面临一系列控诉，警察和一名平民被指控捏造证据陷害无辜者。
案件被离奇地推翻了，并且某种程度上与悲观主义擦身而过。但是，最重要的是，这一问题被令人难以置信的混淆和复杂化：虽然舆论的注意力集中在讨论一个名为 Torch 的软件是否存在，但大规模的非法通讯拦截等行为几乎未被注意到，也没有进入公开辩论; 如果没有正确的解释，许多危险性问题将仍然存在。
确定性是一项极其复杂的事业。数字版权技术团队就此提出了一个问题：您如何从第三方获得 WhatsApp 的内部对话？根据媒体报道和文件信息， 该团队测试了理论上可以访问 WhatsApp 通信内容的不同方式 。这一想法是能够接近关于这次信息拦截的可行性，以及智利警方是否有能力执行此类入侵。
但是从更广泛的意义上说，这项研究的目标是 更多地了解 WhatsApp 及其潜在的脆弱性状况，以便为风险最高的人群 – 行动主义者、记者、人权维护者提供更多信息。 在决定使用该应用程序的时候，尽可能安全地为他们提供必要的保护。
应该记住的是， 没有任何技术是绝对可靠的 ，最好的情况是脆弱性不被公开。从这个意义上讲，WhatsApp 的加密标准还算是高的，数字版权团队分析的技术表明，入侵会比较复杂，需要一系列先前的步骤，在大多数情况下需要先进行物理访问。但是，请记住，加密是抵御某种类型的攻击，而在第三方可以操纵设备或者对话中的一位参与者提供了信息的情况下，加密就起不到作用了。
注意：不论此案中提供的信息是真实的还是虚假的，完全可以确信的是， 智利警方所表达的愿望是将这种技术用于未来广泛的调查目的 。
当局可能会完善一些监视技术的必要步骤，这些监视技术没有足够的调控措施，很可能成为民主的主要威胁。
研究人员在报告中写道： 由于在 WhatsApp 的初始设计和开发中缺乏安全标准（没有采用证书密码 Certificate Pinning 技术，该技术能够阻止通过伪造证书绕过web加密的攻击行为），因此该应用程序中可能存在漏洞；该软件的闭源代码模型不允许审计其应用程序和服务器的安全措施；WhatsApp 背后的公司 Facebook 的监视资本主义商业模式是基于广告的、以收集用户数据为盈利的，并已经在用户隐私方面出现了多个严重的丑闻。
报告回顾了 WhatsApp 的架构，以更好地理解加密协议之外的其他形式的违规行为为什么可能。测试是在安卓系统上进行的，但是并不意味着电脑和 IOS 会更安全。
该报告在这里（pdf）： ¿Confiable y seguro?
其实早前已经有一些间谍软件声称可以做到这点。比如 Win Spy，允许查看目标智能手机的 WhatsApp 上发生的所有对话，毫不费力地找到目标人长期与之聊天的人数和姓名; 获取日期和时间以了解每次聊天何时发生; 获取通过 WhatsApp 发送并保存在目标手机上的任何音频文件、照片或视频。即使在 Win Spy 控制面板上上传的 WhatsApp 会话也可以通过互联网从任何地方访问。
欺骗目标手机的 MAC 地址是另一种窥视 WhatsApp 消息的方法。这个过程很难，需要很高的技术能力才能执行。 首先需要在目标手机上采取措施记录其 MAC 地址……换句话说就是，你至少要先知道目标是谁，对于警方来说就是确定怀疑对象，大海捞针是没门的。
对于 Android 开发者来说，还一种窥探他人的 WhatsApp 消息的方式，就是编写一个应用程序，并进一步捕获 WhatsApp 通知，其中只包含 WhatsApp 消息。
Whatsapp 采用 SSL 空密码和启用 SSL 的导出密码，这 两个弱点 使得攻击者能够绕过客户端与后端服务器之间的加密通讯。这是如 NSA 等情报机构最喜欢的东西，可以利用来发起中间人攻击，降低加密等级并嗅探流量。⚪️
文章版权归原作者所有。
