Группа исследователей обнаружила, что можно определить местонахождение пользователей мессенджеров WhatsApp, Signal и Threema с точностью более 80%, запустив специально созданную атаку по времени.
Хитрость заключается во времени, необходимого злоумышленнику для получения уведомления о статусе доставки сообщения жертвы. Эти уведомления имеют определенные предсказуемые задержки в зависимости от положения пользователя.
Расположение инфраструктуры мессенджеров
Эти задержки можно измерить «на начальном этапе», отправив сообщение, когда местоположение цели известно. Затем злоумышленник может выяснить, где будет находиться получатель в следующий раз, просто отправив ему новое сообщение и измерив время, необходимое для получения уведомления о статусе доставки.
Исследователи проанализировали в своей технической статье , что эта атака по времени может определить страну, город, район получателя и даже определить, к какой сети он подключен – к Wi-Fi или мобильному Интернету. Для атаки необходимо, чтобы у киберпреступника и жертвы уже был диалог в мессенджере.
Чтобы атака по времени сработала, злоумышленнику необходимо использовать смартфон для отправки сообщений и приложение для захвата пакетов Wireshark для анализа собственного TCP-трафика и извлечения информации о времени.
Анализ сетевого трафика может помочь злоумышленнику определить, какие пакеты являются доставленными уведомлениями. В приложениях, протестированных исследователями, эти пакеты либо имеют заранее определенные размеры, либо идентифицируемые шаблоны структуры.
Затем злоумышленнику необходимо классифицировать различные местоположения и сопоставить их с измеренным временем «в оба конца», а затем попытаться сопоставить эти пары с местоположением цели, используя известный набор данных.
В результате тестов точность определения местоположения составила:
82% для Signal;
80% для Threema;
74% для WhatsApp.
Надежный способ для разработчиков приложений решить эту проблему — ввести систему, которая рандомизирует время подтверждения доставки отправителю. Всего от 1 до 20 секунд будет достаточно, чтобы устранить возможность этой атаки, не нарушая при этом функции уведомлений о статусе доставки. Кроме того, отключение уведомлений о доставке также решит эту проблему.
Источник: SecurityLab