Silent Whisper: Ο «αόρατος κατάσκοπος» που απειλεί 3 δισ. χρήστες WhatsApp και Signal

Η πεποίθηση ότι εφαρμογές όπως το WhatsApp και το Signal είναι απόρθητες χάρη στην κρυπτογράφηση, δέχεται ένα ακόμη ισχυρό πλήγμα. Ενώ το περιεχόμενο των συνομιλιών παραμένει κλειδωμένο, μια νέα έρευνα αποκαλύπτει πως η «αχίλλειος πτέρνα» βρίσκεται αλλού: στον ίδιο τον μηχανισμό που επιβεβαιώνει ότι ένα μήνυμα παραδόθηκε.

Ερευνητές κυβερνοασφάλειας ανέπτυξαν ένα εργαλείο που εκμεταλλεύεται μια ευπάθεια γνωστή ως Silent Whisper. Η τεχνική αυτή θέτει σε κίνδυνο περίπου τρία δισεκατομμύρια χρήστες παγκοσμίως, επιτρέποντας σε επιτήδειους να παρακολουθούν τη δραστηριότητα και τις συνήθειές τους, χωρίς τα θύματα να αντιληφθούν το παραμικρό.

Πώς λειτουργεί η «σιωπηλή» επίθεση

Η ευπάθεια δεν βασίζεται σε κάποιο ιό που πρέπει να κατεβάσετε, αλλά εκμεταλλεύεται τον τρόπο που λειτουργούν τα Delivery Acknowledgments (ACKs) – οι ψηφιακές αποδείξεις παράδοσης.

Κάθε φορά που το τηλέφωνό σας λαμβάνει δεδομένα, η εφαρμογή (WhatsApp ή Signal) στέλνει αυτόματα ένα σήμα πίσω στον διακομιστή για να επιβεβαιώσει την παραλαβή. Αυτό συμβαίνει στο παρασκήνιο, ακόμη και αν έχετε απενεργοποιήσει τα γνωστά «μπλε τικ» (read receipts).

Το εργαλείο που ανέπτυξαν οι ειδικοί μπορεί να στέλνει «αόρατα» μηνύματα ή πακέτα δεδομένων στον αριθμό του στόχου. Η συσκευή του θύματος αντιδρά αυτόματα στέλνοντας πίσω την επιβεβαίωση παράδοσης. Αναλύοντας τον χρόνο απόκρισης και τη συχνότητα αυτών των σημάτων, ο επιτιθέμενος μπορεί να εξάγει τρομακτικά ακριβή συμπεράσματα:

• Πότε είστε ξύπνιοι και πότε κοιμάστε.
• Πότε χρησιμοποιείτε ενεργά το κινητό σας.
• Πότε βρίσκεστε σε περιοχή με κακό σήμα ή σε κίνηση.

Το πιο ανησυχητικό είναι η «σιωπή» της επίθεσης. Το θύμα δεν βλέπει καμία ειδοποίηση, κανένα μήνυμα, καμία ένδειξη στην οθόνη του. Όλα συμβαίνουν σε επίπεδο δικτύου.

Το κινητό σας «μαρτυρά» την επίθεση

Παρόλο που η επίθεση είναι ψηφιακά αόρατη, αφήνει φυσικά ίχνη στη συσκευή, τα οποία οι ερευνητές επισημαίνουν ως τα μοναδικά σημάδια προειδοποίησης για τον χρήστη.

Η συνεχή αποστολή και λήψη αυτών των αόρατων πακέτων αναγκάζει το κινητό να εργάζεται υπερωρίες. Οι δύο βασικές παρενέργειες που παρατηρήθηκαν είναι:

1. Δραματική μείωση της μπαταρίας: Η συσκευή δεν μπαίνει ποτέ σε πλήρη κατάσταση αναμονής (sleep mode), καθώς ξυπνάει συνεχώς για να απαντήσει στα "Silent Whisper" πακέτα.
2. Αύξηση κατανάλωσης δεδομένων: Παρόλο που τα πακέτα είναι μικρά, ο τεράστιος όγκος τους μπορεί να οδηγήσει σε ανεξήγητη κατανάλωση MBs.

Γιατί το Signal και το WhatsApp είναι εκτεθειμένα;

Είναι ειρωνικό το γεγονός ότι οι εφαρμογές που διαφημίζονται από τις ασφαλέστερες στον κόσμο είναι αυτές που στοχοποιούνται. Το πρόβλημα δεν είναι η κρυπτογράφηση, αλλά τα μεταδεδομένα (metadata). Οι εφαρμογές αυτές είναι σχεδιασμένες για αμεσότητα. Η ανάγκη να γνωρίζει ο αποστολέας ότι «το μήνυμα παραδόθηκε» δημιουργεί ένα κανάλι επικοινωνίας που παραμένει ανοιχτό και, όπως αποδείχθηκε, εκμεταλλεύσιμο.

Οι ερευνητές τόνισαν πως η επίθεση αυτή είναι ιδιαίτερα αποδοτική γιατί απαιτεί μόνο τον αριθμό τηλεφώνου του θύματος. Δεν χρειάζεται να είστε «φίλοι» ή επαφές για να ξεκινήσει η διαδικασία της χαρτογράφησης.

Τι σημαίνει αυτό για την ιδιωτικότητά μας

Η ευπάθεια Silent Whisper υπογραμμίζει μια πικρή αλήθεια της ψηφιακής εποχής: Η προστασία του τι λέμε είναι ευκολότερη από την προστασία του ποιοι είμαστε. Οι πληροφορίες συμπεριφοράς είναι χρυσός για διαφημιστές, hackers, αλλά και κρατικές υπηρεσίες παρακολούθησης.

Μέχρι στιγμής, οι εταιρείες πίσω από τις εφαρμογές (Meta και Signal Foundation) δεν έχουν ανακοινώσει κάποια ριζική αλλαγή στην αρχιτεκτονική των delivery receipts που να εξαλείφει πλήρως τον κίνδυνο χωρίς να επηρεάζει τη λειτουργικότητα των εφαρμογών. Μέχρι τότε, αν η μπαταρία σας τελειώνει ξαφνικά πολύ γρήγορα, ίσως να μην φταίει η παλαιότητα της συσκευής, αλλά κάποιος που «ακούει» τη σιωπή του κινητού σας.