Krypterede meddelelser på flere enheder kan øge risici, siger eksperter

Efter sin meddelelse i juli Muligheder for flere enheder var i beta, glædede WhatsApp-brugere sig over tanken om at kunne logge ind på tværs af flere enheder. Men vil den ekstra bekvemmelighed komme med afvejninger for privatlivets fred? Her er hvad du behøver at vide.

På trods af sin anerkendt krypteringsprotokol, har den populære beskedapp komme under beskydning -en få gange i seneste år (og, øh, i går) for adskillige sårbarheder, hvilket rejser spørgsmål om dets sikkerhed. Eksperter advarer om, at der også kan være afvejninger, når du forbinder flere enheder til enhver krypteret kommunikationsapp.

"[Spørgsmålet] er ikke bare at tilføje flere enheder, men er de altid sikre?"

Steven M. Bellovin, en professor i datalogi ved Columbia University, fortalte Lifewire i et telefoninterview. "Sikkerhedssætningen er 'angrebsoverflade' - hvor mange steder kan du blive angrebet, og på hvor mange forskellige måder?"

Teknisk sikker

Ifølge Bellovin starter et af de mere udfordrende problemer at løse omkring sikring af flere enheder under én konto med det grundlæggende grundlag for kryptering.

"Al kryptering afhænger af en hemmelig nøgle," sagde Bellovin og sammenlignede krypteringsnøgler med bilnøgler, der kun kan starte den bil, de tilhører. "Hver person skal have deres egen. Det er derfor, du kan læse det, og ingen andre kan."

Fordi hver app, der er afhængig af end-to-end-kryptering (E2EE), bruger en specifik protokol baseret på de underliggende principper for nøglehåndtering og navneområde (sidstnævnte er normalt brugerens telefonnummer), sagde Bellovin, at udfordringen er at finde en måde at sikkert flytte nøgler og autentificere ejere på flere enheder - noget han sagde er "ikke let spørgsmål."

Nøgler til riget

Ligesom sine konkurrenter tillader WhatsApp allerede brugere at logge ind på en computer, så længe de også er logget ind på den smartphone, der er knyttet til deres nøgle (virksomheden) siger, at det så spejler kontoen). Under betasystemet vil hver synkroniseret enhed dog have sin egen nøgle - så brugerne kan logge på fire ekstra enheder uden en telefon.

"E2EE bruger normalt en enkelt krypteringsnøgle pr. bruger, som skal kopiere nøglen til hver enhed, de vil bruge... Det er derfor, WhatsApp, har indtil nu kun understøttet én enhed - fordi det er svært at holde krypteringsnøglen sikker, mens du flytter den til flere enheder," John S. Koh, en sikkerhedsforsker, hvis arbejde har fokuseret på en multi-enheds E2EE-tilgang kaldet per-enhedsnøgler (PDK), fortalte Lifewire i en e-mail.

"Med PDK, i stedet for at brugere kun har en enkelt krypteringsnøgle, har hver af en brugers enheder sin egen krypteringsnøgle. WhatsApp ser ud til at tage dette koncept og refererer til enhedsnøglerne som 'identitetsnøgler'," sagde Koh. "En af fordelene ved E2EE på flere enheder ved at bruge min, og formentlig WhatApps, tilgang, der er afhængig af én nøgle pr. enhed, er, at brugsmodellen er meget lettere at forstå for brugerne. Afvejningen er det yderste tilfælde af, at brugere mister deres enheder og skal fjerne deres adgang, hvilket nogle gange kan være en besværlig proces."

Flere enheder, samme løsninger

"Svaret på, om noget er sikkert, begynder altid med et andet spørgsmål, som er: "Hvad er dine behov?" Maritza Johnson, en sikkerheds- og privatlivsekspert og centerdirektør ved University of San Diego, fortalte Lifewire i et telefoninterview.

For at imødekomme individuelle sikkerhedsbehov, sagde Facebook i et blogindlæg at WhatsApp planlægger at tilbyde muligheden for at se alle enheder knyttet til en konto, se hvornår de sidst blev brugt, og log ud eksternt – noget Johnson sagde er vigtigt, især for ofre for partnermisbrug, som nogle gange er mål for cyberstalking.

"Du vil ikke have, at din ekskærestes telefon får en kopi af alt, og du ved det ikke, eller du ved ikke, hvordan du slukker den," sagde Johnson. "Det er en personlig beslutning, hvis du vil logge ind på din WhatsApp-konto på en delt enhed og tænke igennem, hvad implikationerne af det ville være."

Johnson understregede også vigtigheden af ​​at sikre, at alle sammenkædede enheder er adgangskodebeskyttet for at undgå, at andre fysisk får adgang til den - noget den stærkeste kryptering ikke kan beskytte mod.

"Enhver bærbar computer, tablet eller anden enhed, som du bruger med den samme konto, vil du gerne være sikker på, at du have det samme grundlæggende sikkerhedsniveau på alle disse... så nogen ikke bare kan swipe for at åbne," sagde Johnson.