Krypterte meldinger på flere enheter kan øke risikoen, sier eksperter

Etter kunngjøringen i juli at funksjoner for flere enheter var i beta, gledet WhatsApp-brukere seg over ideen om å kunne logge på på flere enheter. Men vil den ekstra bekvemmeligheten komme med avveininger for personvernet? Her er det du trenger å vite.

Til tross for sin anerkjent krypteringsprotokoll, har den populære meldingsappen komme under ild en noen ganger i senere år (og, eh, i går) for en rekke sårbarheter, noe som reiser spørsmål om sikkerheten. Eksperter advarer om at det også kan være avveininger når du kobler flere enheter til en kryptert kommunikasjonsapp.

"[Spørsmålet] er ikke bare å legge til flere enheter, men er de alltid sikre?"

Steven M. Bellovin, en professor i informatikk ved Columbia University, fortalte Lifewire i et telefonintervju. "Sikkerhetssetningen er 'angrepsoverflate' - hvor mange steder kan du bli angrepet, og på hvor mange forskjellige måter?"

Teknisk sikker

I følge Bellovin starter et av de mer utfordrende problemene å ta opp med å sikre flere enheter under én konto med det grunnleggende grunnlaget for kryptering.

"All kryptering avhenger av en hemmelig nøkkel," sa Bellovin, og sammenlignet krypteringsnøkler med bilnøkler som bare kan starte bilen de tilhører. "Hver person må ha sin egen. Det er derfor du kan lese den og ingen andre kan."

Fordi hver app som er avhengig av ende-til-ende-kryptering (E2EE) bruker en spesifikk protokoll basert på de underliggende prinsippene for nøkkelhåndtering og navneområde (sistnevnte er vanligvis brukerens telefonnummer), sa Bellovin at utfordringen er å finne en måte å sikkert flytte nøkler og autentisere eiere på flere enheter - noe han sa er "ikke lett spørsmål."

Nøkler til riket

I likhet med konkurrentene lar WhatsApp allerede brukere logge på en datamaskin så lenge de også er logget på smarttelefonen knyttet til nøkkelen deres (selskapet sier at det deretter speiler kontoen). Under betasystemet vil imidlertid hver synkronisert enhet ha sin egen nøkkel – slik at brukere kan logge på fire ekstra enheter uten telefon.

"E2EE bruker vanligvis en enkelt krypteringsnøkkel per bruker, som må kopiere nøkkelen til hver enhet de vil bruke... Det er derfor WhatsApp, til nå, har kun støttet én enhet—fordi det er vanskelig å holde den krypteringsnøkkelen trygg og sikker mens du flytter den til flere enheter," John S. Koh, en sikkerhetsforsker hvis arbeid har fokusert på en multi-device E2EE-tilnærming kalt per-device keys (PDK), fortalte Lifewire i en e-post.

"Med PDK, i stedet for at brukere bare har én enkelt krypteringsnøkkel, har hver av en brukers enheter sin egen krypteringsnøkkel. WhatsApp ser ut til å ta dette konseptet og refererer til enhetsnøklene som "identitetsnøkler," sa Koh. "En av fordelene med E2EE på flere enheter som bruker min, og antagelig WhatApps, tilnærming som er avhengig av én nøkkel per enhet, er at bruksmodellen er mye lettere å forstå for brukerne. Avveiningen er kanten på at brukere mister enhetene sine og trenger å fjerne tilgangen, noe som noen ganger kan være en møysommelig prosess."

Flere enheter, samme løsninger

"Svaret på om noe er sikkert begynner alltid med et annet spørsmål, som er "Hva er dine behov?" Maritza Johnson, en sikkerhets- og personvernekspert og senterdirektør ved University of San Diego, fortalte Lifewire i et telefonintervju.

For å møte individuelle sikkerhetsbehov, sa Facebook i et blogginnlegg at WhatsApp planlegger å tilby muligheten til å se alle enheter knyttet til en konto, se når de sist ble brukt, og logge ut eksternt – noe Johnson sa er viktig, spesielt for ofre for partnermishandling som noen ganger er mål for cyberstalking.

"Du vil ikke at telefonen til ekskjæresten din skal få en kopi av alt, og du vet ikke, eller du vet ikke hvordan du slår den av," sa Johnson. "Det er en personlig avgjørelse, hvis du vil logge på WhatsApp-kontoen din på en delt enhet, og tenke gjennom hva implikasjonene av det ville være."

Johnson understreket også viktigheten av å sørge for at hver koblede enhet er passordbeskyttet for å unngå at noen andre fysisk får tilgang til den – noe den sterkeste krypteringen ikke kan beskytte mot.

"Enhver bærbar datamaskin, nettbrett eller annen enhet du bruker med samme konto, vil du være sikker på at du ha det samme grunnleggende sikkerhetsnivået på alle disse... slik at noen ikke bare kan sveipe for å åpne," sa Johnson.