ההודעות החד פעמיות שלכם בוואטסאפ כבר לא מוגנות

בשנים האחרונות,וואטסאפ שיווקה באגרסיביותאת פיצ'ר ה-"View Once" (צפייה חד-פעמית) כאמצעי האולטימטיבי לשמירה על פרטיות. הרעיון די פשוט: אתם שולחים תמונה או סרטון רגיש, הנמען צופה פעם אחת, והתוכן נעלם לנצח. אלא שמחקר אבטחה חדש של החוקר הישראלי טל בארי (CTO בחברת Zengo), אשר נחשף באתר גיקטיים, מטיל פצצה על התחושה הזו ומוכיח שמדובר באחיזת עיניים.

ככה עובד הכשל של וואטסאפ

הפרצה שחשף בארי אינה נובעת מתוכנת פריצה מתוחכמת, אלא מכשל תכנוני בסיסי באופן שבו וואטסאפ מנהלת את הפרוטוקול שלה. כאשר שולחים הודעת "צפייה חד-פעמית", השרתים של וואטסאפ שולחים את המדיה לכל המכשירים המקושרים של הנמען - כולל לוואטסאפ במחשב (Web/Desktop) - למרות שבגרסאות אלו המשתמש כלל לא אמור להיות מסוגל לפתוח את ההודעה.

בארי גילה שעל ידי שימוש בגרסה מותאמת אישית של קוד הוואטסאפ, ניתן לגרום למחשב "להתחזות" לטלפון נייד. ברגע שהשרת משתכנע שמדובר בנייד, הוא מעביר את הקובץ. כאן טמון הכשל המרכזי. האחריות על מחיקת התמונה מוטלת על האפליקציה של הנמען, ולא על השרתים של אפליקציית המסרים הפופולרית. "קליינט" (תוכנה) ששונה מעט פשוט מתעלם מהפקודה "תמחק אחרי צפייה" ושומר את הקובץ לצמיתות כקובץ רגיל לכל דבר.

הסכנה אינה נובעת רק מחוקרי אבטחה. ברחבי הרשת כבר קיימים תוספים לדפדפן וגרסאות וואטסאפ "משופצות" המאפשרות למשתמשים מן השורה לעקוף את המנגנון בלחיצת כפתור, מבלי שהשולח ידע על כך לעולם.

אזהרה חשובה למשתמשים

אל תסמכו על מנגנון ה"צפייה חד-פעמית" להעברת מידע רגיש. חשוב להבין כי ברגע שמידע דיגיטלי הגיע למכשיר של מישהו אחר, השליטה שלכם עליו מסתיימת. גם אם וואטסאפ תתקן את הפרצה הספציפית הזו, תמיד קיימות דרכים עוקפות - החל מצילום מסך במכשירים מסוימים, דרך צילום הטלפון במצלמה חיצונית, ועד שימוש בתוכנות ייעודיות שמקליטות את זיכרון המכשיר. אין דרך לעקוף את האמת המרה: אתם לא רוצים שהתמונה תישמר אצל הצד השני לנצח - פשוט אל תשלחו אותה.

בעקבות החשיפה, מסרה חברת מטא (Meta) כי היא מודעת לנושא ופועלת לעדכון גרסאות הוואטסאפ במחשב. עם זאת, מומחי אבטחה מדגישים כי כל עוד הפיענוח של ההודעה מתבצע אצל הנמען, תמיד יהיה ניתן טכנית לעקוף את המחיקה.