1. Falschmeldung oder nachgerüstetes Feature?
Seit Tagen »geistert« im Internet die Meldung umher, dass der WhatsApp Messenger um eine Nachrichten-Verschlüsselung erweitert wurde. Vorausgesetzt wird lediglich die neueste Version für Android oder iPhone Smartphones – und voilà die Nachrichten sollen verschlüsselt sein.
Update
24.08.2012: Neben den eigentlichen Nachrichten werden auch weitere Funktionen, wie »Kontakte senden« oder »Standort senden« verschlüsselt ausgetauscht.Als Quelle für diese Meldung dient ein Eintrag [Seite entfernt] von Kevin C. im WhatsApp Support Forum vom 15. August 2012. Dies wirft sofort die Frage auf, warum ein solches Feature Update nicht offiziell angekündigt wurde und nur am »Rande« in einem kurzen Foren Beitrag erwähnt wird. Eine unscheinbare Bemerkung die Aufmerksamkeit hervorrief. Bislang wurden die Nachrichten nicht verschlüsselt und konnten mit entsprechenden Tools abgehört werden – in einem Beitrag hatte ich dies bereits kurz erläutert. Doch was ist wirklich dran an der Meldung? Werden die Nachrichten jetzt tatsächlich verschlüsselt? In einem Praxistest habe ich es untersucht.
2. WhatsApp Verschlüsselung – Der Test
Folgende Ausgangssituation:
- iPhone mit WhatsApp 2.8.2 (aktuellste Version vom 13. Juli 2012)
- Chat-Partner: Ebenfalls iPhone mit WhatsApp 2.8.2
Verwendete Tools:
- Aircrack-ng
- Wireshark
- Edimax EW-7318USg WLAN Stick (für den Promiscuous Mode)
Zunächst wird Aircrack-ng gestartet und entsprechend konfiguriert. Sobald sich das WLAN-Interface im Monitor Mode befindet wird Wireshark aufgerufen. Dort werden ab sofort alle Pakete mitgeschnitten, die über das WLAN versendet werden. Als nächstes starte ich WhatsApp und beginne einen Chat mit einem Gesprächspartner.
3. Die Ergebnisse im Detail
Der Kuketz-Blog ist spendenfinanziert!
Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.
Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.
3.1 Verbindungsaufbau
Unmittelbar nach dem Start der App wird eine Verbindung zu »173.192.219.151-static.reverse.softlayer.com« aufgebaut. WhatsApp stellt hierfür einen DNS-Request und schickt im Anschluss ein TCP SYN Paket an den Port 5222 (XMPP). Dieser Port bzw. Dienst ist ein offener Standard für Nachrichten basierend auf dem XML-Standard. Zurück kommt ein SYN-ACK Paket, was unser WhatsApp Messenger dann mit einem TCP ACK Paket auf den Port 5222 bestätigt.
Was ist passiert? Nur der Verbindungsaufbau zum WhatsApp Service. Ansonsten zunächst nichts.
3.2 Authentifizierung
Jetzt möchte die Gegenseite wissen wer ich überhaupt bin. Der WhatsApp Client authentifiziert sich also gegenüber dem Server und schickt neben der Versionsnummer von WhatsApp ebenfalls meine Telefonnummer. Allerdings nicht verschlüsselt – sondern weiterhin im Klartext!
3.3 Kommunikation
Da mein Client bzw. meine Telefonnummer nun eindeutig identifiziert sind werden meine Chats und Kontakte geladen. Den eigentlichen Chat beginne ich jetzt. Außer kryptischen Zeichensätzen ist der Chat nicht mehr einsehbar. Weder den Namen noch den Inhalt von dem was ich meinem Gesprächspartner übermittle sind im Klartext lesbar. Auch nicht in die umgekehrte Richtung, also von Empfänger zu Sender. Nachrichten sind also tatsächlich verschlüsselt.
4. Fazit
Die Aussage des Support Mitarbeiters hat für Verwirrung gesorgt. Noch ist nicht klar, weshalb das Feature nicht im Changelog zu finden ist oder kein offizielles Statement dazu veröffentlicht wurde.
Möglicherweise befindet sich die Verschlüsselung noch in der Testphase. Eventuell wird sich WhatsApp in den kommenden Tagen dazu äußern. In der Konstellation iPhone zu iPhone mit WhatsApp 2.8.2 sind die Nachrichten jedenfalls verschlüsselt. Bei der Authentifizierung gegenüber dem WhatsApp-Server wird die Telefonnummer allerdings noch immer unverschlüsselt übertragen und ist somit für jeden einsehbar, der den Netzwerkverkehr mitschneidet. Es besteht also weiterhin Nachholbedarf.
Bildquellen:
WhatsApp: https://www.whatsapp.com/
Über den Autor | Kuketz
In meiner freiberuflichen Tätigkeit als Pentester / Sicherheitsforscher (Kuketz IT-Security) schlüpfe ich in die Rolle eines »Hackers« und suche nach Schwachstellen in IT-Systemen, Webanwendungen und Apps (Android, iOS). Des Weiteren bin ich Lehrbeauftragter für IT-Sicherheit an der Dualen Hochschule Karlsruhe, sensibilisiere Menschen in Workshops und Schulungen für Sicherheit und Datenschutz und bin unter anderem auch als Autor für die Computerzeitschrift c’t tätig.
Der Kuketz-Blog bzw. meine Person ist regelmäßig in den Medien (heise online, Spiegel Online, Süddeutsche Zeitung etc.) präsent.
Unterstützen
Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.
Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:
WhatsApp: Datenschutzkonforme Nutzung möglich?
Datenschutzfreundliche und sichere WhatsApp-Alternativen
Delta Chat: Messaging über die E-Mail-Infrastruktur – Messenger Teil5
iPhone Backdoor oder Push Service?
Abschließender Hinweis
Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.