Sono stati gli israeliani di CheckPoint a scoprire che all'interno di WhatsApp, il più noto software di messaggistica istantanea al mondo, ci sono diverse falle di sicurezza.

Esse riguardano il modo in cui l'applicazione per smartphone si connette a WhatsApp Web - funzionalità che permette di usare la chat dal browser di un Pc - e decritta i messaggi protetti dalla crittografia end-to-end tramite il protocollo protobuf2.

Le falle consentono a chi sappia sfruttarle di intercettare i messaggi scambiati e utilizzare la funzione che permette di citare i messaggi precedenti per cambiare l'identità del mittente, alterare il contenuto delle risposte altrui già spedite o addirittura inviare messaggi privati a ciascuno dei partecipanti mascherandoli da messaggi di gruppo e senza che gli altri membri se ne accorgono.

Per approfondire:

WhatsApp, i messaggi crittografati non sono poi così privati

Fake news e false citazioni

Come mai la Finlandia resiste alle fake news?

Zuckerberg chiede scusa alla UE, che non si accontenta e lo accusa di attentare ...

I ricercatori hanno realizzato un video che, sfruttando un'estensione sviluppata appositamente per la Burp Suite (software di analisi della sicurezza nel web), dimostra l'effetto che è possibile ottenere, e che riportiamo in coda all'articolo.

Tale estensione, battezzata WhatsApp Protocol Decryption Burp Tool è liberamente disponibile su GitHub, mentre un post sul blog ufficiale di CheckPoint spiega come utilizzarla recuperando le chiavi pubbliche e private usate da WhatsApp.

Gli sviluppatori di WhatsApp sono già stati avvisati del problema, ma la loro risposta è stata scoraggiante: dato che le possibilità mostrate dai ricercatori israeliani in fondo non alterano le funzionalità di base della crittografia end-to-end, il guaio non è poi così serio.

Gli utenti - spiegano - dopotutto possono sempre «bloccare i mittenti che alterano i messaggi e possono segnalarci i contenuti problematici». Posto che se ne accorgano, aggiungeremmo.

Gli scopritori delle falle hanno allora provato ad argomentare segnalando come con queste tecniche sia possibile fare disinformazione (diffondendo fake news), ma WhatsApp ha risposto che quella debolezza è dovuta a un compromesso ben noto, che indebolisce un po' la sicurezza ma avvantaggia le funzionalità e la comodità degli utenti. Per cui - hanno concluso - «Non abbiamo per ora intenzione di apportare a WhatsApp alcun cambiamento».

L'unica raccomandazione che è possibile fare in questo caso agli utenti è quindi non fidarsi ciecamente di tutto ciò che arriva tramite WhatsApp: c'è sempre la possibilità che qualche burlone esperto di informatica abbia modificato a bella posta i messaggi.