WhatsApp widerspricht angeblicher Hintertür

Die Facebook-Tochter WhatsApp hat den Vorwurf eines Sicherheitsforschers zurückgewiesen, eine werksseitig eingebaute Hintertür erlaube es Dritten, verschlüsselte Nachrichten abzufangen und zu entschlüsseln. Auch Whisper Systems, Entwickler des von WhatsApp und anderen Messengern verwendeten Verschlüsselungsprotokolls Signal, bezeichnete den von der britischen Zeitung Guardian veröffentlichten Bericht als „falsch“.

Entdeckt hat die angebliche Sicherheitslücke Tobias Boelter, Kryptografieexperte an der University of California in Berkeley. Sie soll in der Funktion stecken, die es erlaubt, Verschlüsselungsschlüssel für Offline-Nutzer zu erstellen, die weder dem Absender noch dem Empfänger bekannt sind.

Sobald der Nutzer wieder mit dem Internet verbunden ist, werden die offline erstellten Nachrichten wie andere, noch nicht gesendete Nachrichten behandelt: Es werden neue Schlüssel generiert und mit dem Empfänger ausgetauscht. Da dem Empfänger der Austausch des Schlüssels nicht bekannt sei und der Sender standardmäßig nicht über den Schlüsselaustausch informiert werde, könne WhatsApp die Kommunikation abfangen und lesen.

„Falls WhatsApp von einer Regierungsbehörde aufgefordert wird, seine Messaging-Protokolle offenzulegen, kann es aufgrund der Änderungen des Schlüssel einen effektiven Zugang gewähren“, zitiert The Guardian den Forscher. Der Forscher betont aber auch, dass der Fehler nicht im Signal-Protokoll steckt, das auch für den gleichnamigen Messenger benutzt wird. Signal ist der bevorzugte Messenger des Whistleblowers Edward Snowden.

Boelter habe Facebook schon im April 2016 über die angebliche Schwachstelle informiert, heißt es weiter in dem Bericht. Facebook habe ihm mitgeteilt, das „Problem“ sei bekannt und kein Fehler.

„Der Guardian hat einen Artikel veröffentlicht, in dem behauptet wird, eine absichtliche Design-Entscheidung, die verhindern soll, dass Nutzer Millionen von Nachrichten verlieren, sei eine Hintertür, die es Regierungen erlaubt, WhatsApp zur Entschlüsselung von Nachrichtenströmen zu zwingen“, erklärte ein WhatsApp-Sprecher am Freitag gegenüber silicon.co.uk. „Diese Behauptung ist falsch.“

WhatsApp gebe Behörden keinen verdeckten Zugang zu seinen Systemen und wehre sich auch gegen jegliche Forderungen dieser Art. Die im Guardian-Artikel beschriebene Funktion für den Umgang mit Offline-Nachrichten verhindere, dass Nutzer beispielsweise beim Verlust ihres Geräts oder dem Wechsel zu einem anderen Gerät Nachrichten verlören. Zudem hätten Nutzer die Möglichkeit, in den Einstellungen der Messaging-App Benachrichtigungen zu möglichen Sicherheitsrisiken zu aktivieren, ergänzte der Sprecher. In dem Fall informiert WhatsApp den Nutzer, dass für eine nicht gesendete Nachricht ein neuer Schlüssel generiert wird.

Whisper Systems betonte zudem in einem Blogeintrag, der Austausch von Schlüsseln an sich sei nicht ungewöhnlich. „Das ist etwas, womit jedes auf öffentlichen Schlüsseln basierende Kryptografiesystem umgehen muss.“ Theoretisch sei WhatsApp zwar in diesen Situationen in der Lage, als „Man in the Middle“ aufzutreten, das sei aber bei jedem Kommunikationssystem möglich. WhatsApp-Nutzer könnten indes eine Schlüsselprüfung aktivieren, die einen Man-in-the-Middle-Angriff aufdecke. WhatsApp sei aber nicht bekannt, ob ein Nutzer diese Einstellung aktiviert habe. Das Unternehmen laufe also Gefahr, von seinen Nutzern ertappt zu werden.

„Die Tatsache, dass WhatsApp Schlüsseländerungen erlaubt, ist keine ‚Hintertür‘, Verschlüsselung funktioniert so“, heißt es in dem Blogeintrag. „Jeder Versuch des Servers, Nachrichten des Absenders abzufangen, kann aufgedeckt werden, genau wie bei Signal, PGP oder jedem anderem Ende-zu-Ende verschlüsseltem Kommunikationssystem.“

[mit Material von Steve McCaskill, silicon.co.uk]

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.