zurück zum Artikel

Angeblich kann man die Passwörter von WhatsApp-Nutzern leicht rekonstruieren, was einem Angreifer potenziell die Übernahme des Accounts ermöglichen würde.

Der beliebte SMS-Ersatz WhatsApp [1] soll auch unter iOS das zur Anmeldung genutzte Passwort auf sehr primitive Weise generieren: Laut dem italienischen Blog Ezio Amodio [2] nimmt der Client hier einfach die MAC-Adresse der WLAN-Schnittstelle doppelt und erzeugt daraus einen MD5-Hash: md5(AA:BB:CC:DD:EE:FFAA:BB:CC:DD:EE:FF).

Belegen soll dies ein Auszug [3] aus dem disassemblierten Code der iPhone-App. Sollten sich die Behauptungen bewahrheiten, wäre dies ein echtes Sicherheitsproblem: Zur Authentifizierung nutzt WhatsApp nämlich nur die Rufnummer des Nutzers und das automatisch generierte Passwort. Nutzt man die App etwa am Hotspot, können die anderen WLAN-Nutzer diese Informationen problemlos mitlesen – und könnte damit potenziell auch dauerhaft den Account übernehmen.

Die MAC-Adresse ist im Netzwerk ohnehin öffentlich und die Rufnummer steht – trotz der kürzlich eingeführten Nachrichtenverschlüsselung – im Klartext in den übertragen Nachrichten, wie ein Test [4] von heise Security ergab. Unter Android nutzt WhatsApps statt der MAC-Adresse die IMEI des Smartphones [5], um das Passwort zu generieren. (rei [6])

URL dieses Artikels:
https://www.heise.de/-1704760

Links in diesem Artikel:
[1] http://www.whatsapp.com/
[2] http://www.microsofttranslator.com/bv.aspx?from=&to=en&a=http%3A%2F%2Fwww.ezioamodio.it%2F%3Fp=29
[3] http://www.ezioamodio.it/disasm.PNG
[4] https://www.heise.de/news/WhatsApp-versendet-keinen-Klartext-mehr-1673054.html
[5] https://www.heise.de/news/WhatsApp-macht-sich-Authentifizierung-leicht-1703270.html
[6] mailto:rei@heise.de

Copyright © 2012 Heise Medien