Angebliche Schnüffel-Lücke: Warum WhatsApp keine Backdoor besitzt

Frank Ritter 1

In der vorvergangenen Woche berichtete der britische Guardian über ein Sicherheitsproblem im populären Messenger WhatsApp. Unter Umständen könnten der Anbieter und Sicherheitsbehörden es ausnutzen, um WhatsApp-Nachrichten auszuspähen, so der Guardian. Nun haben sich diverse Sicherheitsforscher mit der Architektur von WhatsApp und den Sicherheitsmechanismen des Messengers auseinandergesetzt. Ergebnis: Die Lücke ist keine, WhatsApp in Sachen Sicherheit sogar besser als die meisten Konkurrenz-Messenger.

Angebliche Schnüffel-Lücke: Warum WhatsApp keine Backdoor besitzt

Werfen wir einen Blick zurück: Am 13. Januar berichtete der britische Guardian auf seiner Webseite über eine Lücke in WhatsApp – auch wir berichteten darüber. Diese beruht darauf, dass WhatsApp bzw. Facebook theoretisch, etwa auf Anweisung von Geheimdiensten oder Regierungen, die Sicherheitsschlüssel ändern könne, mit denen Sender und Empfänger ihre Kommunikation untereinander verschlüsseln. Bei einem Angriff müsste WhatsApp lediglich eine Schlüsseländerung forcieren und eine dritte Partei, etwa der Geheimdienst einer Regierung, könnte die WhatsApp-Nachrichten abfangen.

Keine Lücke: Warum das WhatsApp-Verhalten beim Schlüsselwechsel normal ist

Der Bericht des Guardian wurde von zahlreichen Forschern und Sicherheitsexperten gerügt. Kern der Kritik: Ein Komfortfeature wird als Gefahrenquelle aufgebauscht, obwohl dieses im Sinne der Nutzung der App sinnvoll ist. Die Lücke auszunutzen sei zwar theoretisch möglich, aber mit erheblichen weiteren Schwierigkeiten verbunden ist die Ausnutzung der vermeintlichen Lücke. Hier die Fakten:

  • Die Ende-zu-Ende-Verschlüsselung von WhatsApp basiert nicht nur auf dem Signal-Protokoll von Open Whisper Systems, das gemeinhin als sicherstes Verschlüsselungssystem gilt; Open Whisper Systems ist auch maßgeblich an der Implementierung in WhatsApp beteiligt gewesen. WhatsApp ist allerdings im Gegensatz zu Signal nicht quelloffen.
  • Dass sich Sicherheitsschlüssel ändern, ist ein alltägliches Problem, mit dem alle verschlüsselnden Messenger umgehen müssen, nicht nur WhatsApp. Ein einfaches Beispiel dafür ist der Wechsel des Smartphones, eine neue SIM-Karte oder schlicht die Neuinstallation der Messenger-App. Es muss also einen Mechanismus dafür geben, dass Messenger sich neu „bekannt machen“ und die entsprechende Schlüssel automatisch möglichst einfach für den Nutzer austauschen.
  • WhatsApp signalisiert erfreulich offen, wenn sich der Encryption Key eines Gesprächspartners ändert – WhatsApp nennt diesen Key „Sicherheitsnummer“. Man muss allerdings die Sicherheits-Anzeige in WhatsApp aktivieren – unter EinstellungenAccountSicherheit.
  • Wenn sich die Sicherheitsnummer eines Gesprächspartners ändert, kann man diese verifizieren (also sicherstellen, dass die Person wirklich der gewünschte Empfänger ist), indem man einen QR-Code vom Smartphone des Gesprächspartners einscant – das ist aber optional.
  • Kritisierbar an WhatsApp ist das Verhalten des Messengers, wenn A an B eine Nachricht verschickt, B aber offline ist und aufgrund eines Geräte- oder SIM-Wechsels einen neuen Key erhält. WhatsApp muss die Nachricht, wenn B mit neuem Key online ist, neu verschlüsseln und neu verschicken – und das passiert ohne vorherige Nachfrage beim Nutzer.
  • Bereits versendete Nachrichten sind nach einer Schlüsseländerung sicher, sie werden grundsätzlich nicht neu versandt.
  • Dass die Warnmeldungen standardmäßig nicht angezeigt werden, liegt darin begründet, dass in vielen Teilen der Welt gang und gäbe ist, dass ständig SIM-Karten und Geräte getauscht werden. Dass der Schlüsselwechsels nicht standardmäßig aktiviert ist, sei eine bewusste Entscheidung von WhatsApp gewesen, da das damit zusammenhängende Risiko vergleichsweise gering ist und Nutzer eher irritiert wären.
WhatsApp: Zwei-Faktor-Authentifizierung aktivieren.

Wie Sicherheitsexperten das WhatsApp-„Problem“ bewerten

Zunächst äußerte sich Moxie Marlinspike, Gründer von Open Whisper Systems und Architekt des WhatsApp zugrunde liegenden Verschlüsselungs- und Authentifizierungsprotokolls Signal zur einzigen theoretisch denkbaren Gefahr – unter der Überschrift „Es gibt keine WhatsApp-Backdoor“ (Übersetzung von uns):

WhatsApp könnte mit einer Man-in-the-Middle-Attacke eine Konversation übernehmen – so wie es bei jedem anderen verschlüsselten Kommunikationssystem der Fall ist. Aber (WhatsApp) würde auch riskieren, von Nutzern erwischt zu werden.

Bruce Schneier, Autor des bekannten Security-Blogs „Schneier on Security“ ordnet das scheinbare Problem nüchtern als vernachlässigenswert ein (Übersetzung von uns):

Wie ernst man das Thema nehmen muss, ist abhängig von der eigenen Bedrohungslage: Falls Sie Angst vor der US-Regierung haben – oder jeder anderen Regierung, die Druck auf Facebook auszuüben imstande ist – dass diese ihr Daten mitschneidet, dann handelt es sich um eine kleine Verwundbarkeit. Falls nicht, ist es nichts, über das sie sich Gedanken machen müssen.

Im Blog Technosociology erklärt Zeynep Tufekci, Assistenzprofessorin an der University of North Carolina, warum die Berichterstattung sogar kontraproduktiv ist (Übersetzung von uns):

Die Story wurde weltweit aufgegriffen, auch beispielsweise in den verbliebenen Dissidenzmedien der Türkei. (…) Die Nachricht, die Aktivisten, Journalisten und normale Menschen vernahmen war eindeutig: WhatsApp besitzt eine Backdoor, ist unsicher, niemand sollte den Messenger verwenden. Seit der Veröffentlichung der Story haben wir Berichte (…) gehört, nach denen die Menschen von WhatsApp auf SMS, den Facebook Messenger und andere Apps wechseln – viele dieser Dienste sind schlicht und ergreifend weniger sicher als WhatsApp.

Zusammenfassend kann man festhalten, dass WhatsApp nach vielen Jahren der eklatantesten Sicherheitslücken mittlerweile eine solide Sicherheitsarchitektur aufweist – zumindest wenn man der Meinung der oben genannten Experten vertraut. Natürlich ist eine kritische Betrachtung von Apps weiterhin angebracht, insbesondere wenn es sich um populäre Anwendungen wie den auf den meisten Smartphones der Deutschen installierten Messenger handelt. In Panik verfallen und jede alarmistische Meldung für bare Münze nehmen muss man aber nicht.

Quellen: Bruce Schneier, Technosociology, Whispersystems Blog

Zu den Kommentaren

Kommentare zu dieser News

Weitere Themen

* Werbung