La popolare app di messaggistica istantanea WhatsApp ha introdotto tre nuove funzioni di sicurezza: chiamate Verifica del dispositivo, Protezione dell’account e Codici di sicurezza automatici, serviranno a potenziare la difesa contro l’acquisizione di account tramite malware.
“Il malware per dispositivi mobili è oggi una delle maggiori minacce alla privacy e alla sicurezza delle persone, perché può sfruttare il vostro telefono senza il vostro permesso e utilizzare l’account WhatsApp per inviare messaggi indesiderati”, ha dichiarato l’azienda di proprietà di Meta nell’annuncio con cui ha introdotto le nuove funzionalità di sicurezza.
Indice degli argomenti
Verifica del dispositivo: cos’è e come funziona
La principale novità introdotta da WhatsApp per migliorare la sicurezza dell’app è la funzione Verifica del dispositivo, progettata per aiutare a prevenire gli attacchi di account takeover (ATO) mirati al furto di credenziali.
La funzione dovrebbe essere in grado di bloccare l’accesso al dispositivo da parte di un attore della minaccia e impedire, quindi, che un eventuale malware riesca ad accedere ai dati delle altre app installate senza alcuna autorizzazione da parte dell’utente, sottrarre informazioni riservate e acquisire il controllo dell’account WhatsApp delle vittime, impersonandole per poi distribuire spam e link malevoli ai contatti in rubrica.
La funzione Verifica del dispositivo si basa sull’uso di tre differenti parametri di sicurezza:
- un token di sicurezza che viene memorizzato in locale sul dispositivo nel quale è installato WhatsApp;
- un nonce (number used once), che è un valore numerico utilizzato una sola volta durante la connessione al server e che consente di identificare se un client WhatsApp sta contattando il server per recuperare i messaggi in arrivo;
- una authentication challenge che agisce come un “ping invisibile” dal server al dispositivo dell’utente.
Come sappiamo, per garantire la sicurezza delle comunicazioni WhatsApp utilizza la crittografia end-to-end che, grazie a una chiave di autenticazione, consente a ciascun dispositivo di connettersi al server e stabilire una connessione affidabile, senza che l’utente debba inserire password, PIN o credenziali di accesso.
Grazie alla nuova funzione di sicurezza, ogni volta che il client si connette al server invierà il token di sicurezza in modo che verranno rilevate connessioni potenzialmente sospette provenienti da un dispositivo differente da quello registrato dall’utente legittimo che usa WhatsApp.
Lo stesso token di sicurezza verrà inoltre aggiornato ogni volta che viene recuperato un messaggio offline dal server.
Nel caso in cui, grazie all’authentication challenge, venga rilevata un’attività sospetta proveniente da un aggressore, la connessione al server viene immediatamente bloccata, impedendo di fatto il furto dell’account.
L’utilizzo di questa nuova procedura di sicurezza dovrebbe evitare, quindi, “che un malware rubi la chiave di autenticazione e si connetta al server di WhatsApp dall’esterno del dispositivo dell’utente”, si legge nel documento tecnico pubblicato dai ricercatori Attaullah Baig e Archis Apte di Meta (che, come sappiamo, è proprietaria di WhatsApp).
Inoltre, la nuova funzione Verifica del dispositivo si attiva in automatico senza richiedere alcuna interazione da parte dell’utente e consente di mettere in sicurezza un dispositivo anche qualora quest’ultimo fosse stato già compromesso.
La nuova funzione Verifica del dispositivo è già disponibile per tutti gli utenti Android ed è in fase di distribuzione per gli utenti iOS.
Come funziona la Protezione dell’account su WhatsApp
La seconda delle tre nuove funzionalità di sicurezza introdotte in WhatsApp si chiama Protezione dell’account e consente di svolgere un doppio controllo di sicurezza quando gli account WhatsApp vengono collegati a nuovi dispositivi, avvisando gli utenti in caso di tentativi di trasferimento degli account non autorizzati.
In pratica, come sappiamo, WhatsApp consente di trasferire un account su un nuovo dispositivo invitando l’utente a seguire una specifica procedura guidata.
Con la nuova funzione viene aggiunto un ulteriore controllo di sicurezza che chiederà all’utente di confermare sul vecchio dispositivo l’effettiva intenzione di effettuare il trasferimento del proprio account su un altro dispositivo in quanto lo stesso account verrebbe poi disattivato e cancellato dal vecchio telefono.
Cosa sono i Codici automatici di sicurezza
L’ultima nuova funzione di sicurezza di WhatsApp è quella chiamata Codici automatici di sicurezza che consente di automatizzare il processo di verifica dei codici di sicurezza già presente in WhatsApp da tempo e utilizzata per verificare che il destinatario dei messaggi sia proprio chi afferma di essere.
Per semplificare questa verifica, la nuova funzione Codici automatici di sicurezza utilizza la funzione Key Transparency e la libreria open source Auditable Key Directory (AKD) basata su protocolli esistenti come CONIKS e SEEMless per consentire ai client WhatsApp di convalidare automaticamente le chiavi crittografiche degli utenti e verificare se la crittografia end-to-end è abilitata.
“I nostri utenti più attenti alla sicurezza hanno sempre potuto usufruire della nostra funzione di verifica del codice di sicurezza, che aiuta a garantire che si stia chattando con il destinatario previsto”, ha dichiarato WhatsApp nel comunicato di presentazione della nuova funzionalità di sicurezza. “Ciò significa che quando si clicca sulla scheda relativa alla crittografia, si potrà verificare subito che la propria conversazione personale sia protetta”.
WhatsApp intende rendere operativa questa funzione nei prossimi mesi.
