WhatsApp slaat berichten onversleuteld op

Maastricht, 26-05-2011 – De iPhone- en Android-versies van WhatsApp slaan alle ontvangen en verzonden berichten onversleuteld op. De Android-versie plaatst de berichten zelfs op de sd-kaart, waardoor ze voor alle andere aanwezige applicaties te benaderen zijn.

Beveiligingsonderzoeker ObAt ontdekte dat WhatsApp alle berichten onversleuteld opslaat en tipte Tweakers.net. De berichten worden opgeslagen in een nosql-database, samen met onder andere telefoonnummers van contactpersonen en timestamps. Ook de url's van meegestuurde mediabestanden zijn in het nosql-bestand opgeslagen, maar deze kunnen niet worden geopend; waarschijnlijk moet daarvoor eerst een autorisatieproces worden uitgevoerd.

In ieder geval de iPhone- en Android-versies van WhatsApp slaan berichten onversleuteld op, blijkt uit nader onderzoek van Tweakers.net. Onbekend is of de clients voor BlackBerry en Symbian hetzelfde doen. Het onversleuteld opslaan van berichten is een risico, zeker bij de Android-versie; daarbij worden alle chatlogs op de sd-kaart opgeslagen, waarbij altijd dezelfde url wordt gebruikt. Daardoor zouden kwaadwillenden eenvoudig een app kunnen schrijven die de chatlogs steelt, bijvoorbeeld om de telefoonnummers te bemachtigen.

Misbruik van de chatlogs op de iPhone is minder waarschijnlijk, omdat de logs worden opgeslagen in een directory die alleen voor de app zelf toegankelijk is. Alleen gebruikers met een jailbroken iPhone lopen risico; een applicatie met root-toegang zou de berichten alsnog kunnen ontfutselen.

Vorige week werd al bekend dat er een fout in het verificatieproces van WhatsApp zit, waardoor een WhatsApp-account aan een telefoon van een ander kan worden gekoppeld door de afzender van de verificatie-sms te spoofen. De nieuwe beveiligingskwestie doet denken aan een vergelijkbaar probleem met Skype, dat gegevens eveneens op de sd-kaart opsloeg. Skype heeft een nieuwe versie uitgebracht waarin het probleem is opgelost.

Bron: via Tweakers