WhatsApp không cung cấp tính năng quản lý mã hóa cho tin nhắn nhóm.

Thế giới đã xôn xao trong nhiều tuần nay về việc đưa một nhà báo vào thông điệp nhóm gồm các quan chức cấp cao của Nhà Trắng thảo luận về kế hoạch tấn công quân sự. Trong trường hợp đó, vi phạm là kết quả của việc Cố vấn An ninh Quốc gia lúc bấy giờ là Mike Waltz vô tình thêm Tổng biên tập The Atlantic Jeffrey Goldberg vào cuộc trò chuyện nhóm và không ai khác trong cuộc trò chuyện nhận thấy. Nhưng điều gì sẽ xảy ra nếu ai đó kiểm soát hoặc hack nền tảng messenger có thể làm điều tương tự?

Khi nói đến WhatsApp—, trình nhắn tin thuộc sở hữu của Meta thường được quảng cáo là cung cấp mã hóa đầu cuối—, hóa ra bạn có thể.

Một hóa đơn sức khỏe sạch sẽ ngoại trừ...

Một nhóm các nhà nghiên cứu đã xác nhận rằng hành vi trong một mới đây đã phát hành phân tích chính thức về tin nhắn nhóm WhatsApp. Họ đã thiết kế ngược ứng dụng, mô tả các giao thức mật mã chính thức và cung cấp các định lý thiết lập các đảm bảo bảo mật mà WhatsApp cung cấp. Nhìn chung, họ đã đưa cho người đưa tin một hóa đơn sức khỏe rõ ràng, nhận thấy rằng nó hoạt động an toàn và theo mô tả của WhatsApp.

Tuy nhiên, họ đã xác nhận một hành vi khiến một số người dùng nhắn tin nhóm phải tạm dừng: Giống như các trình nhắn tin khác được quảng cáo là secure— với ngoại lệ đáng chú ý là Signal—WhatsApp không cung cấp bất kỳ loại phương tiện mật mã nào để quản lý nhóm.

“Điều này có nghĩa là máy chủ WhatsApp có thể thêm thành viên mới vào một nhóm,” Martin R. Albrecht, nhà nghiên cứu tại King's College ở London, đã viết trong một email. “Một khách hàng chính xác—giống như khách hàng chính thức—sẽ hiển th thay đổi này nhưng sẽ không ngăn chặn nó. Do đó, bất kỳ cuộc trò chuyện nhóm nào không xác minh ai đã được thêm vào cuộc trò chuyện đều có thể khiến tin nhắn của họ được đọc.”

Khả năng ai đó khai thác điểm yếu này để truy cập vào nhóm WhatsApp dành cho các bậc cha mẹ bóng đá có thể là con số không. Mặt khác, một đặc vụ quốc gia-nhà nước đang cố gắng tấn công một nhóm quan chức chính phủ đang thảo luận về các vấn đề an ninh quốc gia nhạy cảm là điều có thể xảy ra. Trong trường hợp như vậy, quản trị viên WhatsApp có đủ đặc quyền hệ thống có thể thêm bao nhiêu người dùng vào nhóm hiện có tùy thích. Vì vậy, một kẻ tấn công đã quản lý để hack cơ sở hạ tầng WhatsApp. Với nhiều nhóm lên tới hàng chục, thậm chí hàng trăm thành viên, thông báo có thể không dễ nhận thấy.

Luồng thêm thành viên mới vào tin nhắn nhóm WhatsApp là:

• Một thành viên nhóm gửi một tin nhắn chưa ký đến máy chủ WhatsApp để chỉ định người dùng nào là thành viên nhóm, chẳng hạn như Alice, Bob và Charlie
• Máy chủ thông báo cho tất cả các thành viên hiện có trong nhóm rằng Alice, Bob và Charlie đã được thêm vào
• Các thành viên hiện tại có quyền quyết định có chấp nhận tin nhắn từ Alice, Bob và Charlie hay không và liệu tin nhắn trao đổi với họ có nên được mã hóa hay không

Không có chữ ký mật mã xác minh thành viên hiện tại muốn thêm thành viên mới, việc bổ sung có thể được thực hiện bởi bất kỳ ai có khả năng kiểm soát máy chủ hoặc tin nhắn chảy vào đó. Sử dụng kịch bản hư cấu phổ biến để minh họa mã hóa đầu cuối, việc thiếu đảm bảo mật mã này để ngỏ khả năng Malory có thể tham gia một nhóm và có quyền truy cập vào các tin nhắn mà con người có thể đọc được được trao đổi ở đó.

WhatsApp không phải là người đưa tin duy nhất thiếu sự đảm bảo về mật mã cho các thành viên mới trong nhóm. Vào năm 2022, một nhóm bao gồm một số nhà nghiên cứu đã phân tích WhatsApp tìm thấy nền tảng độc quyền và nguồn mở Matrix—an dành cho các máy khách và máy chủ trò chuyện và cộng tác— cũng không cung cấp phương tiện mật mã nào để đảm bảo chỉ những thành viên được ủy quyền mới tham gia một nhóm. Trong khi đó, trình nhắn tin Telegram không cung cấp mã hóa đầu cuối cho tin nhắn nhóm, khiến ứng dụng này trở thành một trong những ứng dụng yếu nhất trong việc đảm bảo tính bảo mật của tin nhắn nhóm.

Ngược lại, nguồn mở Sứ giả tín hiệu cung cấp một đảm bảo mật mã rằng chỉ có một thành viên nhóm hiện có được chỉ định làm quản trị viên nhóm mới có thể thêm thành viên mới. Trong một email, nhà nghiên cứu Benjamin Dowling, cũng thuộc King’s College, giải thích rằng:

Tín hiệu thực hiện quản lý nhóm mật mã “.” Đại khái điều này có nghĩa là quản trị viên của một nhóm, một người dùng, ký một tin nhắn dọc theo dòng “Alice, Bob và Charley ở trong nhóm này” cho những người khác. Sau đó, mọi người khác trong nhóm đưa ra quyết định về việc mã hóa cho ai và chấp nhận tin nhắn từ ai dựa trên những tin nhắn được ký bằng mật mã này, [có nghĩa là] ai sẽ chấp nhận làm thành viên nhóm. Hệ thống được Signal sử dụng hơi khác một chút [so với WhatsApp], vì [Signal] nỗ lực hơn nữa để tránh tiết lộ tư cách thành viên nhóm cho máy chủ, nhưng các nguyên tắc cốt lõi vẫn giữ nguyên.

Ở cấp độ cao, trong Signal, các nhóm được liên kết với danh sách thành viên nhóm được lưu trữ trên máy chủ Signal. Quản trị viên của nhóm tạo GroupMasterKey được sử dụng để thực hiện các thay đổi đối với danh sách thành viên nhóm này. Đặc biệt, GroupMasterKey được gửi đến các thành viên khác trong nhóm thông qua Signal và do đó máy chủ không xác định được. Do đó, bất cứ khi nào quản trị viên muốn thực hiện thay đổi đối với nhóm (ví dụ: mời người dùng khác), họ cần tạo danh sách thành viên cập nhật (được xác thực bằng GroupMasterKey) để thông báo cho những người dùng khác trong nhóm biết ai sẽ thêm. Người dùng hiện tại được thông báo về sự thay đổi và cập nhật danh sách nhóm của họ, đồng thời thực hiện các hoạt động mã hóa thích hợp với thành viên mới để thành viên hiện tại có thể bắt đầu gửi tin nhắn cho thành viên mới như một phần của nhóm.

Hầu hết các ứng dụng nhắn tin, bao gồm Signal, không chứng nhận danh tính của người dùng. Điều đó có nghĩa là không có cách nào Signal có thể xác minh rằng người sử dụng tài khoản có tên Alice, trên thực tế, thuộc về Alice. Hoàn toàn có khả năng Malory có thể tạo một tài khoản và đặt tên cho nó là Alice. (Bên cạnh và trái ngược hoàn toàn với Signal, các thành viên tài khoản thuộc một nhóm WhatsApp nhất định sẽ hiển thị với người trong cuộc, tin tặc và bất kỳ ai có trát đòi hầu tòa hợp lệ.)