Erst vor ein paar Tagen hatten wir berichtet, dass man bei WhatsApp unter anderem im Hintergrund an einer höheren Sicherheit arbeitet, sich dazu allerdings bislang nicht wirklich äußert. Jetzt wissen wir auch wieder warum, denn den Kollegen von heise wurde erneut ein Script zugespielt, welches das bei Android-Geräten aus der IMEI-Nummer errechnete Passwort für die Authentifizierung am WhatsApp-Server knackt. Der Algorithmus scheint also weiterhin nicht gerade kompliziert zu sein, zumindest wenn man sich der Materie ein wenig auskennt. Wie vor wenigen Monaten wäre so also die „Übernahme“ eines fremden Accounts problemlos möglich, wie die Kollegen berichtet.
Doch nicht nur WhatsApp, sondern auch die Kollegen halten sich hier bedeckt und erläutern nicht, wie das Knacken des Sicherheitsmechanismus möglich ist, aus Sicherheitsgründen. Inzwischen hat man den Entwicklern von WhatsApp alle wichtigen Daten zugespielt, eine Reaktion blieb bis dato aber leider aus.
Diese Sicherheitslücke ist derzeit schwer einzuschätzen, kann aber definitiv auch nicht von jedem Dau ausgenutzt werden, insofern das Script nicht veröffentlicht wird. Zudem benötigt man immer noch Handynummer und IMEI-Nummer eines Opfers. Und obwohl beides erreichbar wäre, muss man überhaupt erst mal diese Hürde bewältigen, wenn man wirklich „Schaden“ anrichten will.
Wie Kollege René werde ich nicht gänzlich von WhatsApp abraten, da man auch immer bedenken muss, dass der Dienst schon allein aufgrund seiner Popularität immer wieder Ziel von Angriffen wird. Zudem ist es von Vorteil, wenn derartige Lücken herausgefunden werden, da sie so auch schneller geschlossen werden können.
[asa]B009DZJMES[/asa]