WhatsApp — активно развивающийся проект с более чем двумя миллиардами постоянных пользователей. Простота использования и безопасность, а также финансовые и маркетинговые ресурсы головной компании Facebook превратили WhatsApp в самый популярный инструмент обмена мгновенными сообщениями за пределами Китая. Недавнее внедрение резервных копий, использующих сквозное шифрование, и изменение протокола аутентификации Google временно нарушили работу нашего инструмента по извлечению данных из WhatsApp, но проблемы удалось оперативно исправить.

Почему WhatsApp считается одним из самых безопасных мессенджеров? Разработчики приложений для iOS и Android используют протокол Open Whisper Signal, который защищён сквозным шифрованием. Однако этого разработчикам показалось недостаточно, и с недавнего времени WhatsApp начал развёртывать сквозное шифрование и для облачных резервных копий. Сквозное шифрование переписки и резервных копий — идеальное сочетание не только для обычных пользователей, желающих защитить свою частную жизнь, но и для разного рода преступников. Террористы, мошенники, вымогатели, торговцы наркотиками используют WhatsApp как в качестве инструмента для координации действий, так и для общения с жертвами. Такое положение дел не могло нас устроить, в результате чего появился Elcomsoft Explorer для WhatsApp.

WhatsApp и сквозное шифрование

Сквозное шифрование не является чем-то новым для WhatsApp, в котором оно использовалось для защиты сообщений с момента возникновения мессенджера. Новым является использование сквозного шифрования для защиты резервных копий переписки, которые пользователи создают в облачных сервисах Apple iCloud и Google Drive (в зависимости от используемой платформы). Общие положения шифрования резервных копий приводятся в статье End-to-End Encrypted Backups on WhatsApp — WhatsApp Blog, а техническими деталями разработчики поделились в статье How WhatsApp is enabling end-to-end encrypted backups (fb.com).

Сквозное шифрование резервных копий — вещь достаточно новая, доступная даже не всем пользователям WhatsApp; компания развёртывает поддержку шифрованных резервных копий поэтапно и постепенно. Новые резервные копии используют сквозное шифрование и сохраняются в файлах .crypt14, а для доступа к данным вам понадобится уникальный криптографический ключ, который можно получить только с сервера WhatsApp после прохождения аутентификации. Без доступа к криптографическому ключу невозможно расшифровать резервную копию или получить доступ к истории переписки — за исключением низкоуровневого анализа телефона, который также не является делом простым или очевидным.

Есть и ещё один момент, затрудняющий извлечение новых резервных копий (.crypt14). WhatsApp не только шифрует резервные копии с помощью уникального ключа шифрования, но и сама загрузка таких резервных копий из соответствующей облачной службы (Google Drive или Apple iCloud в зависимости от платформы) представляет проблему: потребуется аутентификация в соответствующей учётной записи, которая, в свою очередь, может быть защищена двухфакторной аутентификацией.

Многочисленные логины, пароли и двухэтапные проверки приводят к тому, что на любом из этапов что-нибудь может пойти не так. Стоит любому звену цепочки (Google, Apple или WhatsApp) внести изменения в любой из проприетарных протоколов авторизации, коммуникации, шифрования либо в формат данных, как вся цепочка рушится, и Elcomsoft Explorer для WhatsApp перестаёт работать. Именно это и произошло несколько месяцев назад: Google изменил аутентификацию в Google Drive, а WhatsApp представил резервные копии со сквозным шифрованием. Даже изменений в формат внутренних таблиц уже было бы достаточно для возникновения сбоев работе, но новый формат таблиц меркнет на фоне более крупных изменений.

Все эти проблемы успешно решены в обновлённой версии Elcomsoft Explorer для WhatsApp, который позволяет автоматически загружать и расшифровывать резервные копии WhatsApp из облачных сервисов Apple iCloud и Google Drive. Криптографический ключ создаётся автоматически на основе кода аутентификации, полученного в виде текстового сообщения и доставленного на доверенный номер телефона пользователя.

Кстати, медиа-файлы (фотографии и видео) в резервных копиях хранятся в незашифрованном виде; для доступа к ним достаточно получить доступ к облаку Google или Apple.

Запланированные обновления

Разработка WhatsApp не стоит на месте. Сквозное шифрование сообщений было дополнено сквозным шифрованием резервных копий; не стоят на месте и облачные провайдеры Apple и Google, внося мелкие изменения в протоколы аутентификации. Ниже — список вещей, которые ждут своей реализации в нашем инструменте.

Шифрование резервных копий пользовательским паролем: на данный момент не поддерживается. Шифрование пользовательским паролем опционально, по умолчанию не используется.

В iOS автономные резервные копии WhatsApp сохраняются в iCloud Drive. Мы поддерживаем извлечение этих резервных копий из учётных записей без двухфакторной аутентификации, однако для учётных записей iCloud с поддержкой двухфакторной аутентификацией извлечение не срабатывает. Мы работаем над исправлением этой проблемы.

Не поддерживаются Групповые звонки.

В учётных записях Google, защищённых по методу двухфакторной аутентификации Google Prompt, подтверждать запрос приходится дважды, что является скорее неудобством, нежели проблемой. Мы работаем над исправлением.

Наконец, изменение в протоколе двухфакторной аутентификации Google привело к неработоспособности ключей FIDO, которая в EXWA на данный момент не поддерживается. Исправление находится в стадии разработки.

Заключение и дополнительные материалы

WhatsApp — действительно безопасный и продукт в активной разработке. Мы делаем всё возможное для оперативного отслеживания изменений и адаптации нашего продукта к актуальным протоколам и форматам данных. Оставайтесь с нами:

Дополнительная информация:

• Extract and Decrypt Android WhatsApp Backups from Google Account | ElcomSoft blog
• Extract and Decrypt WhatsApp Backups from iCloud | ElcomSoft blog