Annonce du 10. mai 2012

Utiliser WhatsApp en Wi-Fi rend les conversations publiques

L’application de messagerie instantanée multiplateforme WhatsApp est très populaire. Téléchargée plus de 10 millions de fois sur le Google Play, cette application est aussi très courante chez les utilisateurs d’iPhone ou de BlackBerry. WhatsApp permet d’envoyer des messages à tout utilisateur sans passer par le coût d’un SMS. Mais sur WhatsApp, les informations envoyées ne sont pas cryptées.

Une application récemment mise en ligne utilise cette faille pour intercepter messages, photos ou encore positionnement GPS envoyé par les utilisateurs connectés au même réseau Wi-Fi. Si cette application a été rapidement ôtée du Google Play, elle reste toutefois disponible sur de nombreux sites parallèles, raison pour laquelle nous n’en communiquons pas le nom.

L’interception de données sur les réseaux Wi-Fi n’est pas une nouveauté, mais cette application rend la pratique accessible à tout un chacun puisqu’un simple smartphone sous Android suffit.

Le développeur de cette application annonce qu’il souhaite seulement dénoncer la problématique de sécurité de WhatsApp. Mais il ne déconseille pas formellement les utilisateurs de télécharger et d’utiliser son application…

En pratique, pour intercepter les conversations, l’attaquant doit seulement être connecté au même réseau Wi-Fi que sa (ou ses) cible (s), que celui-ci soit ouvert ou crypté. Dès lors, l’attaquant qui utilise cette application reçoit automatiquement l’ensemble des conversations WhatsApp qui transitent sur le réseau sans fil. Autrement dit, tous les messages écrits par les personnes connectées au réseau Wi-Fi, mais aussi ceux de tous leurs interlocuteurs.

 


Utilisation facile : les données interceptées s’inscrivent automatiquement dans l’application de sniffing.

WhatsApp ne crypte pas les données avant l’envoi sur le réseau, ce qui rend son interception très simple ! Si l’éditeur de WhatsApp semble avoir été informé de ces problèmes depuis fin 2011, la faille n’est toujours pas corrigée. Le 10 mai 2012, le développeur a poussé une mise à jour obligatoire sur le Google Play (2.7.7532). Malgré le fait qu’un renforcement de la sécurité soit annoncé dans la description de cette nouvelle version, le G Data SecurityLabs a constaté qu’elle était toujours vulnérable à l’interception des données à l’aide de l’application de sniffing.

 

Comment se protéger ?
En privilégiant la connexion 3G à la connexion Wi-Fi, le risque diminue considérablement. Si l’interception sur les réseaux GSM est possible, la pratique est techniquement plus compliquée (du matériel de captation est nécessaire). Mais pour être sûr de la sécurité de la conversation entreprise avec WhatsApp, il s’agit aussi de s’assurer que son interlocuteur n’utilise pas de connexion Wi-Fi…


Annonce du 10. mai 2012

Contact Presse

G DATA Software France SARL

Jérôme Granger

Public Relations Manager France

2A, rue Danton

92120 Montrouge

Tél: +33 (0)1 41 48 51 46

Mail: Jerome.granger@remove-this.gdata.fr