नई व्हाट्सएप वल्नरेबिलिटी आईओएस और एंड्रॉइड पर आपके 2FA कोड से समझौता कर सकती है

WhatsApp

2017 में व्हाट्सएप ने अपने अरबों उपयोगकर्ताओं के लिए दो-कारक सत्यापन सेवा शुरू की। इस प्रमाणीकरण पद्धति के साथ, कंपनी का उद्देश्य संदेश अनुप्रयोग में अतिरिक्त स्तर की सुरक्षा जोड़ना है।

दूसरे शब्दों में, जब भी आपको नए फोन पर व्हाट्सएप स्थापित करने की आवश्यकता होती है, तो आपको सत्यापन उद्देश्यों के लिए एक बार का पासवर्ड प्राप्त होगा। तो, आपके पंजीकृत नंबर पर भेजा गया ओटीपी यह सुनिश्चित करता है कि अन्य किसी भी तरह से आपके व्हाट्सएप खाते तक नहीं पहुंच सकते।

WhatsApp की हमेशा आलोचना की जाती रही है बग और कमजोरियां इसकी संदेश सेवा में। WABetaInfo की रिपोर्ट के अनुसार, कोई एक नई भेद्यता मिली व्हाट्सएप के एंड्रॉइड और आईओएस संस्करणों में। उपयोगकर्ता ने पाया कि दो-कारक प्रमाणीकरण पासकोड एक सादे पाठ फ़ाइल में संग्रहीत किया गया था।

चूंकि फ़ाइल केवल सैंडबॉक्स में सहेजी गई है, इसलिए यह अन्य तृतीय-पक्ष एप्लिकेशन तक पहुंच योग्य नहीं है। इसके अलावा, फ़ाइल को नियमित रूप से व्हाट्सएप बैकअप में संग्रहीत नहीं किया जाता है।

एक उपयोगकर्ता ने हाल ही में पाया है कि व्हाट्सएप अपने सैंडबॉक्स में एक फ़ाइल में सादे पाठ में 2FA पासकोड संग्रहीत करता है।

आपको इस सर्वर पर पहुंचने की अनुमति नहीं है

सैंडबॉक्स में होने के कारण, कोई अन्य ऐप उस फ़ाइल को नहीं पढ़ सकता है, लेकिन कुछ मामले हैं (विशेष रूप से दूसरे वाले) जो 2FA कोड को एन्क्रिप्ट करने के लिए मजबूर करना चाहिए। https://t.co/nmrNSGkKSU

- WABetaInfo (@WABetaInfo) 22 मार्च, 2020

यहाँ व्हाट्सएप एक सादे पाठ फ़ाइल में दो-कारक प्रमाणीकरण पासकोड रखता है। आप देख सकते हैं कि फाइलें एक निजी कंटेनर में संग्रहीत हैं।

https://twitter.com/pancakeufo/status/1241657160561504256

भेद्यता भी Android उपकरणों पर मौजूद है

दूसरी ओर, रूट किए गए एंड्रॉइड डिवाइस पर पासकोड टेक्स्ट फ़ाइल भी दिखाई देती है। तो, इसका मतलब है कि रूट अनुमतियों वाले अन्य एप्लिकेशन इसे पढ़ने के लिए फ़ाइल तक पहुंच सकते हैं।

एंड्रॉइड के लिए व्हाट्सएप पर ऐसा ही हो रहा है, 2FA कोड एक टेक्स्ट में सादे टेक्स्ट में सेव किया गया है जो अन्य ऐप्स से एक्सेस नहीं है, लेकिन यह रूट किए गए एंड्रॉइड डिवाइस पर दिखाई देता है। इसका मतलब है कि, यदि आपका डिवाइस रूट किया गया है और किसी अन्य ऐप में रूट अनुमतियां हैं, तो यह कोड पढ़ सकता है। https://t.co/hTMCy6XoN7

- WABetaInfo (@WABetaInfo) 22 मार्च, 2020

एक एंड्रॉइड उपयोगकर्ता ने एक स्क्रीनशॉट पोस्ट करते हुए बताया कि कोई भी एन्क्रिप्टेड टेक्स्ट फ़ाइल तक पहुंच सकता है।

ओह। एंड्रॉइड पर व्हाट्सएप उन्हें बचाता है लेकिन /data/data/app/com.whatsapp/sared_prefs/com.whatsapp_preferences.xml पर pic.twitter.com/HcXhUtqT0D

- idkwhatusernameuse (@idkwuu) 22 मार्च, 2020

त्रुटि 4000 चिकोटी

यह उल्लेखनीय है कि तृतीय-पक्ष एप्लिकेशन या घुसपैठिए केवल आपके व्हाट्सएप खाते तक पहुंचने के लिए 2FA कोड का उपयोग नहीं कर सकते हैं। एक छह अंकों का पिन कोड जो आपके पंजीकृत फोन नंबर पर भेजा जाता है, की भी आवश्यकता होती है। इसलिए, उपयोगकर्ताओं को हैक होने की चिंता नहीं करनी चाहिए।

WABetaInfo के अनुसार, इस तथ्य पर विचार करते हुए कि कुछ iOS संस्करणों में कुछ कमजोरियां हो सकती हैं, कंपनी को फाइल को अनएन्क्रिप्टेड नहीं छोड़ना चाहिए। इस प्रकार, व्हाट्सएप को शोषण को पैच करना चाहिए ताकि ऐप एक एन्क्रिप्टेड पाठ में पासकोड को स्टोर करे।