Скандал с шифрованием в WeChat: что умалчивают разработчики?

Недавнее исследование компании Citizen Lab обнаружило уязвимости в сетях самого популярного китайского мессенджера — WeChat . Программа с более чем миллиардом пользователей в месяц использует проприетарный протокол MMTLS, который оказался слабее, чем стандарт TLS 1.3, от которого он был модифицирован.

Анализ показал, что WeChat использует нестандартное шифрование, известное как MMTLS, которое содержит сразу несколько криптографических недостатков. Один из них — использование предсказуемых инициализационных векторов (IV), что может привести к восстановлению ключей шифрования и раскрытию конфиденциальной информации. Кроме того, WeChat не поддерживает прямую секретность (Forward Secrecy), что делает возможным расшифровку прошлых данных в случае взлома ключей.

Исследователи отметили, что предыдущие версии WeChat полагались на ещё менее безопасный протокол шифрования, который, к слову, до сих пор продолжает частично использоваться даже в современных версиях мессенджера. Это вызывает вопросы о безопасности данных пользователей, несмотря на отсутствие атак, которые могли бы полностью сломать шифрование приложения.

Разработчики WeChat используют собственную систему шифрования, что является распространённой практикой в китайских приложениях. Однако эти системы зачастую менее надёжны, чем проверенные международные стандарты, такие как TLS.

Исследователи выпустили инструменты для анализа трафика WeChat, которые помогут в дальнейшем изучении безопасности приложения. Этот шаг призван стимулировать разработчиков и специалистов по кибербезопасности улучшить шифрование и защиту данных пользователей.