‘Data Viber-gebruikers eenvoudig te onderscheppen’

Woensdag kreeg de populaire bel-app Viber nog een grote update met een nieuw uiterlijk toegesneden op iOS 7 en verschillende nieuwe functies. Vandaag is er minder goed nieuws voor Viber en zijn gebruikers. De beveiliging van de app ligt onder vuur. Volgens beveiligingsonderzoekers kunnen data van gebruikers eenvoudig onderschept worden omdat er geen enkele vorm van versleuteling plaats zou vinden. Viber zou op de hoogte zijn van de problemen. Ze adviseren om de app niet te gebruiken totdat de problemen zijn opgelost.

Volgens onderzoekers aan de Universiteit van New Haven Cyber Forensics Research and Education Group is er sprake van een “serieuze kwetsbaarheid” in de manier waarop Viber gegevens verstuurt, ontvangt en op zijn servers opslaat. Ze claimen dat foto’s, doodles en video’s tijdens het versturen en ontvangen niet versleuteld worden. Hetzelfde zou gelden voor de locatiegegevens die tussen de server uitgewisseld worden. Ook zou de data opgeslagen op de Amazon-servers die Viber gebruikt niet versleuteld zijn. Dit is in het bijzonder kwalijk, claimen de onderzoekers, omdat de data niet meteen verwijderd worden. Een linkje naar de desbetreffende bestanden zou daardoor vanuit een browser meteen te benaderen zijn.

Om de kwetsbaarheid aan te tonen, creëerden de onderzoekers een vals draadloos netwerk, een techniek die in de praktijk ook vaak wordt ingezet. De eerste smartphone met Viber werd verbonden met dit netwerk; een tweede maakte gebruik van het mobiele datanetwerk. Omdat de verstuurde data niet versleuteld wordt, kunnen kwaadwillenden met speciale software de gegevens relatief eenvoudig onderscheppen, zo luidt de theorie van hen. In onderstaande, enigszins technische, video laten ze zien hoe het werkt:

Hetzelfde onderzoeksteam ontdekte afgelopen week ook een kwetsbaarheid in de manier waarop WhatsApp de locatiegegevens bij Google ophaalt. Die zou niet volledig versleuteld zijn en daardoor makkelijk te onderscheppen. De onderzoekers hebben hun bevindingen inmiddels voorgelegd aan Viber, maar die heeft daar tot dusver nog niet op gereageerd. Ze adviseren om Viber niet te gebruiken totdat de kwetsbaarheden zijn verholpen. Wie Viber wel wil blijven gebruiken, doet er goed aan om zelf een beveiligde verbinding te creëren, stellen de onderzoekers. Dat kan bijvoorbeeld met verschillende VPN-applicaties die we op iCulture onlangs stevig aan de tand voelden.