WhatsApp op iPhone eenvoudig af te luisteren via MAC-adres

Afgelopen maandag was in het nieuws, dat het berichtenverkeer in WhatsApp voor Android gemakkelijk te onderscheppen is. De app gebruikt het omgedraaide IMEI-nummer van gebruikers als wachtwoord, zo valt op github te lezen. Beveiligingsonderzoeker Sam Granger vermoedde dat het probleem ook op andere platformen speelt. Bij iOS leek er aanvankelijk geen vuiltje aan de lucht: op iOS krijgen apps geen toegang tot het IMEI-adres.

Maar nu blijkt dat ook de iOS-versie van WhatsApp gemakkelijk is af te luisteren. De applicatie gebruikt hetzelfde mechanisme, maar berekent de MD5-hash aan de hand van het MAC-adres. Daarmee loop je misschien nog wel grotere risico’s dan bij de Android-app, omdat het MAC-adres eenvoudig te sniffen is als meerdere mensen gebruik maken van hetzelfde Wi-Fi-netwerk.

Door gebruik te maken van een tool als WireShark is het MAC-adres van de aanwezige iPhones op een netwerk te achterhalen. De iPhones zijn in het netwerkverkeer bovendien goed identificeerbaar. Vervolgens hoef je alleen nog met een MD5 te hashen. Als je niet langer met het Wi-Fi-netwerk verbonden bent, loop je nog steeds risico. De ontdekking werd gedaan door de Italiaanse onderzoeker Ezio Amodio.

WhatsApp is al eerder geplaagd door twijfels over de beveiliging. Zo bleek de app last te hebben van een bug, waarmee de status van gebruikers gemakkelijk te veranderen was. Afgelopen mei verscheen WhatsAppSniffer waarmee berichten van de Android-versie gemakkelijk af te tappen waren. Het misbruikte lek bleek al bijna een jaar aanwezig. Gelukkig was er onlangs ook goed nieuws: dankzij een update verstuurt WhatsApp nu alle berichten versleuteld (wat al snel de logische vraag opriep: ‘was dat eerder dan niet zo?’). Ook werd WhatsApp regelmatig getroffen door een hoax dat er betaald zou moeten worden voor de berichtendienst. Volgens goed kettingbrief-gebruik kon je dit onheil voorkomen door het bericht naar minimaal 10 vrienden door te sturen.