Mittwoch, 17. Januar 2018

Group Instant Messaging: Why blaming developers is not fair but enhancing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protocols would be appropriate

After presenting our work at Real World Crypto 2018 [1] and seeing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 enormous press coverage, we want to get two things straight: 1. Most described weaknesses are only exploitable by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious server or by knowing a large secret number and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reby cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protocols are still very secure (what we wrote in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 paper but some newspapers did not adopt) and 2. we see ways to enhance cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 WhatsApp protocol without breaking its features.


We are of course very happy that our research reached so many people and even though IT security and cryptography are often hard to understand for outsiders, Andy Greenberg [2], Patrick Beuth [3] and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r journalists [4,5,6,7,8] wrote articles that were understandable on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 one hand and very accurate and precise on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r hand. In contrast to this, we also saw some inaccurate articles [9,10] that fanned fear and greatly diverged in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir description from what we wrote in our paper. We expected this from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 boulevard press in Germany and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore asked cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to stick to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 facts when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were contacting us. But none of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 worst two articles' [9,10] authors contacted us in advance. Since our aim was never to blame any application or protocol but racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r we wanted to encourage cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 developers to enhance cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protocols, it contradicts our aim that WhatsApp and Signal are partially declared attackable by "anyone" "easily" [9,10].

Against this background, we understand Moxie's vexation about certain headlines that were on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last days [11]. However, we believe that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ones who understand cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 weaknesses, comprehend that only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious server can detectably make use of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m (in WhatsApp) or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 secret group ID needs to be obtained from a member (in Signal). As such, we want to make clear that our paper does not primarily focus on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 description of weaknesses but presents a new approach for analyzing and evaluating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security of group instant messaging protocols. Furcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r we propose measures to enhance cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 analyzed protocols. The description of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protocols' weaknesses is only one part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 evaluation of our analysis approach and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reby of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 investigation of real world protocols. This is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 scientific contribution of our paper. The practical contribution of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 analyzed messengers, which is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication confidentiality for billion users (in most cases), is great and should be noted. Therefore we believe that being Signal, WhatsApp, or Threema by applying encryption to all messages and consequently risking research with negative results is much better than being a messenger that does not encrypt group messages end-to-end at all. We do not want to blame messengers that are far less secure (read Moxie's post [11] if you are interested).

Finally we want note that applying security measures according to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ticket approach (as we call it in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 paper [12]) to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 invitation links would solve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 issues that Facebook's security head mentioned in his reply [13] on our findings. To our knowledge, adding aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365nticity to group update messages would not affect invitation links: If no invitation link was generated for a group, group members should only accept joining users if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were added by an aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ntic group update message. As soon as a group invitation link was generated, all joining users would need to be accepted as new group members with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current design. However cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are plenty ways how WhatsApp could use invitation links without endowing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 server with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 power to manage groups without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group admins' permission:
One approach would be generating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 invitation links secretly and sharing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 knowledge of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 server. An invitation link could cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n contain a secret ticket for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ID of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group. As soon as a user, who received cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 link, wants to join cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group, she can request cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 server with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group ID to obtain all current group members. The secret ticket can now be sent to all existing group members encrypted such that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 legitimate join can be verified.

Of course this would require engineering but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 capability of WhatsApp, shipping drastic protocol updates, can be assumed since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y applied end-to-end encryption in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first place.

[1] https://www.youtube.com/watch?v=i5i38WlHfds
[2] https://www.wired.com/story/whatsapp-security-flaws-encryption-group-chats/
[3] http://www.spiegel.de/netzwelt/apps/whatsapp-gruppenchats-schwachstelle-im-verschluesselungs-protokoll-a-1187338.html
[4] http://www.sueddeutsche.de/digital/it-sicherheit-wie-fremde-sich-in-whatsapp-gruppenchats-einladen-koennen-1.3821656
[5] https://techcrunch.com/2018/01/10/security-researchers-flag-invite-bug-in-whatsapp-group-chats/
[6] http://www.telegraph.co.uk/technology/2018/01/10/whatsapp-bug-raises-questions-group-message-privacy/
[7] http://www.handelsblatt.com/technik/it-internet/verschluesselung-umgangen-forscher-finden-sicherheitsluecke-bei-whatsapp/20836518.html
[8] https://www.heise.de/security/meldung/WhatsApp-und-Signal-Forscher-beschreiben-Schwaechen-verschluesselter-Gruppenchats-3942046.html
[9] https://www.cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365inquirer.net/inquirer/news/3024215/whatsapp-bug-lets-anyone-easily-infiltrate-private-group-chats
[10] http://www.dailymail.co.uk/sciencetech/article-5257713/WhatsApp-security-flaw-lets-spy-private-chats.html
[11] https://news.ycombinator.com/item?id=16117487
[12] https://eprint.iacr.org/2017/713.pdf
[13] https://twitter.com/alexstamos/status/951169036947107840

Furcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r articles:
- Matcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365w Green's blog post: https://blog.cryptographyengineering.com/2018/01/10/attack-of-cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365-week-group-messaging-in-whatsapp-and-signal/
- Schneier on Security: https://www.schneier.com/blog/archives/2018/01/whatsapp_vulner.html
- Bild: http://www.bild.de/digital/smartphone-und-tablet/whatsapp/whatsapp-sicherheitsluecke-in-gruppenchats-54452080.bild.html
- Sun: https://www.cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365sun.co.uk/tech/5316110/new-whatsapp-bug-how-to-stay-safe/

Beliebte Posts