WhatsApp, Signal и Threema позволяют вычислить местоположение пользователя по скорости доставки сообщения

Исследователи компьютерной безопасности из Restore Privacy утверждают, что местоположение пользователя популярного WhatsApp и ориентированных на безопасность Signal и Threema можно определять, замеряя время между моментом отправки сообщения одним пользователем и его получения другим. В последнем случае имеется в виду не прочтение сообщения, а именно статус доставки ("две серых галочки" в WhatsApp).

Утверждается, что локацию можно определить с 82% точностью для Signal, с 80% точностью для Threema, c 74% точностью для WhatsApp. Для этого нужен инструмент анализа трафика, например, приложение для фиксации скорости прохождения пакетов Wireshark.

Местоположение можно вычислить для пользователя, который есть среди контактов хакера. И для локаций, которые хакеру известны. Предварительно придётся "откалибровать" анализ трафика - измерить скорость прохождения сообщений до пользователя, когда он в известных хакеру локациях. Полученный датасет из связок "место-время" можно впоследствии использовать для геолокации путём отправки сообщения.

Успеху этой тактики способствует то, что уведомления о доставке у мессенджеров имеют стандартный размер или "идентифицируемые паттерны структуры". Бороться с ней создатели мессенджеров должны с помощью рандомизации времени подтверждения доставки, достаточно будет разброса в 1-20 секунд.

Добавить 4 комментария

  • Ответить

    Вот так люди вкалывают годами, стараются чтобы сообщения как можно быстрее ходили, подрезают по пять миллисекунд тут и там — а потом исследователи такие "ну вы там задержку доставки в 10 секунд вставьте, а то неаккуратненько"

  • Ответить
    Игорь Ашманов Сам себе компания

    Непонятно, зачем так уж бояться хакеров. Сами мессенджеры знают местоположение, смартфоны знают, ОС знает, мобильный оператор знает. Приложения и те знают. И все эти данные сливают спецслужбам и продают хакерам. И так уже. Купить данные проще.

  • Ответить

    В принципе, это же больше proof of work. Спецслужбы, действительно, другим способом найдут
    И рекламщики другим образом найдут

    Но вот то, что домохозяйка может спалить неверного мужа, который сказал, что уехал на охоту, а ему сообщения прилетают в режиме нон-стоп всю неделю — забавная история

    Да, непрактичная.