Facebook vysvětlil, jak fungují end-to-end šifrované zálohy WhatsApp, před jeho širším zavedením za několik týdnů. Koukni na to!
WhatsApp vlastněný Facebookem již nějakou dobu nabízí zasílání šifrovaných zpráv typu end-to-end, i když toto dodatečné zabezpečení se v minulosti na zálohy nevztahovalo. Nevztahuje se ani na média a jste odkázáni na šifrovací služby, které nabízí poskytovatel cloudu, ke kterému zálohujete. Tito poskytovatelé cloudu je mohou v případě potřeby také dešifrovat, a pro uživatele, kteří dbají na ochranu soukromí, je to samozřejmě méně než ideální.
Společnost začala testování end-to-end šifrovaných záloh v beta verzi WhatsApp a nyní, před jeho širším zavedením, má Facebook vysvětlil jak přesně ty šifrované zálohy fungují.
Jak fungují end-to-end šifrované zálohy WhatsApp
Generování šifrovacích klíčů a hesel
Facebook říká, že vyvinul zcela nový systém pro ukládání šifrovacích klíčů, který funguje na iOS i Androidu. Zálohy jsou šifrovány jedinečným náhodným klíčem a klíč lze uložit ručně nebo pomocí hesla. Pokud by jej uživatel chtěl uložit s heslem, může získat přístup k zálohovacímu trezoru založenému na modulech zabezpečení, aby mohl získat svůj šifrovací klíč a dešifrovat zálohu. Tento trezor je zodpovědný za vynucení pokusů o ověření hesla a za trvalé znepřístupnění klíče po řadě neúspěšných pokusů o přístup. Tím se zabrání útokům hrubou silou a WhatsApp nikdy nezná klíč.
Ukládání klíčů
WhatsApp využívá front-endovou službu s názvem ChatD, která se stará o připojení klientů a ověřování klient-server. Bude implementovat protokol, který odesílá záložní klíče na servery WhatsApp a ze serverů WhatsApp a klient a trezor klíčů si vyměňují šifrované zprávy. Zálohy jsou generovány jako nepřetržitý proud dat, která jsou šifrována symetricky – to znamená, že klíč použitý k šifrování lze použít i k jejich dešifrování. Po zašifrování lze zálohy ukládat kdekoli mimo web, včetně na Disku Google nebo iCloud.
Facebook říká, že aby pomohl vyrovnat se s počtem uživatelů, kteří spoléhají na WhatsApp, bude služba Key Vault v případě výpadku geograficky distribuována mezi více datových center. Facebook také zveřejnil dvojici grafik, která ukazuje, jak funguje end-to-end šifrování při použití klíče k dešifrování zálohy nebo při použití uživatelského hesla k jejímu dešifrování.
Proces šifrování a dešifrování při použití hesla
Pokud vlastník účtu používá heslo pro přístup ke své záloze, pak bude fungovat pomocí následujícího procesu a získat klíč z trezoru klíčů.
- Zadají své heslo, které je zašifrováno a následně ověřeno Backup Key Vault.
- Jakmile je heslo ověřeno, Backup Key Vault odešle šifrovací klíč zpět klientovi WhatsApp.
- S klíčem v ruce může klient WhatsApp dešifrovat zálohy.
Pokud se používá pouze 64bitový klíč, uživatel bude muset klíč ručně uložit a zadat sám.