行動即時通訊軟體中隱蔽的端到端洩漏：粗心低語

Concepts de base

即使在訊息經過端到端加密的情況下，攻擊者仍可利用行動即時通訊軟體（如 WhatsApp 和 Signal）中的傳遞回條洩露用戶隱私資訊和發起資源耗盡攻擊。

Résumé

文獻資訊： Gegenhuber, G. K., Günther, M., Maier, M., Judmayer, A., Holzbauer, F., Frenzel, P. É., & Ullrich, J. (Draft). Careless Whisper: Exploiting Stealthy End-to-End Leakage in Mobile Instant Messengers.
研究目標： 本研究旨在探討即使在端到端加密的保護下，行動即時通訊軟體中的傳遞回條機制如何洩露用戶隱私並為攻擊者提供攻擊途徑。
研究方法： 作者分析了 WhatsApp、Signal 和 Threema 等熱門即時通訊軟體的基礎架構和傳遞回條機制，並進行了實驗，以評估利用這些漏洞進行資訊洩露和資源耗盡攻擊的可行性。
主要發現： 研究發現，攻擊者可以利用傳遞回條，在用戶不知情的情況下，追蹤用戶的線上狀態、設備類型、螢幕使用時間，甚至應用程式使用情況。此外，攻擊者還可以發起資源耗盡攻擊，例如大量消耗用戶的數據流量或電池壽命。
主要結論： 研究結果表明，即使採用了端到端加密，行動即時通訊軟體的傳遞回條機制仍然存在嚴重的隱私和安全風險。
研究意義： 本研究揭示了行動即時通訊軟體中一個普遍存在但卻鮮為人知的安全漏洞，並強調了即使在端到端加密的環境下，保護用戶隱私和安全的必要性。
研究限制和未來方向： 本研究主要關注 WhatsApp 和 Signal，未來研究可以進一步探討其他即時通訊軟體的類似漏洞。此外，還可以研究更有效的防禦機制，以減輕傳遞回條帶來的隱私和安全風險。

Stats

全球大多數人口使用行動即時通訊軟體進行個人和專業的溝通。
WhatsApp 是目前最受歡迎的通訊軟體，擁有超過 20 億用戶。
到 2023 年底，Facebook Messenger 也將預設改用端到端加密。
WhatsApp 的訊息反應功能允許高達 1MB 的有效負載數據。
攻擊者可以透過持續發送大型反應訊息，每小時造成受害者 13.3GB 的數據流量。
在一小時的攻擊測試中，攻擊者能夠消耗 iPhone 13 Pro 14%、iPhone 11 18% 和 Samsung Galaxy S23 15% 的電池電量。

Idées clés tirées de

Careless Whisper: Exploiting Stealthy End-to-End Leakage in Mobile Instant Messengers

by Gabr... à arxiv.org 11-19-2024

https://arxiv.org/pdf/2411.11194.pdf

Questions plus approfondies

開發人員和服務供應商應採取哪些措施來解決行動即時通訊軟體中與傳遞回條相關的隱私問題？

開發人員和服務供應商可以採取多項措施來解決行動即時通訊軟體中與傳遞回條相關的隱私問題，這些措施可以分為客戶端和伺服器端：
客戶端：

強化客戶端驗證： 客戶端應執行更嚴格的訊息驗證，例如檢查訊息 ID 是否屬於已建立的對話，以及回應、編輯或刪除是否針對實際訊息。這可以防止攻擊者發送無效訊息來觸發傳遞回條。
限制傳遞回條的顯示： 允許用戶選擇性地顯示傳遞回條，例如僅顯示給聯絡人清單中的用戶。這可以防止陌生人利用傳遞回條進行追蹤。
提供更細緻的隱私設定： 允許用戶完全禁用傳遞回條，或設定傳遞回條的延遲時間，例如在幾秒後再發送回條。這可以增加攻擊者利用傳遞回條進行追蹤的難度。
伺服器端：

限制訊息發送頻率： 伺服器端可以限制每個用戶每秒可以發送的訊息數量，以及訊息的大小。這可以防止攻擊者發送大量訊息來消耗用戶的流量或電池。
偵測異常流量並發出警報： 伺服器端可以監控每個用戶的訊息發送頻率和流量，並在偵測到異常行為時發出警報。這可以幫助用戶及早發現並阻止攻擊。
同步多客戶端狀態： 伺服器端可以協助用戶同步多個客戶端的狀態，例如在發送傳遞回條之前先同步訊息狀態。這可以防止攻擊者利用多客戶端機制來獲取更多資訊。
其他措施：

推廣安全意識教育： 開發人員和服務供應商應該教育用戶有關傳遞回條的隱私風險，以及如何保護自己的隱私。
持續研究和開發新的隱私保護技術： 隨著行動技術和通訊協議的發展，開發人員和服務供應商需要不斷研究和開發新的隱私保護技術，以應對新的挑戰。

如果用戶選擇完全禁用傳遞回條，是否還有其他方法可以被利用來洩露資訊或發起攻擊？

即使用戶選擇完全禁用傳遞回條，攻擊者仍然可以使用其他方法來洩露資訊或發起攻擊，以下列舉一些例子：

流量分析： 即使訊息內容經過端到端加密，攻擊者仍然可以透過分析網路流量來獲取資訊，例如用戶與誰通訊、通訊頻率以及訊息大小等。
時序攻擊： 攻擊者可以透過觀察訊息發送和接收的時間差來推斷用戶的行為，例如用戶是否在線上、使用哪些應用程式以及設備性能等。
惡意軟體： 攻擊者可以利用惡意軟體來竊取用戶的訊息內容、聯絡人資訊以及其他敏感資料。
社工攻擊： 攻擊者可以利用社工技巧來欺騙用戶洩露自己的資訊，例如假冒成朋友或家人來套取資訊。
因此，即使禁用了傳遞回條，用戶仍然需要注意保護自己的隱私和安全，例如：

安裝安全軟體： 使用信譽良好的防毒軟體和防火牆來保護設備免受惡意軟體的侵害。
小心處理可疑訊息： 不要點擊可疑連結或打開可疑附件，也不要輕易相信陌生人發送的訊息。
定期更新軟體： 及時更新作業系統和應用程式，以修復安全漏洞。

隨著行動技術和通訊協議的發展，未來會出現哪些新的隱私和安全挑戰？

隨著行動技術和通訊協議的發展，未來將會出現許多新的隱私和安全挑戰，以下列舉一些例子：

物聯網（IoT）設備的普及： 隨著越來越多的設備連接到網際網路，攻擊者將會有更多機會竊取用戶的資訊或控制用戶的設備。
人工智慧（AI）的應用： AI技術可以被用於分析大量的數據，這也意味著攻擊者可以利用AI技術來更有效地竊取用戶的隱私或發起攻擊。
量子計算的威脅： 量子計算技術的發展可能會破解現有的加密演算法，這將會對用戶的隱私和安全構成嚴重威脅。
為了應對這些挑戰，我們需要開發新的技術和策略來保護用戶的隱私和安全，例如：

開發更安全的通訊協議： 例如，使用後量子密碼學來設計新的加密演算法，以抵抗量子計算的攻擊。
強化物聯網設備的安全性： 例如，為物聯網設備設計更安全的作業系統和應用程式，並強制要求設備製造商提供安全更新。
建立更完善的隱私保護法規： 例如，制定更嚴格的數據收集和使用規範，並賦予用戶更多控制自己數據的權利。
總之，隨著行動技術和通訊協議的發展，隱私和安全問題將會變得越來越複雜和嚴峻。我們需要不斷地努力，才能夠在享受科技進步帶來的便利的同時，保護好自己的隱私和安全。