Manual attt

Pruebas de vulnerabilidad a la aplicación Whatsapp para plataformas (iOS, Android y Blackberry OS)

Ignacio Espinosa

Universidad Tecnológica de Panamá

iespinosa2989@gmail.com

Abstract--- Entre los diferentes temas que abarca esta publicación está el de definir y se exponer la aplicación Whatsapp. Seguido de esto se mostrara las diferentes vulnerabilidades encontradas en esta aplicación y de igual forma se detallara como explotar las vulnerabilidades encontradas en esta aplicación.

1. INTRODUCCIÓN

Este artículo mostrara las vulnerabilidades que se han podido encontrar en la aplicación Whatsapp, de igual forma se mostrará un estudio minucioso de cómo quedan evidenciadas las vulnerabilidades.

1. WHATSAPP

1. Definición

“WhatsApp es una aplicación de mensajería multiplataforma de pago que permite enviar y recibir mensajes mediante internet, sustituyendo a los servicios tradicionales de mensajes cortos o sistema de mensajería multimedia. Además de aprovechar de la mensajería básica, los usuarios pueden crear grupos y enviar entre ellos un número ilimitado de imágenes, videos y mensajes de audio. Debido a esto WhatsApp también puede ser considerado una red social como cualquier otra” (Wikipedia, 2013).

1. Orígenes

“La empresa creadora de la aplicación, WhatsApp Inc., fue terminada por Jan Koum, quien había sido anteriormente el director del equipo de operaciones de plataforma de Yahoo y el antiguo jefe del equipo de ingenieros Brian Acton. La compañía tiene su sede en Silicon Valley.

Por otro lado, WhatsApp Inc. ha recibido inversiones por valor de 10 millones de dólares por parte de la empresa Sequoia Capital.8 WhatsApp fue retirado de la AppStore el 14 de enero de 2012 durante cuatro días, según algunos por fallos de seguridad. Esto ha sido desmentido por Brian Acton. En Marzo de 2013 Whatsapp anunció que la versión para Android, históricamente gratuita, sería de pago por el primer uso; luego de 365 días de uso es forzoso volver a pagar para extender el uso del programa por otro año. Esto ha llevado a un progresivo declive de Whatsapp a favor de otros competidores, en los países dónde la plataforma Android es dominante pero el concepto de pagar por servicios de Internet y apps es inexistente” (Wikipedia, 2013). 

1. Pruebas Realizadas

En esta sección se detallaran las pruebas realizadas para dar a conocer las vulnerabilidades que presenta esta plataforma.

• Protocolo de cifrado

“Hasta agosto del año 2012 los mensajes enviados a través de la aplicación WhatsApp se enviaban en texto plano. Esto ocasionaba un problema grave contra la privacidad del usuario, ya que posibilitaba a un usuario dañino el poder monitorizar las conversaciones y transferencias de ficheros de cualquier usuario conectado a la red.

[pic 1]

Fig.1 Captura de mensaje en versiones anteriores de Whatsapp

A partir de la versión publicada en septiembre de 2012, la aplicación WhatsApp empieza a cifrar los mensajes que se transmiten desde la aplicación, no pudiéndose realizar esta técnica en versiones antiguas, ya que la empresa retiró la compatibilidad, obligando al usuario a instalarse la nueva versión.

• Proceso de autenticación en la aplicación

El proceso de autenticación que sigue la aplicación para poder ser utilizado varía según la versión de la misma.

Actualmente, WhatsApp soporta dos métodos de autenticación basados en API (Application Programing Interface) para dar soporte a aplicaciones antiguas.

En versiones anteriores a la 2.8.7, el proceso de autenticación utilizado para teléfonos iPhone era la creación de una contraseña basada en la dirección MAC (Media Access Control) de la tarjeta de red del dispositivo.

[pic 2]

Fig.2 Proceso de creación de contraseña

Este hecho supuso un grave problema contra la privacidad del usuario, debido a que la contraseña se generaba desde la propia aplicación, sumando a esto la simplicidad de la misma.

• Análisis de la base de datos

El análisis de la base de datos de la aplicación WhatsApp, la cual se encuentra en el directorio /Documents/ChatStorage.sqlite determina que esta base de datos no se encuentra protegida por ningún tipo de cifrado, pudiéndose acceder a todos los datos almacenados en ella.

Como se comenta en el anterior párrafo, al carecer de cifrado la base de datos, posibilita el que se puedan leer todos los mensajes de texto, así como los teléfonos de todos los usuarios implicados en una conversación, tal y como se puede ver en la siguiente imagen:

[pic 3]

Fig.3 Lectura de mensaje

Del mismo modo que la base de datos ChatStorage se encuentra sin cifrar, la base de datos contacts.sqlite, la cual se encuentra ubicada en el mismo directorio, carece también de cifrado, pudiéndose acceder a todos los datos de contactos que posea el usuario.

[pic 4]

Fig.4 Acceso a contactos

• Extracción de mensajes

Para la extracción de mensajes de manera automatizada, es posible realizarlo a través de un script conocido como WhatsApp Xtract, el cual posibilita que se puedan realizar la extracción de esta información de manera sencilla. Para ello, sólo hay que invocar al script, seguido de la ubicación en donde se encuentre la base de datos ChatStorage.sqlite.

[pic 5]

F

Fig.5 Ejecución de script

Una vez terminada la ejecución del script, éste genera un fichero HTML, el cual contendrá todos los datos extraídos:

...