Тайминг-атака позволяет вычислить геолокацию юзеров WhatsApp, Signal

Тайминг-атака позволяет вычислить геолокацию юзеров WhatsApp, Signal

Тайминг-атака позволяет вычислить геолокацию юзеров WhatsApp, Signal

Специалисты по кибербезопасности нашли интересную брешь в популярных мессенджерах WhatsApp, Signal и Threema. Проблема может грозить раскрытием данных геолокации пользователей. В отдельных случаях точность определения местоположения превышает 80%.

Свой метод получения геоданных исследователи опубликовали в подробном отчёте (PDF). По их словам, условный злоумышленник может провести так называемую тайминг-атаку, точность которой превышает 80%.

Суть в том, что атакующий отправляет жертве сообщение, после чего измеряет время, которое ему требуется на получение статуса «доставлено». У этих уведомлений есть вполне предсказуемая задержка, связанная с местоположением получателя.

Другими словами, условный злоумышленник сможет конвертировать время, которое потребовалось на получение статуса «доставлено» (не «прочитано»), в расстояние до получателя. Само собой, придётся очень точно измерить это время, но в этом атакующему может помочь анализ логов приложения вроде Wireshark, способного захватывать сетевые пакеты.

Проведённые специалистами тесты показали следующие результаты:

  • 82% успешных тайминг-атак на пользователя Signal;
  • 80% — на пользователя Threema;
  • 74% — на пользователя WhatsApp.

 

Самым верным способом защиты от подобных атак, как отметили исследователи, будет внедрение некоей рандомизации в случае со временем доставки сообщений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Правительство за исключение адресов физлиц из реестра операторов ПДн

Правительство поддержало законопроект № 928282-8, внесённый группой депутатов. Документ предлагает исключить из общедоступной части реестра операторов персональных данных адреса физических лиц и индивидуальных предпринимателей.

Сейчас законодательство предусматривает, что сведения, указанные оператором персональных данных в уведомлении о начале их обработки (за исключением информации о средствах обеспечения безопасности), включаются в реестр операторов Роскомнадзора и доступны публично.

Согласно поправкам, предложенным в законопроекте № 928282-8, общедоступность больше не будет распространяться на адреса операторов, если речь идёт о физических лицах или индивидуальных предпринимателях.

В реестре операторов персональных данных, который ведёт Роскомнадзор, по данным Интерфакса, содержится информация о 397 тысячах организаций, физических лиц и предпринимателей. В него включаются все операторы, подавшие уведомление о начале обработки персональных данных.

Положительный отзыв на законопроект размещён в электронной базе Госдумы. Единственным замечанием названа некоторая избыточность формулировки: индивидуальные предприниматели уже подпадают под определение физических лиц.

Ранее правовое управление Госдумы указывало, что исключение адресов из реестра может осложнить или сделать невозможным реализацию права субъекта персональных данных на обращение к оператору. Также отмечалось, что соответствующее требование закреплено в Страсбургской конвенции 1981 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru