News Erneute Sicherheitslücke ermöglicht Account-Klau bei WhatsApp

[Klonky]

Bedeutet, du willst mir sagen, das jemand über mein Handy über Whatsapp an eine Fremde, nicht in Whatsapp getrackte Nummer, Kontakt aufnimmt, dort Datein etc. hinsendet und mir das nicht Auffallen sollte?

Witzig ist der Fall, was ist wenn die Person antwortet. Ich erhalte diese Antwort allerwahrscheinlichkeit auch. Das würde mich schon misstraurig machen. Außerdem was passiert im System von WhatsApp wenn sich 2 mal das Selbe Gerät anmeldet? Blockt der Server das nicht?


Außerdem kann ich mir immernoch nicht Vorstellen, das es wegen "Offensichtlichem Technischen Defekts/Lücke" jemand angeklagt wird.


Aber gut das du in Sicher bist in deiner großen Welt. Lebst du im Wald ohne Kommunkationswege? Es ist alles knackbar und es gibt überall Sicherheitslücken.

Die Chance, das sie deinen Account benutzen in Whatsapp ist doch sicher so hoch, wie das du überfahren wirst...

 

[WolfAW]

Und wenn man schon zu blöde ist (sorry!) sowas doch immer noch recht simples wie GTALK oder IMO oder XABBER zu nutzen, kann man wenigstens noch mit KIK einer etwas besseren Alternative zu WA stehen. Auch da brauch man eigentlich absolut nichts zu können.

Oh ja, richtig. Hab die Lemminge vergessen.

Anzahl der Lemminge > KIK user = &%/)()=I`=/%&&(%/

Wobei ich mich echt frage. Wenn GTALK schon zu schwer ist, wie kriegen die dann ihr Handy eingerichtet mit Apps installieren und Market usw ???



Ach ja, habs vergessen. Der Freund (dessen Freund eines Freundes es ihm gezeigt hat usw...) hilft dann das Telefon genau so hirnlos einzurichten wie der der es ihm gezeigt hat.

Einfach grandios ...

 

[Madman1209]

Hi,

Es ist alles knackbar und es gibt überall Sicherheitslücken.

Das stimmt sicher, aber das ist keine Sicherheitslücke, das ist ein Konzeptionsfehler. Da ist gar keine Sicherheit vorhanden, das ist das Problem. Jede Kennwortabfrage wäre sicherer als das!

Aber gut, ich will darüber nicht mehr weiter mit dir diskutieren da du mir sehr beratungsresistent erscheinst. Die Punkte, die ich aufgeführt habe sind alle valide und auch nicht an den Haaren herbeigezogen.

Aber gut, jedem das seine, glaub was du willst.

VG,
Mad

 

[riDDi]

Denen fehlt allerdings allesamt die Möglichkeit Kontakte über die Mobilfunknummer in der Kontaktliste zu finden. Nur deswegen wurde WA erfolgreich, nicht weil es der beste Messenger ist.

Das ist noch das hirnrissigste dabei. Um es auf maximale Einfachheit zu trimmen verwenden sie Telefonnummer+IMEI, um daraus ein Passwort zu generieren. Ein selbst gewähltes Passwort zur Telefonnummer und einfach verschlüsselte Übertragung mit SSL und sie hätten keine Probleme. Aber Passwörter vergeben und sich womöglich noch daran erinnern, das mögen die Nutzer nicht. Und verschlüsselte Übertragung erhöht die Last auf die Server. Zur Gewinnmaximierung muss es das grundlegend unsichere System sein. Und zugegeben, wenn man die Nutzer selbst das Passwort wählen lässt, dann wird es meistens wieder "passwort" oder "1234"

 

[WolfAW]

Außerdem kann ich mir immernoch nicht Vorstellen, das es wegen "Offensichtlichem Technischen Defekts/Lücke" jemand angeklagt wird.

Meinst du das Gesetz interessiert sich dafür ob es die Sicherheitslücke ist ? Dann könnte sich ja jeder rausreden. Alleine schon die Tatsache das du weißt das diese Lücke besteht und das als Rechtfertigung angibst, lässt das von Seiten der Anklage sowieso schon mal anders aussehen. Denn dann würde man denken du würdest absichtlich auf der Tatsache dieser Sicherheitslücke die Dinge tun, die du in Wirklichkeit nicht getan hast.

Oh man, denkt ihr euch eure Interpretationen der Gesetze eigentlich selbst aus ?

 

[Klonky]

Ich habe auch nicht deine Punkte angezweifelt.

Ich besitze auf meinem Smartphone sogut wie alle Messanger die es gibt, einfach um alle Freunde abzudecken, nur sehe ich es nicht ein, wegen einem "Konzeptionsfehler" Whatsapp zu löschen, es ist eh zu spät dafür...

Es geht nur darum das hier wieder selbsterklärte IT Sicherheitsbeauftrage rumlaufen, rumposaunen, wie ihre Identität, die eh schon offen überall liegt (...) wiedermal angegriffen wird und wieder alternativen aufzählen, damit alle wie Lemmige zum nächsten System laufen...


Sitzen den die meisten hier vor dem Bildschirmen, hämmern F5 und warten nur Darauf zu sagen "DAS HAB ICH DOCH GESAGT, DASS DAS PASSIERT!" ... Ist doch immer wieder das selbe. Hier kommen alle Kluggeschissen um die Ecke und sagen "Zum Glück bin ich so Technisch Versiert und kein Lemming und benutze X anstelle von Y. Ich wusste, dass das passiert".

Das stört mich am meisten...

 

[Madman1209]

Hi,

wenn ich dir jetzt sage, dass ich mit dem Aufspüren und Eliminieren von Sicherheitslücken in Softwareapplikationen und der nachfolgenden Neukonzeption bzw. Überarbeitung meinen Lebensunterhalt verdiene sollte ich ja schonmal nicht mehr in die Kategorie "selbsterklärt" fallen, da mir auch Vater Staat den Titel zugesteht. Und nur weil viele schreiben "habe ich doch gleich gesagt" wird es weder falsch, was sie sagen noch besser, was WhatsApp da verbrochen hat.

Ich habe mir die API, die "venomous0x" damals veröffentlich hat, als die letzte Lücke aufgetan wurde, heruntergeladen und angesehen - und wenn WhatsApp nicht komplett das Konzept über den Haufen wirft und endlich was macht dann nimmt das einfach kein gutes Ende. Dafür braucht man nicht mal Profi sein.

Wenn du deine Türe nicht nur nicht abschließt sondern sperrangelweit offen stehen lässt wenn du das Haus verlässt dann ist nicht die Frage ob jemand mal rein geht sondern nur wann.

VG,
Mad

 

[WolfAW]

Das stört mich am meisten...

Dich stört am meisten das es Leute gibt die nicht jeden Sch**** mitmachen und bloß weil du denkst das es sinnlos ist ?

So haben mal Revolutionen angefangen. Weil manche Leute nicht alles mitgemacht haben. Aber ich denke der Gedanke kommt dir da nicht. Einfach alles akzeptieren, sog. Mitläufer die die Fahne in den Wind hängen und schauen woher die Masse weht, das sind die schlimmsten.

 

[kaimauer]

Es ist schon erschreckend, wie viel Leuten alles egal ist. WhatsApp ist bei mir schon vor Monaten runtergeflogen, nicht das ich persönlich große Bedenken um meine Sicherheit hätte, es gibt Dinge, die sollte man nicht unterstützen.

"Wenn es nichts kostet, bist DU die Ware" - trifft nicht nur auf WhatsApp zu, sondern auch auf Google, Facebook und einer endlosen Reihe weiterer Dienste zu. Das finde ich auch in Maßen ok, ich bekomme ja auch was dafür, aber trotzdem verlange ich, dass sorgsam mit meinen Daten umgegangen wird, sonst gehe ich so einen Deal nicht ein.
WhatsApp beweist schon seit Monaten, dass ihnen die Sicherheit ihrer Kunden/Ware scheißegal ist, gut, dann ist WhatsApp mir scheißegal.

Ich bleib bei der good old eMail, da kann ich auch lustige Fotos dranhängen

 

[Klonky]

Und was möchtest du mir damit nun sagen? Dann bist du eben einer der wenigen, der das eben von sich behaupten darf. Trotzdem rennen hier gefühlte Trölftausend Menschen rum, die irgendwo irgendwas gelesen haben, es nachlabbern mit dem Halbwissen und sich wie ein Profi fühlen?

WhatsApp ist sicher das kleinste Übel im Internet. Einmal angemeldet, und das wette ich mit dir, das sind die meisten hier, sind sie in Datenbanken vorhanden und schon kann die Lücke ausgenutzt werden. Die Frage ist aber, wie hoch die Chance ist, das dies Passiert.

Selbes Beispiel wie meiner Haustür. Wenn du nun im Wald lebst, und kaum jemand dort herumgeistert, wie hoch ist dann die Chance, dass jemand einsteigt.

Also sollte nun Whatsapp das Programm komplett neuschreiben? Wird wohl eher nicht so schnell passieren, solche Lücken / Fehlerhaftes Konzept muss erstmal eingesehen werden und dann entschieden werden, ob man den Aufwand wirklich machen will. IT Sicherheit ist eben ein Teil des des Geschäftes jedes Unternehmens, das vom Business (das immerhin fast jedes Geschäft führt), sehr schwer einzuschätzen. Sie Zahlen geld (Viel Geld) für etwas, was im ersten Augenblick keinen nutzen zieht.

Backup das selbe Prinzip. Wenn nichts passiert, brauchste kein Backup. Zahlst keine Unmenge Geld an DR Systemen etc. Aber wenn es passiert, muss alles da sein und dafür zahlt man Geld, woraus ein Unternehmen in erster Sicht kein Erfolg/Profit zieht.

Wer weiß wer bei WhatsApp die Strippen zieht. Die Entwickler werden selbst wissen, wie verhunzt das System ist, vielleicht arbeiten sie an einem Remake auch schon, sie lassen sich ja nicht in die Karten schauen.

Dich stört am meisten das es Leute gibt die nicht jeden Sch**** mitmachen und bloß weil du denkst das es sinnlos ist ?

So haben mal Revolutionen angefangen. Weil manche Leute nicht alles mitgemacht haben. Aber ich denke der Gedanke kommt dir da nicht. Einfach alles akzeptieren, sog. Mitläufer die die Fahne in den Wind hängen und schauen woher die Masse weht, das sind die schlimmsten

Mich stört nicht das, es geht darum das hier oder allgemein in Foren die mit sowas zutun haben, selbsterklärte Profis rumrennen, die sich mit der Materie auch soooo gut auskennen und sich sofort ergötzen dadran, wie sie recht hatten. Das war der Hintergrund von meiner Aussage.

 

[WolfAW]

WhatsApp beweist schon seit Monaten, dass ihnen die Sicherheit ihrer Kunden/Ware scheißegal ist, gut, dann ist WhatsApp mir scheißegal.

Seit Monaten ???

Wenns mal wenigstens Monate wären.

 

[Madman1209]

Hi,

Und was möchtest du mir damit nun sagen? Dann bist du eben einer der wenigen, der das eben von sich behaupten darf. Trotzdem rennen hier gefühlte Trölftausend Menschen rum, die irgendwo irgendwas gelesen haben, es nachlabbern mit dem Halbwissen und sich wie ein Profi fühlen?

Die Frage ist doch eher was du mit dem Absatz aussagen möchtest. Wo genau ist dabei dein Problem? Lass die Leute doch reden. Und lass mal bitte deinendämlichen "Wald"-Beispiele. Ich wohne sicher nicht in einem "Wald" und aufgrund meiner beruflichen Tätigkeiten möchte ich dir sagen dass ich wohl auch IT-mäßig eher nicht in einem "Wald" wohne.

WhatsApp braucht nicht die komplette App neu schreiben sondern die Authentifizierung. Es geht einfach nicht die Telefonnummer und die IMEI zu hashen und das als Passwort zu übertagen, am besten noch unverschlüsselt.

Backup das selbe Prinzip. Wenn nichts passiert, brauchste kein Backup.

Genau das Gegenteil ist der Fall. Ein Backup braucht man eben IMMER. Aber gut, lassen wir das einfach. Du willst es scheinbar nicht verstehen und das ist auch ok. Das ist ja dein gutes Recht.

Aber wirf bitte uns anderen, die vor so etwas warnen nicht vor, dass wir uns mehr Gedanken machen als du.

VG,
Mad

 

[GokuSS4]

Um Anwendungen Rechte zu entziehen verwende ich gern pDroid.
Wird als Rootapp installiert und kann dadurch soziemlich alles

http://forum.xda-developers.com/showthread.php?t=1923576

 

[WolfAW]

Die Entwickler werden selbst wissen, wie verhunzt das System ist, vielleicht arbeiten sie an einem Remake auch schon, sie lassen sich ja nicht in die Karten

Die Entwickler wissen selbst wie verhunzt das System ist ???

Klar wissen sie das, sie haben es so gemacht. Und als bestes Beispiel für Firmen die nix ändern brauchen möchte ich mal wieder Activision anführen. Die mit ihren COD Spielen seit Jahren den gleichen Mist für den gleichen vollen Preis verkaufen. Früher wäre das ein Add-On, wenn überhaupt. Heutzutage ist es gleich ein neues Vollpreis Spiel.

Und bei den vielen Spielern denen es anscheinend völlig wurscht ist das sie jedes Jahre quasi das gleiche Spiel mit anderen Maps neu kaufen, so ist es bei der Menge der Nutzer von WA den Entwicklern völlig wurscht ob manche Leute die Sicherheit Ihrer Systeme fragwürdig finden. Solange die breite Masse mitmacht müssen sie gar nichts ändern. Schön bequem.

Und klar lassen die sich nicht in die Karten gucken, weil sonst würde man ja evtl. sehen das sie gar nichts dran machen um die Dinge zu verbessern. Das beste was WA einfällt sind noch mehr Smileys zu adden. Das scheint definitv das dringlichere zu sein.

Sonst noch Fragen ?

Ergänzung (29. November 2012)

Um Anwendungen Rechte zu entziehen verwende ich gern pDroid.
Wird als Rootapp installiert und kann dadurch soziemlich alles

http://forum.xda-developers.com/showthread.php?t=1923576

Klingt gut, nur durchschnittlich wenn man Apps die Rechte entzieht, funktionieren sie auch nicht mehr einwandfrei. In dem Fall wieso diese Apps überhaupt erst installieren ?

Ich sehe schon was du damit meinst, so Dinge sind sehr nützlich. Aber oft bringt es halt dann auch nix mehr die Apps zu benutzen, genau wegen fehlender Berechtigungen.

 

[HD-Ronny]

Ähmm, ich lese das immer wieder bei aufgedeckten Sicherheitslücken von whatsapp : Wie soll jemand die imei meines iphone herausbekommen ohne das ich es ihm unbeaufsichtigt und entsperrt überlasse??
Wenn jemand anderes ausser mir mein handy entsperrt in Gebrauch hat gibt es schwerwiegendere Missbrauchsmöglichkeiten als meine spam über whatsapp mitlesen zu können.

 

[Klonky]

Wegen dem Backup, auch wenns zu weit abschweift, ich kann dir sagen, das mein Backup derzeit sehr an der Grenze läuft. Ich brauche für die 20 Terabyte ca 35 Stunden zum Wegsichern. Mein Business verweigt mir aber das Geld für ein Upgrade, da man das System für gut genug befindet. Nun wird bald das Backup Freitags abends starten und es wird passieren, das Montags noch nicht fertig ist. Juwiii werde ich meinen Spaß dann haben, genau so wie die anderen hier. Aber man sieht es im Business nicht ein, da es noch nicht für nötig empfunden wird. Aber das ist ne andere Geschichte.




Und es geht mir eben gehörig gegen den Strich das sich alle hier rum rennen und sich gegenseitig bashen, wie toll sie sind, da sie auf einem High Security Level laufen, der sich aber nur so anfühlt.

Kleines Beispiel: Jemand meinte hier, das es wirklich wichtig ist, sein Wlan mit Mac Filterung, SSID etc zu versehen. Da frage ich mich wirklich, was mit den Leuten los ist... Es gibt ganz andere Baustellen in der Security von Home WLAN als Mac Filterung und SSID´s etc. WPA2 zu aktivieren wäre die erste. Aber das reicht ja manchen Leuten nicht. Da muss es ins Extreme geführt werden, nur um sich Sicher zu fühlen.


Genauso wie man Dropbox hier oft als Verhassten Dienst ansieht... Ich meine was laggere ich in der Dropbox ab? Meine Rechnungen, Passwörter ? Ich glaube weniger. Da liegt Zeugs, die niemanden interessieren und man auch aus meinem Papiermülleimer klauen könnte.



Es geht hier für mich nur darum, zu ergründen, wieso sich alle hier als IT Security Specialist fühlen...


Ich meine lustig ist auch, das einmal bei Whatsapp angemeldet, man schon gehackt werden kann. Bedeutet, den Dienst weiter zu benutzen oder nicht spielt in diesem Fall garkeine Rolle...

 

[GokuSS4]

Klingt gut, nur durchschnittlich wenn man Apps die Rechte entzieht, funktionieren sie auch nicht mehr einwandfrei. In dem Fall wieso diese Apps überhaupt erst installieren ?

Ich sehe schon was du damit meinst, so Dinge sind sehr nützlich. Aber oft bringt es halt dann auch nix mehr die Apps zu benutzen, genau wegen fehlender Berechtigungen.

Naja manche Apps gönnen sich zu viele Rechte, obwohl diese garnicht für die Funktion benötigt werden

Manche Games brauchen Internet? Ja wofür wohl, für die Werbung. Also weg damit.

Ergänzung (29. November 2012)

Ähmm, ich lese das immer wieder bei aufgedeckten Sicherheitslücken von whatsapp : Wie soll jemand die imei meines iphone herausbekommen ohne das ich es ihm unbeaufsichtigt und entsperrt überlasse??
Wenn jemand anderes ausser mir mein handy entsperrt in Gebrauch hat gibt es schwerwiegendere Missbrauchsmöglichkeiten als meine spam über whatsapp mitlesen zu können.

Deine IMEI interessiert keinen. Beim iPhone ist es eher die MAC Adresse, die interessant ist. Und diese sieht jeder, sobald du dich mit einem WLAN verbunden hast.

 

[WolfAW]

Und es geht mir eben gehörig gegen den Strich das sich alle hier rum rennen und sich gegenseitig bashen, wie toll sie sind, da sie auf einem High Security Level laufen, der sich aber nur so anfühlt.

Es geht hier für mich nur darum, zu ergründen, wieso sich alle hier als IT Security Specialist fühlen...

Du meinst weil es manchen Leute gehörig auf den Geist geht das die breite Masse der WA User absolut ahnungslos von solchen Dingen ist ? Wobei Ahnungslos wenigstens noch eine Entschuldigung wäre, obwohl eigentlich auch nicht.

Aber viel schlimmer als die Ahnungslos User sind die die es wissen und denen es völlig gleich ist was Sicherheit bedeutet und warum es wichtig ist das diese anständig läuft.

Abgewehrt wird dann mit dem üblichen belanglosen:

"Auf mein Handy kommt eh keiner. Geb ich ja auch keinem. Ergo keiner kann an meine IMEI."

oder

"Was soll denn jemand an meinen Messages in WA von haben ? Ist doch nichts wichtiges."

Dir sind diese Dinge egal, muss man akzeptieren. Du meinst weil man es eh nicht mehr ändern kann sind Einwände die auf die Vernunft der User nicht alles mit zu machen, also dann grundsätzlich Gelaber von sog. selbst erkorenen IT Spezialisten (der man nicht sein brauch um bissel nachzudenken!) ???

Falsch

Ergänzung (29. November 2012)

Deine IMEI interessiert keinen. Beim iPhone ist es eher die MAC Adresse, die interessant ist. Und diese sieht jeder, sobald du dich mit einem WLAN verbunden hast.

Oh, das hättest du nicht sagen sollen. Jetzt kommt zwangsweise wieder so ein hirnloser Spruch wie:

"Wozu den WLAN, hab doch ne Datenflat... seid ihr doof ?"



Weil ja auch die richtig coolen Typen auch zu Hause eher ihre Datenflat verhauen bevor sie WLAN nutzen. Ist wahrscheinlich zu uncool.

MEGAROFL

Und richtig, hatte ich gerade nicht beachtet das die Apps nicht zwangsweise alle Berechtigungen brauchen um zu funzen. Zumindest bei manchen ist es anders leider.

 

[Ruff_Ryders88]

Whats App ist genauso ein Dreckskonzern wie Facebook.
Aber mit diesen dummen Menschen kann man es machen, wie man an den Bewertungen im PlayStore sieht.
Da regen sich die Leute über nicht vorhandene Smileys auf anstatt über die Sicherheitslücken. Einfach nur bescheuert.

 

[h0rnet]

Whats App ist genauso ein Dreckskonzern wie Facebook.
Aber mit diesen dummen Menschen kann man es machen, wie man an den Bewertungen im PlayStore sieht.
Da regen sich die Leute über nicht vorhandene Smileys auf anstatt über die Sicherheitslücken. Einfach nur bescheuert.

Warum bezeichnst du die Menschen als dumm, die bei Whats App angemeldet sind?
Du bist bestimmt so ein Moralapostel, der über alles herzieht was im Internet verteufelt wird, aber auch überall angemeldet.