Nova vulnerabilidade permite obter localização via o Signal e WhatsApp

Plataformas como o Signal, WhatsApp e Threema focam-se sobretudo na privacidade dos utilizadores. Mas recentemente pode ter sido descoberta uma vulnerabilidade que, quando explorada, poderá permitir obter a localização dos utilizadores que usam estas apps.

A falha foi descoberta pelos investigadores do grupo RestorePrivacy, e aponta para a forma como utilizadores mal intencionados podem explorar o sistema destas aplicações para obterem a localização onde o utilizador se encontra.

Esta falha explora as próprias infraestruturas das diferentes plataformas, e a forma como estas entregam as notificações de mensagens, sendo que os investigadores apontam ser possível recolher a localização com uma precisão de 80%.

Cada infraestrutura possui sistemas baseados em diferentes países, que necessitam de entregar as mensagens ou notificações de forma consistente para os utilizadores. Através da medição do tempo que demora entre o envio de um sinal destas apps desde o servidor até ao destinatário, é possível revelar a sua localização com bastante precisão.

Como exemplo, o sistema de notificação de que as mensagens foram lidas, tendo em conta onde os utilizadores se encontrem, pode ter um ligeiro atraso entre o pedido recebido dos servidores das entidades e os utilizadores finais. A medição deste atraso pode ajudar a identificar o local onde os utilizadores se encontram.

Esta falha certamente que é complexa, e envolve uma medição precisa de detalhes fornecidos durante a conversa, mas ao mesmo tempo, se explorada, pode ter graves consequências para a privacidade dos utilizadores.

Curiosamente, das três aplicações testadas, o WhatsApp é o que possui menos impacto para os utilizadores, uma vez que a aplicação da Meta possui vários servidores espalhados pelo mundo, sendo mais difícil registar com precisão o atraso entre os pedidos. Por sua vez, o Signal e a Threema possuem sistemas centralizados num determinado local, ficando mais simples medir o atraso para diferentes regiões.

Os investigadores apontam que uma das formas sobre como o ataque pode ser evitado será através da introdução de um atraso nas entregas de notificações ou pedidos das apps, o que deveria ser aplicado pelas próprias plataformas. Um atraso entre 1 a 20 segundo seria suficiente para impedir a exploração da falha.

O uso de VPNs também pode ajudar a evitar este ponto, uma vez que adiciona latência adicional aos pedidos feitos, e portanto, modifica os resultados finais.