Vos données WhatsApp auraient pu être piratées avec un simple appel vidéo

C’est Natalie Silvanovich, une des chercheuses du Google Project Zero, qui a repéré le point faible de WhatsApp et l’a rendu public sur Twitter. D’un simple appel, des hackers auraient pu pirater votre compte. Une information pas très rassurante quand on connait les affaires de piratage qui ont agité la toile ces deux dernières années. La corruption des données de Snapchat, Reddit, Sony, la NSA, et maintenant la vue des points faibles de WhatsApp risque même d’accroitre sérieusement la méfiance des utilisateurs vis à vis du traitement de leurs données.

Comment ça marche ?

Tout d’abord, il faut présenter ce qu’est le protocole RTP. Le protocole RTP est un protocole de communication informatique qui permet une conversation vidéo ou audio via la transmission de paquets de données (en bref).
Lors d’un appel vidéo, les hackers pouvaient exploiter une faille du système avec une version corrompue d’un paquet RTP. Cela entrainait un bug de mémoire pour l’utilisateur ayant répondu. Le bug de mémoire faisait planter l’application et permettait à l’appelant de prendre contrôle du compte et des données de l’appelé.

Le problème a depuis été résolu

Natalie Silvanovich a publié sur son compte Twitter l’ensemble du protocole nécessaire pour hacker WhatsApp, avec démonstration à la clé. Elle a cependant pris la peine de contacter les responsables de l’application en août prélablement. Grâce à sa découverte, le problème a pu être corrigé le 28 septembre sur la version Android de WhatsApp, et le 3 octobre sur la version iPhone. On peut dire que WhatsApp a encore eu chaud, ce n’est pas la première fois qu’une faille de sécurité est mis à jour sur l’application. Cependant, la prise en charge rapide des problèmes avant tout délits devrait nous permettre de continuer à dormir sur nos deux oreilles après avoir envoyé des messages à l’autre bout du monde.

Memory corruption bug in WhatsApp's non-WebRTC video conferencing implementation https://t.co/5sCmNznh4P

— Natalie Silvanovich (@natashenka) 9 octobre 2018