Aujourd’hui, nous avons appris qu’une faille de sécurité importante dans WhatsApp pourrait divulguer votre adresse IP. WhatsApp a eu de graves failles de sécurité tout au long de l’histoire. L’un des plus importants était lié aux appels manqués. Juste en recevant un appel manqué, n’importe qui pourrait voler des chats et des images de notre téléphone portable. Désormais, une nouvelle faille de sécurité expose l’adresse IP de l’utilisateur.
Le bogue a été découvert par un utilisateur nommé bhdresh, qui a même créé une preuve de concept dans laquelle il montre comment fonctionne la vulnérabilité et comment elle peut être exploitée pour obtenir l’adresse IP d’une personne simplement en appelant via l’application.
Tout le monde peut connaître votre IP via WhatsApp avec cette faille de sécurité
La faille de sécurité fonctionne même dans la dernière version de l’application. Pour ce faire, vous devez d’abord configurer un script qui peut lire le trafic lors d’un appel ou d’un appel vidéo sur l’application. Après cela, l’application de l’expéditeur essaie d’établir une connexion avec l’adresse IP du destinataire. En filtrant l’adresse IP du serveur Facebook et WhatsApp du destinataire, il est possible de révéler son adresse IP sans que l’utilisateur le sache.
Avec cette méthode, les utilisateurs peuvent apprendre des adresses IP publiques pour connaître l’emplacement approximatif de ces utilisateurs, et ainsi pouvoir suivre leurs mouvements en créant un historique de localisation.
Pour mener à bien l’attaque, il faut tout d’abord que le smartphone et l’ordinateur soient connectés au même réseau Wi-Fi.
Après cela, il ne reste plus qu’à appeler n’importe quel utilisateur de WhatsApp. L’appel doit être établi entre les deux parties, puis nous pouvons raccrocher car le script affichera déjà l’adresse IP du destinataire.
Facebook dit qu’il ne le résoudra pas
L’utilisateur qui a découvert cette vulnérabilité a signalé le bug à Facebook le 14 octobre 2020, mais le réseau social a déclaré que c’était l’opération attendue et qu’il n’y avait rien à corriger, donc ils n’allaient pas donner de récompense. Le seul conseil qu’ils ont donné était d’utiliser un VPN s’ils ne voulaient pas que leur adresse IP soit divulguée.
En mars 2021, Signal a introduit un mécanisme pour rediriger les appels via un serveur afin de masquer la véritable adresse IP du destinataire. Alors bhdresh a de nouveau demandé à Facebook s’ils pouvaient implémenter quelque chose comme ça, et ils ont dit non, que l’implémentation actuelle fonctionne sans problème. Ainsi, notre adresse IP peut être divulguée à toute personne qui nous appelle, la seule solution est donc d’utiliser un VPN.
