【翻牆問答】WhatsApp二步認證變黑客漏洞

2021-04-16
Share
【翻牆問答】WhatsApp二步認證變黑客漏洞 即時通訊軟件WhatsApp近日被發現二步認證設計不當,引發嚴重資安漏洞。
路透社資料圖片

問:雖然二步認證在抵禦黑客攻擊時,扮演重要角色。但由於WhatsApp在二步認證設計不當,反而搞出重大漏洞出來,被發現的嚴重漏洞暫時並無辦法預防。今集節目能否為大家介紹一下,這次臉書公司旗下的WhatsApp,出現了甚麼重大的保安漏洞?

李建軍:WhatsApp現時二步認證,是十分之依賴手機短信,有人發現,如果有黑客想你的WhatsApp無法運作,只要取得電話號碼,不斷輸入錯誤的二步認證碼,就足以令你的WhatsApp戶口暫停。如果你再傳電郵給臉書公司,聲稱戶口被竊,就有可能立即被停用,並要向臉書公司解釋,才可能重開戶口。如果有人用另一部手機,做類似事情,但是針對你的手機號碼,你有可能無預警的情況下,WhatsApp通訊突然中斷,無法正常與朋友或客戶溝通,單是這一點已經十分之煩。

問:其實短信二步認證已經有很多問題,為何臉書公司不能使用其他認證,例如二步認證編碼程式,或者一些支援NFC的保安金鑰?

李建軍:現時很多使用保安金鑰,或者二步認證編碼程式的網站或服務,都是用於桌面、平板電腦上,所以你可以用手機掃QR碼去做二步認證,或者將保安金鑰插入USB埠做二步認證。但WhatsApp是以手機為本,就算你在桌面上用WhatsApp應用程式或網站,都要手機保持與互聯網連結先做得到,一旦手機關閉,在桌面上的WhatsApp應用程式或網站亦會隨即關閉。換言之,臉書公司必須面對一個完全以手機為本應用程式的保安問題。

很不幸,仍然有相當數目的手機未具備NFC功能,手機大部分亦插不了USB金鑰,而二步認證編碼程式在手機上使用,連結程序亦不可能像桌面程式上,手機掃QR碼可以完成。因此,短信幾乎變成唯一可以用的二步認證手段。好像Telegram的情況就更兒戲,因為Telegram是純粹用多一個密碼設定,就當成二步認證,如果有人以暴力方式解破密碼,就幾乎肯定會被攻陷,就連短信用的單次確認密碼都及不上。

問:現時未知臉書公司何時解決WhatsApp這個由二次認證設計不當造成的保安漏洞,但長遠而言,Signal、WhatsApp,以至Telegram的通訊軟件都越來越重要,對香港和中國戶就更明顯。那要等到甚麼時候,才會有相對安全的二步認證出現,防止手機落入黑客或政權手上後,造成個人敏感資料外洩?

李建軍:相信要解決這個問題,比較可行的方案是NFC功能手機進一步普及後,利用NFC保安金鑰做二步認證。當然,並不代表每一次進入Signal、WhatsApp或Telegram都要拍一拍保安金鑰,那是十分之擾民的事。但使用者在進入個別十分之敏感內容時,可以要求先拍一拍保安金鑰,例如一些涉及政治敏感內容、維權運動的討論等等,都要必須拍一下保安金鑰才能夠看到,那當局或有心黑客要偷資料的難度就大增,亦不會有人可以遙距惡意令你的戶口癱瘓。如果要他人看不到資料,除了將手機物理毀滅,亦可以將保安金鑰毀滅或丟棄,這樣就可以提升即時信息軟件的安全度。

當然,針對一些十分之敏感的內容,其實WhatsApp提供的保安功能太少,Signal至少提供在指定時間內自動刪除信息等功能,在某程度上,雖然WhatsApp可以進行點對點加密通訊,但實際上,如果要進行一些很私人或敏感的對話,Signal或Telegram相對比WhatsApp安全。因此,縱使在二步認證上,Telegram和Signal不見得比WhatsApp安全,但總體設計上,Telegram和Signal的安全度比WhatsApp為高,要考慮安全問題,不應只考慮二步認證,還要考慮總體因素。

Edge及Safari用戶可直接點擊收聽
其他瀏覽器用戶請點此下載播放插件

新增評論

請將評論填寫在如下表格中。 評論必須符合自由亞洲電台的 《使用條款》並經管理員通過後方能顯示。因此,評論將不會在您提交後即時出現。自由亞洲電台對網友評論的內容不負任何責任。敬請各位尊重他人觀點並嚴守事實。

完整网站