Платформа мессенджера WhatsApp представила Identity Proof Linked Storage (IPLS) - новую систему хранения данных с сохранением конфиденциальности, предназначенную для управления контактами.
Новая система решает две давние проблемы, с которыми пользователи WhatsApp сталкивались на протяжении многих лет: риск потери списков контактов при потере телефона и невозможность синхронизации контактов между различными устройствами.
Благодаря IPLS списки контактов WhatsApp теперь будут привязаны к учетной записи, а не к устройству, что позволит пользователям легко управлять ими при смене устройства или замене телефона.
Кроме того, IPLS позволяет вести разные списки контактов для нескольких аккаунтов на одном устройстве, каждый из которых безопасно управляется и изолирован от остальных.
Безопасность IPLS достигается за счет сочетания шифрования, прозрачности ключей и использования аппаратных модулей безопасности (HSM).
При добавлении нового контакта его имя шифруется с помощью ключа симметричного шифрования, который генерируется на устройстве пользователя и хранится в хранилище ключей WhatsApp на базе HSM, устойчивом к взлому.
Когда пользователь входит в систему на новом устройстве, устанавливается защищенный сеанс связи с хранилищем ключей на базе HSM, чтобы получить новый контакт путем выполнения действия аутентификации с использованием пары криптографических ключей, привязанных к учетной записи пользователя (созданной при регистрации).
IPLS обеспечивает сквозное шифрование всех контактов, то есть контактные данные шифруются на устройстве пользователя и остаются зашифрованными при прохождении через системы WhatsApp, предотвращая перехват при транспортировке или доступ неавторизованных сотрудников Meta.
WhatsApp также сотрудничает с Cloudflare для независимого стороннего аудита своих криптографических операций, в частности, для того, чтобы выступать в качестве гаранта обновлений каталога проверяемых ключей (AKD), подписывая каждую эпоху и подтверждая, что она не была подделана.
WhatsApp публикует проверяемые доказательства согласованности обновлений каталога ключей (переходов между эпохами) на общедоступном экземпляре Amazon S3, позволяя пользователям, исследователям и аудиторам независимо проверять целостность AKD.
Еще до того, как IPLS и лежащие в ее основе механизмы были представлены общественности, WhatsApp заключила контракт с NCC Group на проведение аудита безопасности новой системы.
Самым критическим открытием этого аудита стал дефект, который позволял выдавать себя за HSM Marvell и расшифровывать секретные ключевые материалы пользователей, потенциально раскрывая частные метаданные контактов.
Эта проблема, а также 12 дефектов с низкой и средней степенью серьезности были устранены WhatsApp в сентябре 2024 года, поэтому в финальном выпуске IPLS они отсутствуют.
Компания Microsoft предупреждает о сбоях в работе Windows с появлением синего экрана смерти на некоторых моделях ноутбуков ASUS при попытке обновления до последней версии операционной системы, Windows 11 версии 24H2.
Сайты WordPress взламывают для установки вредоносных плагинов, которые отображают поддельные обновления программного обеспечения и ошибки для распространения вредоносных программ, похищающих информацию.
Последние поколения процессоров Intel, включая чипы Xeon, и более старые микроархитектуры AMD в Linux уязвимы к новым атакам спекулятивного выполнения, которые обходят существующие средства защиты «Spectre».