WhatsApp E2E Şifrələmə Protokolunda Metadata Sızması: Hədəflənmiş Kiber Hücumlara Şərait Yaradır

WhatsApp, 3 milyarddan çox aktiv istifadəçisi ilə dünyanın ən böyük mesajlaşma platformasıdır və mesajların təhlükəsizliyini təmin etmək üçün Ucdan-uca Şifrələmədən (E2EE) istifadə edir. Lakin platformanın “çox cihazlı” (multi-device) funksiyasını tənzimləyən mexanizmlərdə uzun müddətdir ki, istifadəçilərin metadata məlumatlarını sızdıran ciddi zəifliklər aşkarlanıb. Bu sızma, kiber cinayətkarlara hədəflənmiş zərərli proqram təminatının (malware) çatdırılmasını asanlaşdıraraq, istifadəçinin cihazının Əməliyyat Sistemini (OS) dəqiq şəkildə aşkar etməyə imkan verir.

Hücumçular bu məlumatı passiv şəkildə, istifadəçi ilə heç bir qarşılıqlı əlaqə olmadan WhatsApp serverlərini sorğulayaraq əldə edirlər. Meta tərəfindən bu yaxınlarda qismən düzəlişlərin edildiyi müşahidə olunsa da, tam şəffaflığın olmaması və əsas zəifliklərin bir hissəsinin hələ də mövcudluğu təhlükəsizlik ekspertlərini narahat edir.

Texniki Detallar

WhatsApp-ın çox cihazlı arxitekturası Signal protokoluna əsaslanır. Bu quruluşda, göndərən tərəf hər bir alıcı cihazı ilə serverlərdə deyil, cihazda yaradılan unikal şifrələmə açarlarından istifadə edərək ayrı-ayrı seanslar yaradır. Bu seanslar zamanı açar identifikatorlarının tətbiqindəki fərqliliklər kritik metadata sızmasına səbəb olur.

Əsas diqqət mərkəzində olan açar növləri bunlardır:

• **İmzalanmış Ön Açar (Signed Pre-Key – SPK):** Bu açarlar Meta tərəfindən bu yaxınlarda qismən yenidən konfiqurasiya edilib.
• **Birdəfəlik Ön Açar (One-Time Pre-Key – OTPK):** Bu açarlar hələ də iOS və Android cihazlarını fərqləndirmək üçün istifadə olunur.

Araşdırmalar göstərir ki, 2024-cü ilin əvvəllərində Tal A. Be’ery (WOOT’24) per-cihaz seansları vasitəsilə cihazların sayını, növünü və identifikasiyasını sızdırmışdı. Daha sonra, 2025-ci ildə Gabriel Karl Gegenhuber və həmkarları (WOOT’25) əməliyyat sistemi barədə dəqiq məlumat əldə etməyin mexanizmini detallandırdılar:

1. **Android SPK:** Əvvəllər Android cihazlarında SPK identifikatorları hər ay 0-dan başlayaraq yavaş-yavaş artırdı (sequential). Bu, rəqəmsal imzalanmış açar identifikatoruna əsasən cihazın Android olduğunu müəyyən etməyə imkan verirdi.
2. **iOS SPK:** iOS cihazlarında isə bu naxış tamamilə fərqli idi.

Bu fərqlər kiber kəşfiyyat (reconnaissance) mərhələsində OS tipini müəyyən etmək üçün kritik əhəmiyyət daşıyır. Bu məlumat hücumçulara zərərli yükü (payload) iOS-a uyğun proqramlardan yayınaraq birbaşa Android hədəfinə çatdırmağa imkan verir.

Təhlükənin Miqyası

Əməliyyat sisteminin aşkar edilməsi imkanı hədəflənmiş və yüksək səviyyəli kiber hücumlar (APTs) üçün WhatsApp-ı ideal vektor edir. Hücumçular məhz bu məlumatdan istifadə edərək dəqiq istismar zəifliklərini (exploits) tətbiq edirlər.

**Hücum Mexanizmi:**

• Hücumçu WhatsApp serverinə hədəfin seans açarları barədə passiv sorğu göndərir.
• Əldə edilən açar ID-lərinin naxışlarını təhlil edərək cihazın OS-ni müəyyənləşdirir (məsələn, Android və ya iOS).
• Müəyyən edilmiş OS növünə uyğun olaraq hazırlanmış zərərli proqram (məsələn, Paragon kimi casus proqramlar) məqsədyönlü şəkildə çatdırılır.

Bu proses zamanı istifadəçiyə heç bir bildiriş göndərilmir, bu da hücumun tamamilə gizli (stealth) qalmasını təmin edir. Beləliklə, məlumatın sızması kiber öldürmə zəncirinin (cyber kill chain) kəşfiyyat mərhələsində həlledici rol oynayır.

Tövsiyələr və Həll Yolları

Meta, təhlükəsizlik alətləri vasitəsilə aşkar edilmiş **“Səssiz Düzəliş”** tətbiq edib: Android SPK identifikatorlarının təyin edilməsini aylıq artım naxışından çıxararaq 24-bit aralığında təsadüfi dəyərlərə dəyişdirdi. Bu, əvvəlki vektorun qarşısını alsa da, problem tamamilə aradan qaldırılmayıb.

**Qalan Zəiflik:** OTPK açarları hələ də OS fərqini ortaya qoyur. iOS-da OTPK identifikatorları aşağı dəyərlərdən başlayır və bir neçə gündən bir artır, Android-də isə tam təsadüfi diapazon saxlanılır. Bu, düzəlişdən sonra da alətlərin OS-ni etibarlı şəkildə aşkar etməsinə imkan verir.

**Tənqidlər və Şəffaflıq:** Təhlükəsizlik ekspertləri qeyd edirlər ki, Meta bu düzəlişləri tətbiq edərkən nə tədqiqatçıları xəbərdar edib, nə də səhvə görə mükafat (bug bounty) ödəyib. Ən əsası, problemə **CVE (Common Vulnerabilities and Exposures)** kodu təyin edilməyib. CVE kodlarının olmaması təhlükəsizlik icmasının izləməsinə və zəifliklərin CVSS balı ilə sənədləşdirilməsinə mane olur.

**İstifadəçilərə Tövsiyələr:**

**Nəticə**

WhatsApp-ın çoxmilyardlıq istifadəçi bazasını qorumaq üçün Meta-nın bütün platformalarda (iOS və Android) açar identifikatorlarının tam təsadüfiləşdirilməsini təmin etməsi və CVE şəffaflığı ilə icma ilə əməkdaşlıq etməsi vacibdir. Qismən düzəlişlər təhlükəsizlik landşaftında riskləri azaltmaq üçün kifayət deyil.