共收录 2 条相关安全情报。
← 返回所有主题本文针对 WhatsApp 的握手协议（Prekey 机制）进行了安全与隐私分析。研究背景是端到端加密通信中密钥协商的安全重要性。论文核心问题包括：Prekey 交换是否存在信息泄露、是否可被中间人攻击利用、以及隐私保护是否充分。方法上，作者对 WhatsApp 实际部署的握手流程进行了逆向工程和形式化建模，结合密码学分析工具评估其安全属性。主要贡献包括：发现了 Prekey 签名验证中的遗留问题、揭示了服务器侧 Prekey 管理可能导致的用户身份绑定弱点，并提出了改进方案。实验在模拟环境中验证了攻击场景，证明这些漏洞可被远程利用。该研究适合密码学和安全协议研究人员、即时通讯开发者和隐私倡导者阅读。
💡 推荐理由: WhatsApp 握手机制是数十亿用户端到端加密的基础，其漏洞可能影响全球通信安全与隐私。
🎯 建议动作: 研究跟进
本论文研究了全球最大即时通讯平台 WhatsApp 的电话号码枚举漏洞。WhatsApp 拥有超过 35 亿活跃用户（截至 2025 年初），其通讯录同步机制允许用户通过手机号查询联系人是否注册。该机制虽为合法功能，但本质上为攻击者提供了枚举有效手机号的能力。作者通过大规模实验证明，WhatsApp 的速率限制措施存在严重不足，能够以每小时超过 1 亿次的速率进行探测而不被阻止。研究发现，2021 年 Facebook 数据泄露中披露的近一半电话号码在 WhatsApp 上仍处于活跃状态，凸显了数据泄露的长期风险。此外，作者还进行了用户普查，揭示了即使消息内容经过端到端加密，元数据（如用户活跃状态和关联设备）仍可能被大规模收集。更关键的是，发现了不同设备或电话号码之间重复使用 X25519 公钥的现象，这可能是由于不安全的自定义实现或欺诈活动导致。论文最后描述了与 WhatsApp 团队的协作修复过程，确认了速率限制问题已得到解决。该研究适合安全研究人员、隐私倡导者及即时通讯平台开发者阅读。
💡 推荐理由: 该研究揭示了 WhatsApp 大规模电话号码枚举漏洞的持续存在，可被用于用户监控、社交工程、钓鱼攻击，以及与泄露数据关联造成隐私外泄。
🎯 建议动作: 评估自身即时通讯服务是否存在类似枚举风险，并参考论文建议改进速率限制与密钥管理。