WhatsApp se targue d’être une messagerie dont la priorité est le chiffrement de toutes les conversations de ses utilisateurs. Pourtant, des liens d’invitations à certaines de ses discussions se retrouveraint assez facilement sur Google. Développeuse, Jane Manchun Wong est connue pour découvrir les dessous des applications. Il y a peu, grâce à sa maîtrise du reverse-engineering, elle a mis au jour une fonctionnalité cachée d’Instagram. Aujourd’hui, elle a simplement effectué une recherche dans l’outil de navigation de Google pour s’apercevoir d’une faille d’ampleur de WhatsApp. Elle n’a eu qu’à rechercher “site:chat.whatsapp.com” pour exclure tout résultat dont l’URL ne comportait pas cette base d’adresse spécifique. Cette dernière est normalement réservée aux liens privés d’invitation à une discussion WhatsApp. Google en indexe ouvertement près de 500 000 !
A misconfiguration by WhatsApp enabled ~470k Group Invite links to be indexed by search engines
It should’ve been `Disallow`ed with robots.txt or with the `noindex` meta tag
thanks @JordanWildon for the tip https://t.co/CJxjJ5qyfh pic.twitter.com/FrW1I9Y8vs
— Jane Manchun Wong (@wongmjane) February 21, 2020
Motherboard, la rédaction Tech de Vice, s’y est essayée elle aussi. Elle est majoritairement tombée sur des groupes d’échange d’images et vidéos pornographiques. Plus inquiétant encore, elle a découvert un lien pour rejoindre une conversation privée regroupant des associations et des ONGs accréditées par l’Organisation des nations unies (ONU). En fouillant dans les informations du groupe de discussion, les journalistes de Motherboard ont ainsi pu avoir accès aux identités et aux numéros de téléphone de 48 membres. De plus, même les méthodes de sécurisation supplémentaire de WhatsApp ne fonctionneraient pas. Si un lien d’invitation à un groupe est compromis, un administrateur de ce dernier a la possibilité d’en générer un nouveau. Néanmoins, le précédent ne serait pas rendu caduque et resterait indexé par Google.
Search engines like Google & others list pages from the open web. That’s what’s happening here. It’s no different than any case where a site allows URLs to be publicly listed. We do offer tools allowing sites to block content being listed in our results: https://t.co/D1YIt228E3
— Danny Sullivan (@dannysullivan) February 21, 2020
En réaction à ces découvertes, Danny Sullivan, responsable chez Google, explique sur Twitter que les moteurs de recherche comme Google ne font que lister des pages du “web ouvert”. Le problème ne proviendrait pas, selon lui, de Google. Danny Sullivan en profite pour rediriger les utilisateurs de WhatsApp, soucieux de retrouver leurs liens d’accès vers leur discussion privée, vers l’outil empêchant Google d’indexer automatiquement certaines pages. Quant à l’application de messagerie chiffrée de Facebook, l’un de ses porte-paroles a déclaré : “les administrateurs de groupe de discussion WhatsApp ont la possibilité d’inviter n’importe quel autre utilisateur à rejoindre un groupe en partageant un lien qu’ils génèrent eux-mêmes. Comme tout contenu partagé ouvertement sur le web, il peut être découvert par d’autres utilisateurs. Les liens que les utilisateurs souhaiteraient rester privés et uniquement accessibles à des personnes de confiance ne devraient pas être partagés sur des sites web ouverts à tous.”
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
Encore une fois, les gens râlent avant de comprendre… que le problème vient d’eux-même !
Si vous partagez du contenu sur une page publique et/ou indexée, celui-ci peut-être accessible par tous.
Les gens râlent avant de comprendre car on ne leur explique par les risques qu’ils prennent en utilisant ce genre de fonctionnalité.
Au lieu de critiquer les utilisateurs, il faudrait que l’utilisation de ce genre d’application soit mieux expliqué et encadré.
Énormément de personnes pensent que WhatsApp est un moyen de communication sur et privé.
S’il faut en plus tenir la main te tous ses utilisateurs… C’est comme si tu partageais une invitation à fête chez toi et que t’as posé les flyers au McDo du coin. T’étonnes pas que tu retrouves tout le quartier chez toi