WhatsApp stopft Sicherheitsloch – und verlangt Abo-Gebühren Update

[Christoph]

Der Betreiber der beliebten SMS-Alternative WhatsApp hat heimlich Änderungen an seinem Dienst vorgenommen, um eine seit längerer Zeit bekannte Schwachstelle zu stopfen. Auf viele Nutzer wartete jedoch gleich die nächste böse Überraschung: Die WhatsApp-Nutzung kostet auf den meisten Smartphone-Plattformen ab sofort Geld.

Über zwei Monate lang konnte ein möglicher Angreifer WhatsApp-Accounts anderer Nutzer dauerhaft kompromittieren, wenn er leicht zugängliche Informationen – die Seriennummer (IMEI) eines Android-Smartphones oder die MAC-Adresse eines iPhones – herausbekommen hat. Sicherheitsexperten fanden heraus, dass WhatsApp daraus mit einem primitiven Algorithmus das zur Anmeldung am Server nötige Passwort generierte. Als Benutzername diente die Handynummer, die ebenfalls alles andere als geheim ist.

Kurz nachdem dieser Mangel bekannt wurde, kursierte auch schon ein PHP-Skript im Netz, mit dessen Hilfe jedermann kinderleicht fremde Accounts übernehmen konnte, um Nachrichten im fremden Namen zu senden und zu empfangen. Auf dessen Grundlage baute ein deutscher Entwickler einen Webclient auf, über den nach Eingabe von Handynummer und IMEI beziehungsweise MAC-Adresse WhatsApp-Nachrichten mit fremden Absendernummern verschickt werden konnten.

Das ist höchst problematisch, weil sich WhatsApp zu diesem Zeitpunkt bei vielen Smartphone-Nutzern längst als SMS-Ersatz etabliert hatte. Die Statistik von Google Play hat Downloads im dreistelligen Millionenbereich und 1.816.560 Bewertungen gezählt, etliche weitere Nutzer haben den Messenger-Client in Apples App Store gekauft.
..........

Update vom 20.11.2012, 14:40: Wie einige Leser korrekt angemerkt haben, werden Android-Nutzer von WhatsApp seit geraumer Zeit darauf hingewiesen, dass der Dienst nach einem Jahr kostenpflichtig wird. Bislang hatten die Betreiber dieser Ankündigung jedoch kaum Taten folgen lassen. Offenbar bittet WhatsApp erst seit kurzem eine nennenswerte Anzahl Nutzer zur Kasse.

Leserberichten zufolge wurden bislang noch nicht alle WhatsApp-Nutzer zur Kasse gebeten; bei einigen wird sogar eine Abo-Restlaufzeit von zehn Jahren angezeigt. Was es damit auf sich hat, ist derzeit unklar. WhatsApp hat sich bislang nicht dazu geäußert. (rei)

Quelle und ganzer Artikel: http://www.heise.de/newsticker/meldu...n-1753088.html