Co přesně je ta chyba WhatsAppu na uzamčené obrazovce?

Výzkumník zjistil, že na telefonu s Androidem lze příchozí videohovor WhatsApp přijmout z uzamčené obrazovky a funkci fotoefektů a pozadí v hovoru pak lze použít k otevření galerie fotek telefonu — to vše bez odemčení telefonu PINem nebo otiskem prstu. Bylo to nahlášeno Meta a Google. Je potřeba, aby někdo fyzicky držel váš telefon; není to nic, co by útočník mohl udělat přes internet.

Jak se hned teď ochráním?

Na Androidu otevřete Nastavení, přejděte do Aplikace, klepněte na WhatsApp, pak Oprávnění, pak Fotky a videa, a přepněte z „Povolit vše“ na „Povolit omezený přístup“ (nebo „Zeptat se pokaždé“). Tím díru uzavřete, protože nedáte WhatsAppu celou galerii. Když už tam jste, je dobrým zvykem projít, které aplikace vůbec mají plný přístup k fotkám — většina jich potřebuje jen pár snímků, ne celou knihovnu.

Týká se to i iPhonů?

Tahle konkrétní chyba je problém Androidu spjatý s tím, jak spolu souvisí obrazovka hovorů WhatsAppu a oprávnění Androidu. iPhony zpracovávají hovory z uzamčené obrazovky a oprávnění k fotkám jinak, takže nejsou ohrožené stejným způsobem. I tak není uzamčená obrazovka žádného telefonu dokonalá zeď — obecné ponaučení, že si nejcitlivější soubory nemáte držet v běžné galerii fotek, platí pro každý telefon.

Když byl telefon uzamčený, proč někdo přesto mohl vidět moje fotky?

Protože „uzamčený“ hlavně brání někomu normálně otevřít domovskou obrazovku a aplikace. Nezastaví každou cestu, kterou aplikace může nabídnout, když smí běžet přes uzamčenou obrazovku — třeba přijetí hovoru. Pokud ta aplikace má navíc oprávnění dostat se k celé vaší knihovně fotek, chyba může proměnit jednu povolenou akci ve dveře. Omezení toho, čeho se každá aplikace může dotknout, je právě to, co tohle riziko zmenšuje.

Chyba WhatsAppu umožní uzamčenému Androidu prozradit vaše fotky

Klíčové body

Bezpečnostní výzkumník ukázal, že kdo fyzicky drží váš uzamčený telefon s Androidem, může se přes WhatsApp dostat k vaší galerii fotek — aniž by kdy zadal váš PIN.

Je potřeba mít telefon v ruce a žádná technická dovednost; není to útok na dálku a netýká se iPhonů stejným způsobem.

Meta a Google byly upozorněny, ale v době psaní není vydaná žádná oprava, takže ochrana je zatím na vás.

Dvouminutová náprava: změňte WhatsApp z plného přístupu k fotkám na „omezený přístup“ v nastavení oprávnění aplikací v telefonu — a vyplatí se toto nastavení zkontrolovat u každé aplikace.

Širší ponaučení: uzamčená obrazovka je jen jedna tenká vrstva, ne trezor. Nejsoukromější věci, které máte, jsou nejbezpečnější, když jsou uložené zašifrovaně a oddělené od běžné galerie fotek.

Co se stalo

Tento týden bezpečnostní výzkumník předvedl jednoduchý trik na telefonech s Androidem. Když uzamčený telefon přijme videohovor WhatsApp, lze hovor přijmout přímo z uzamčené obrazovky. Z nitra toho hovoru lze funkci fotoefektů a pozadí ve WhatsAppu navést k otevření galerie fotek telefonu — a odtud je vidět celá galerie. Telefon v žádnou chvíli nežádá PIN, gesto ani otisk prstu, které ho běžně chrání.

Pro běžné lidi je důležité to, co to nevyžaduje: žádné heslo, žádné zvláštní vybavení a žádnou hackerskou dovednost. Vyžaduje to ovšem, aby někdo fyzicky držel váš telefon. Je to problém typu „někdo vzal váš telefon“, ne typu „někdo na druhé straně světa“.

Jak moc se máte bát?

Zachovejte proporce. Protože útočník potřebuje váš skutečný telefon v rukou, není to typ chyby, který by cizím lidem na internetu dovolil se probírat vašimi snímky. Skutečné riziko je blíž: ztracený nebo ukradený telefon, nebo chvíle, kdy zařízení drží někdo, komu byste raději nedůvěřovali.

Meta a Google byly o problému informovány, což je běžná cesta k jeho opravě. Ale v době psaní nebyla vydaná žádná aktualizace, která by ho uzavřela, takže se vyplatí udělat si sami jednominutový krok níže, než čekat.

Dvouminutová náprava

Nemusíte nic odinstalovávat. Nejčistší náprava je přestat dávat WhatsAppu přístup k celé vaší knihovně fotek, aby i v případě spuštění chyby bylo co ukázat jen málo.

Na Androidu: otevřete Nastavení → Aplikace → WhatsApp → Oprávnění → Fotky a videa a změňte z „Povolit vše“ na „Povolit omezený přístup“ (některé telefony to nazývají „Vybrané fotky“) nebo „Zeptat se pokaždé“. Ve WhatsAppu si stále můžete vybrat a poslat jednotlivé fotky — jen se vás pokaždé zeptá, místo aby držel klíče od všeho.

Když už tam jste, je dobrým zvykem projet ostatní aplikace a položit si jednoduchou otázku: potřebuje tahle aplikace opravdu celou moji galerii fotek? U většiny aplikací zní odpověď ne. Omezení přístupu k fotkám je jedno z nejcennějších nastavení soukromí v telefonu a tahle chyba je dobrou připomínkou, abyste ho využili.

Širší ponaučení: uzamčeno není totéž co zapečetěno

Je lákavé představovat si uzamčenou obrazovku jako zeď kolem všeho v telefonu. Ve skutečnosti je spíš jako vchodové dveře: zabrání někomu jen tak vejít, ale nikdy neměla být tou jedinou věcí mezi cizím člověkem a vašimi nejsoukromějšími soubory. Aplikace, kterým jste dali široký přístup, se mohou takovou chybou stát bočním oknem.

Proto nejbezpečnějším místem pro tu hrstku fotek, videí a dokumentů, které byste nikdy nechtěli ukázat cizímu člověku, není vůbec běžná galerie fotek. Je to oddělený, šifrovaný prostor — chráněný vlastním tajemstvím, k němuž se ostatní aplikace prostě nedostanou, ani když se chovají špatně. Chyba v jedné aplikaci by neměla umět odhalit to, na čem záleží nejvíc.

Kam zapadá Sealby

Sealby WhatsApp neopraví a nezabrání někomu vzít vám telefon. Dělá to, že vašim nejcitlivějším fotkám, videím, poznámkám a souborům dá vlastní domov: zašifrované ve vašem zařízení, otevíratelné jen vaším vlastním PINem nebo přístupovou frází a držené mimo sdílenou galerii fotek, kterou běžné aplikace vidí. Takže až se objeví další příběh ve stylu „uzamčený telefon nebyl tak uzamčený“ — a vždycky nějaký přijde — věci, na kterých vám záleží nejvíc, nebudou ležet tam, kam dosáhne chyba jediné aplikace.

Váš uzamčený telefon není tak uzamčený, jak si myslíte