מה קרה
השבוע חוקר אבטחה הדגים תרגיל פשוט בטלפוני Android. כשטלפון נעול מקבל שיחת וידאו של WhatsApp, אפשר לענות לשיחה ישירות ממסך הנעילה. מתוך אותה שיחה, אפשר להוביל את תכונת האפקטים והרקע של WhatsApp לפתיחת גלריית התמונות של הטלפון — ומשם כל הגלריה גלויה. באף שלב הטלפון אינו מבקש את ה-PIN, התבנית או טביעת האצבע שמגינים עליו בדרך כלל.
החלק החשוב לאנשים רגילים הוא מה שהוא אינו דורש: אין סיסמה, אין ציוד מיוחד, ואין מיומנות פריצה. עם זאת, הוא כן דורש שמישהו יחזיק פיזית את הטלפון שלך. זו בעיה של "מישהו הרים את הטלפון שלך", לא בעיה של "מישהו בצד השני של העולם".
כמה כדאי לדאוג?
שמור על פרופורציה. מכיוון שהתוקף צריך את הטלפון שלך ממש בידיים, זה לא סוג הפגם שמאפשר לזרים ברשת לחטט בתמונות שלך. הסיכון האמיתי קרוב יותר לבית: טלפון אבוד או גנוב, או רגע שבו מישהו שהיית מעדיף לא לתת בו אמון מחזיק את המכשיר שלך.
Meta ו-Google עודכנו על הבעיה, וזה המסלול הרגיל לתיקון. אבל נכון לכתיבת שורות אלה אין עדכון שפורסם וסוגר אותה, אז כדאי לבצע את הצעד של דקה למטה בעצמך במקום לחכות.
התיקון של שתי דקות
אינך צריך להסיר שום דבר. התיקון הנקי ביותר הוא להפסיק לתת ל-WhatsApp גישה לכל ספריית התמונות שלך, כך שגם אם הבאג מופעל יש לו מעט מאוד להראות.
ב-Android: פתח הגדרות → אפליקציות → WhatsApp → הרשאות → תמונות וסרטונים, ושנה מ"אפשר הכול" ל"אפשר גישה מוגבלת" (חלק מהטלפונים קוראים לזה "תמונות נבחרות") או "שאל בכל פעם". עדיין תוכל לבחור ולשלוח תמונות בודדות ב-WhatsApp — הוא פשוט ישאל אותך בכל פעם במקום להחזיק את המפתחות לכול.
וכשאתה כבר שם, זה הרגל טוב לגלול בין שאר האפליקציות ולשאול שאלה פשוטה: האם האפליקציה הזו באמת צריכה את כל הגלריה שלי? עבור רוב האפליקציות התשובה היא לא. הגבלת גישה לתמונות היא אחת מהגדרות הפרטיות בעלות הערך הגבוה ביותר בטלפון, והבאג הזה הוא תזכורת טובה להשתמש בה.
הלקח הגדול יותר: נעול אינו זהה לאטום
מפתה לחשוב על מסך נעילה כחומה סביב כל מה שבטלפון שלך. באמת זה יותר כמו דלת כניסה: היא מונעת ממישהו להיכנס כלאחר יד, אבל היא מעולם לא נועדה להיות הדבר היחיד שעומד בין זר לבין הקבצים הכי פרטיים שלך. אפליקציות שהענקת להן גישה רחבה יכולות, דרך באג כמו זה, להפוך לחלון צדדי.
לכן המקום הבטוח ביותר לאותן תמונות, סרטונים ומסמכים בודדים שלעולם לא היית רוצה שזר יראה אינו הגלריה הכללית בכלל. זהו מרחב נפרד מוצפן — שמוגן בסוד משלו, ושאפליקציות אחרות פשוט אינן יכולות להגיע אליו גם כשהן מתנהגות לא כשורה. באג באפליקציה אחת לא אמור להיות מסוגל לחשוף את הדברים החשובים ביותר.
היכן Sealby משתלב
Sealby אינו מתקן את WhatsApp, והוא לא ימנע ממישהו להרים את הטלפון שלך. מה שהוא כן עושה הוא לתת לתמונות, לסרטונים, לפתקים ולקבצים הכי רגישים שלך בית משלהם: מוצפנים במכשיר שלך, נפתחים רק עם ה-PIN או משפט הסיסמה שלך, ומוחזקים מחוץ לגלריה המשותפת שאפליקציות רגילות רואות. כך שכשהסיפור הבא של "הטלפון הנעול לא היה כל כך נעול" יופיע — ותמיד יש הבא — הדברים שהכי אכפת לך מהם לא יושבים במקום שטעות של אפליקציה אחת יכולה להגיע אליו.