Wat er gebeurde
Deze week demonstreerde een beveiligingsonderzoeker een simpele truc op Android-telefoons. Wanneer een vergrendelde telefoon een WhatsApp-videogesprek ontvangt, kan het gesprek meteen vanaf het vergrendelscherm worden opgenomen. Vanuit dat gesprek kan de foto-effecten- en achtergrondfunctie van WhatsApp worden gestuurd om de fotogalerij van de telefoon te openen — en vandaar is de hele fotobibliotheek zichtbaar. Op geen enkel moment vraagt de telefoon om de PIN, het patroon of de vingerafdruk die hem normaal beschermt.
Het belangrijke voor gewone mensen is wat het niet vereist: geen wachtwoord, geen speciale apparatuur en geen hackvaardigheid. Het vereist wél iemand die je telefoon fysiek vasthoudt. Dit is een ‘iemand pakte je telefoon op’-probleem, geen ‘iemand aan de andere kant van de wereld’-probleem.
Hoe bezorgd moet je zijn?
Houd het in verhouding. Omdat de aanvaller je echte telefoon in handen moet hebben, is dit niet het soort lek waarmee vreemden online door je foto's kunnen bladeren. Het echte risico ligt dichterbij: een verloren of gestolen telefoon, of een moment waarop iemand die je liever niet vertrouwt je toestel vasthoudt.
Meta en Google zijn over het probleem geïnformeerd, wat de normale weg naar een oplossing is. Maar op het moment van schrijven is er nog geen update uitgebracht die het dicht, dus het is de moeite waard om de stap van één minuut hieronder zelf te zetten in plaats van te wachten.
De oplossing van twee minuten
Je hoeft niets te verwijderen. De schoonste oplossing is om WhatsApp geen toegang meer te geven tot je hele fotobibliotheek, zodat er zelfs als het lek wordt geactiveerd weinig te tonen valt.
Op Android: open Instellingen → Apps → WhatsApp → Rechten → Foto's en video's, en verander het van ‘Alles toestaan’ naar ‘Beperkte toegang toestaan’ (sommige telefoons noemen het ‘Geselecteerde foto's’) of ‘Elke keer vragen’. Je kunt in WhatsApp nog steeds losse foto's kiezen en versturen — het vraagt het je alleen elke keer, in plaats van de sleutels tot alles te bewaren.
Nu je er toch bent, is het een goede gewoonte om door je andere apps te scrollen en een simpele vraag te stellen: heeft deze app echt mijn hele fotobibliotheek nodig? Voor de meeste apps is het antwoord nee. Fototoegang beperken is een van de meest waardevolle privacy-instellingen op een telefoon, en dit lek is een goede herinnering om het te doen.
De grotere les: vergrendeld is niet hetzelfde als verzegeld
Het is verleidelijk om een vergrendelscherm te zien als een muur om alles op je telefoon. Het lijkt eigenlijk meer op een voordeur: het houdt iemand tegen die zomaar naar binnen zou lopen, maar het was nooit bedoeld als het enige dat tussen een vreemde en je meest persoonlijke bestanden staat. Apps waaraan je brede toegang hebt gegeven, kunnen via een lek als dit een zijraam worden.
Daarom is de veiligste plek voor de handvol foto's, video's en documenten die je nooit door een vreemde gezien wilt hebben helemaal niet de gewone fotobibliotheek. Het is een aparte, versleutelde ruimte — een die door een eigen geheim wordt beschermd en die andere apps simpelweg niet kunnen bereiken, zelfs als ze zich misdragen. Een lek in één app zou niet mogen kunnen blootleggen wat het belangrijkst is.
Waar Sealby past
Sealby repareert WhatsApp niet, en het houdt niemand tegen die je telefoon oppakt. Wat het wel doet, is je gevoeligste foto's, video's, notities en bestanden een eigen thuis geven: versleuteld op je toestel, alleen te openen met je eigen PIN of wachtwoordzin, en buiten de gedeelde fotobibliotheek gehouden die gewone apps kunnen zien. Dus wanneer het volgende ‘vergrendelde telefoon was toch niet zo vergrendeld’-verhaal verschijnt — en er is altijd een volgende — liggen de dingen die je het belangrijkst vindt niet daar waar de fout van één app erbij kan.