Что произошло
На этой неделе исследователь безопасности показал простой трюк на телефонах Android. Когда заблокированный телефон получает видеозвонок WhatsApp, звонок можно принять прямо с экрана блокировки. Изнутри этого звонка функцию фотоэффектов и фона WhatsApp можно направить так, чтобы открыть галерею фото телефона — а оттуда видна вся плёнка. Ни в один момент телефон не запрашивает PIN, графический ключ или отпечаток пальца, которые обычно его защищают.
Для обычных людей важно то, чего это не требует: ни пароля, ни специального оборудования, ни навыков взлома. Однако для этого нужно, чтобы кто-то физически держал ваш телефон в руках. Это проблема из разряда «кто-то взял ваш телефон», а не «кто-то на другом конце света».
Насколько стоит волноваться?
Соблюдайте пропорции. Поскольку злоумышленнику нужен ваш телефон в руках, это не та уязвимость, которая позволяет незнакомцам в сети рыться в ваших снимках. Настоящий риск ближе: потерянный или украденный телефон или момент, когда ваше устройство держит человек, которому вы предпочли бы не доверять.
Meta и Google сообщили о проблеме — это обычный путь к её устранению. Но на момент написания исправления, которое её закрывает, нет, поэтому стоит самому сделать минутный шаг ниже, а не ждать.
Как исправить за две минуты
Ничего удалять не нужно. Самое чистое решение — перестать давать WhatsApp доступ ко всей галерее фото, чтобы даже при срабатывании уязвимости показывать было почти нечего.
На Android: откройте Настройки → Приложения → WhatsApp → Разрешения → Фото и видео и смените «Разрешить всё» на «Разрешить ограниченный доступ» (на некоторых телефонах это называется «Выбранные фото») или «Спрашивать каждый раз». Вы по-прежнему можете выбирать и отправлять отдельные фото в WhatsApp — просто он будет спрашивать каждый раз, а не держать ключи от всего.
Пока вы там, полезно пролистать остальные приложения и задать простой вопрос: действительно ли этому приложению нужна вся моя плёнка? Для большинства приложений ответ — нет. Ограничение доступа к фото — одна из самых полезных настроек приватности на телефоне, и эта уязвимость — хороший повод ею воспользоваться.
Урок шире: заблокировано — не значит запечатано
Заманчиво думать об экране блокировки как о стене вокруг всего в телефоне. На самом деле это скорее входная дверь: она не даёт случайно зайти, но никогда не задумывалась как единственное, что стоит между незнакомцем и вашими самыми личными файлами. Приложения, которым вы дали широкий доступ, через уязвимость вроде этой могут стать боковым окном.
Именно поэтому самое безопасное место для тех немногих фото, видео и документов, которые вы не хотели бы показывать незнакомцу, — это вовсе не общая плёнка. Это отдельное, зашифрованное пространство — защищённое собственным секретом, до которого другие приложения просто не могут дотянуться, даже когда ведут себя плохо. Уязвимость в одном приложении не должна раскрывать то, что важнее всего.
Где здесь Sealby
Sealby не чинит WhatsApp и не помешает кому-то взять ваш телефон. Что он делает — даёт вашим самым чувствительным фото, видео, заметкам и файлам собственный дом: зашифрованными на вашем устройстве, открываемыми только вашим собственным PIN или парольной фразой и хранящимися вне общей плёнки, которую видят обычные приложения. Так что когда появится следующая история «заблокированный телефон оказался не так уж заблокирован» — а следующая всегда появляется, — то, что вам дороже всего, не лежит там, куда может дотянуться ошибка одного приложения.