Исследователи Венского университета показали, что WhatsApp* и Signal могут раскрывать местоположение пользователя через обычные уведомления о доставке сообщений. Для атаки достаточно знать номер телефона жертвы: злоумышленник отправляет специально сформированные «тихие» сообщения и измеряет задержку между отправкой и подтверждением доставки. По этим значениям можно определить, где находится устройство и как меняется его местоположение, следует из исследования Careless Whisper.
В отличие от уведомлений о прочтении, delivery receipts срабатывают автоматически и не могут быть полностью отключены пользователем. Исследователи смогли отправлять такие запросы с частотой менее секунды и отслеживать активность устройства без уведомлений на стороне жертвы. В предыдущих экспериментах аналогичный timing side-channel позволял определять одну из нескольких точек внутри одного города с точностью более 80%.
WhatsApp* и Signal были уведомлены о проблеме. Meta** выплатила исследователям $7 тыс., однако полностью устранить механизм сложно, поскольку подтверждения доставки являются частью базовой логики мессенджеров. В качестве защиты разработчики применяют rate limiting, который снижает частоту запросов, но лишь замедляет потенциальную атаку.
При этом содержимое переписки остается защищено сквозным шифрованием – утечка происходит через метаданные и временные характеристики сетевого обмена, а не через расшифровку сообщений. Полностью решить проблему исследователи предлагают за счет случайной задержки подтверждений доставки на несколько секунд.
