Dijelaskan: Apakah perisian pengintip Israel Pegasus, yang menjalankan pengawasan melalui WhatsApp?
Apakah perisian hasad buatan Israel yang dikatakan WhatsApp digunakan untuk mengintip wartawan dan aktivis di seluruh dunia pada musim panas ini, termasuk di India? Adakah anda secara peribadi berisiko, dan patutkah anda berhenti menggunakan WhatsApp?
WhatsApp, yang dimiliki oleh Facebook, ialah aplikasi pemesejan paling popular di dunia, dengan lebih daripada 1.5 bilion pengguna di seluruh dunia. Kira-kira satu perempat daripada pengguna tersebut — lebih 400 juta, atau 40 crore — berada di India, pasaran terbesar WhatsApp. Pada Khamis, The Indian Express melaporkan bahawa platform pemesejan popular WhatsApp digunakan untuk mengintip wartawan dan aktivis hak asasi manusia di India awal tahun ini. Pengawasan itu dilakukan menggunakan alat perisian pengintip yang dipanggil Pegasus , yang telah dibangunkan oleh firma Israel, Kumpulan NSO.
WhatsApp menyaman Kumpulan NSO di mahkamah persekutuan di San Francisco pada hari Selasa, menuduhnya menggunakan pelayan WhatsApp di Amerika Syarikat dan tempat lain untuk menghantar perisian hasad kepada kira-kira 1,400 telefon mudah alih dan peranti ('Peranti Sasaran')… untuk tujuan menjalankan pengawasan pengguna WhatsApp tertentu ( 'Sasaran Pengguna').
Pengawasan telah dijalankan antara dalam dan sekitar April 2019 dan Mei 2019 pada pengguna di 20 negara merentasi empat benua, kata WhatsApp dalam aduannya.
Dalam Op-ed di The Washington Post, ketua WhatsApp, Will Cathcart, menulis bahawa pengawasan menyasarkan sekurang-kurangnya 100 pembela hak asasi manusia, wartawan dan ahli masyarakat sivil yang lain di seluruh dunia. Beliau menggariskan bahawa alat yang membolehkan pengawasan ke dalam kehidupan peribadi kita disalahgunakan, dan percambahan teknologi ini ke tangan syarikat dan kerajaan yang tidak bertanggungjawab meletakkan kita semua dalam risiko.
WhatsApp, yang dimiliki oleh Facebook, ialah aplikasi pemesejan paling popular di dunia, dengan lebih daripada 1.5 bilion pengguna di seluruh dunia. Kira-kira satu perempat daripada pengguna tersebut — lebih 400 juta, atau 40 crore — berada di India, pasaran terbesar WhatsApp.
Kumpulan NSO ialah syarikat keselamatan siber yang berpangkalan di Tel Aviv yang pakar dalam teknologi pengawasan dan mendakwa untuk membantu kerajaan dan agensi penguatkuasaan undang-undang di seluruh dunia memerangi jenayah dan keganasan.
Jadi apa sebenarnya Pegasus?
Semua perisian pengintip melakukan apa yang dicadangkan oleh namanya — mereka mengintip orang melalui telefon mereka. Pegasus berfungsi dengan menghantar pautan eksploitasi, dan jika pengguna sasaran mengklik pada pautan, perisian hasad atau kod yang membenarkan pengawasan dipasang pada telefon pengguna. (Versi perisian hasad yang mungkin lebih baharu tidak memerlukan pengguna sasaran untuk mengklik pautan. Lebih lanjut mengenai perkara ini di bawah.) Setelah Pegasus dipasang, penyerang mempunyai akses lengkap ke telefon pengguna sasaran.
Laporan pertama mengenai operasi perisian pengintip Pegasus muncul pada 2016, apabila Ahmed Mansoor, seorang aktivis hak asasi manusia di UAE, disasarkan dengan pautan SMS pada iPhone 6nya. Alat Pegasus pada masa itu mengeksploitasi celah perisian dalam iOS Apple untuk mengambil alih peranti itu. Apple bertindak balas dengan menolak kemas kini untuk menambal atau membetulkan isu tersebut.
Pada September 2018, The Citizen Lab, makmal antara disiplin yang berpangkalan di Munk School of Global Affairs & Policy Public, University of Toronto, menunjukkan bahawa Pegasus menyampaikan rangkaian eksploitasi sifar hari untuk menembusi ciri keselamatan pada telefon dan memasang Pegasus tanpa pengetahuan atau kebenaran pengguna. Operasi perisian pengintip Pegasus telah dijalankan secara langsung di 45 negara pada masa itu, kajian The Citizen Lab menunjukkan.
(Eksploitasi sifar hari ialah kelemahan yang tidak diketahui sama sekali, yang walaupun pengeluar perisian tidak sedar, dan oleh itu, tiada tampalan atau pembaikan tersedia untuknya. Dalam kes khusus Apple dan WhatsApp, oleh itu, kedua-dua syarikat tidak menyedari kelemahan keselamatan, yang digunakan untuk mengeksploitasi perisian dan mengambil alih peranti.)
Pada Disember 2018, aktivis Saudi yang berpangkalan di Montreal, Omar Abdulaziz telah mengemukakan kes terhadap Kumpulan NSO di mahkamah di Tel Aviv, mendakwa telefonnya telah disusupi menggunakan Pegasus, dan perbualan yang dia lakukan dengan rakan karibnya, wartawan penentang Saudi yang dibunuh. Jamal Khashoggi, mengintai. Khashoggi telah disembelih oleh ejen Saudi di konsulat kerajaan di Istanbul pada 2 Oktober 2018; Abdulaziz berkata dia percaya telefonnya digodam pada Ogos tahun itu.
Pada Mei 2019, Financial Times melaporkan bahawa Pegasus digunakan untuk mengeksploitasi WhatsApp dan mengintip sasaran yang berpotensi. WhatsApp mengeluarkan kemas kini perisian segera untuk membetulkan pepijat keselamatan yang membenarkan perisian pengintip mengeksploitasi aplikasi.
Kaedah Pegasus
Untuk memantau sasaran, pengendali Pegasus mesti meyakinkan sasaran untuk mengklik pada 'exploit link' yang dibuat khas yang membolehkan pengendali menembusi ciri keselamatan pada telefon dan memasang Pegasus tanpa pengetahuan atau kebenaran pengguna. Setelah telefon dieksploitasi dan Pegasus dipasang, ia mula menghubungi arahan operator dan pelayan kawalan untuk menerima dan melaksanakan arahan pengendali, dan menghantar semula data peribadi sasaran, termasuk kata laluan, senarai kenalan, acara kalendar, mesej teks dan panggilan suara langsung daripada apl pemesejan mudah alih yang popular. Pengendali juga boleh menghidupkan kamera dan mikrofon telefon untuk menangkap aktiviti di sekitar telefon. Dalam kerentanan terkini, subjek tuntutan mahkamah, mengklik 'pautan eksploitasi' juga mungkin tidak diperlukan dan panggilan video yang tidak dijawab di WhatsApp akan membolehkan membuka telefon, tanpa respons daripada sasaran sama sekali.
Setelah dipasang, apakah yang boleh dilakukan oleh Pegasus?
Siaran Citizen Lab berkata Pegasus boleh menghantar semula data peribadi sasaran, termasuk kata laluan, senarai kenalan, acara kalendar, mesej teks dan panggilan suara langsung daripada aplikasi pemesejan mudah alih yang popular. Kamera dan mikrofon telefon sasaran boleh dihidupkan untuk menangkap semua aktiviti di sekitar telefon, meluaskan skop pengawasan. Menurut dakwaan dalam risalah Pegasus bahawa WhatsApp telah diserahkan ke mahkamah sebagai pameran teknikal, perisian hasad itu juga boleh mengakses e-mel, SMS, penjejakan lokasi, butiran rangkaian, tetapan peranti dan data sejarah penyemakan imbas. Semua ini berlaku tanpa pengetahuan pengguna sasaran.
Ciri utama Pegasus yang lain, menurut risalah adalah: keupayaan untuk mengakses peranti yang dilindungi kata laluan, menjadi benar-benar telus kepada sasaran, tidak meninggalkan kesan pada peranti, menggunakan bateri, memori dan data yang minimum supaya tidak menimbulkan syak wasangka dengan lebih waspada pengguna, mekanisme pemusnahan diri sekiranya berlaku risiko pendedahan, dan keupayaan untuk mendapatkan semula mana-mana fail untuk analisis yang lebih mendalam.
Risalah itu, yang dipanggil Pegasus: Penerangan Produk, mengatakan Pegasus boleh berfungsi pada peranti berasaskan BlackBerry , Android , iOS (iPhone) dan Symbian. Sebutan OS mudah alih Symbian yang kini dihentikan dan BlackBerry yang tidak lagi popular menunjukkan dokumen itu sudah lama — dan Pegasus sudah tentu telah dinaik taraf selama ini.
Dan bagaimanakah Pegasus mengeksploitasi WhatsApp?
Itulah persoalan besar bagi ramai, memandangkan WhatsApp sentiasa menyelesaikan penyulitan hujung ke hujungnya. Laporan Financial Times pada Mei tahun ini mengatakan bahawa panggilan tidak dijawab pada apl itu sahaja yang diperlukan untuk memasang perisian pada peranti — tiada klik pada pautan yang mengelirukan diperlukan. WhatsApp kemudian menjelaskan bahawa Pegasus telah mengeksploitasi fungsi panggilan video/suara pada aplikasi, yang mempunyai kecacatan keselamatan sifar hari. Tidak kira jika sasaran tidak menerima panggilan — kelemahan membenarkan perisian hasad untuk dipasang juga.
Eksploitasi itu memberi kesan kepada WhatsApp untuk Android sebelum v2.19.134, WhatsApp Business untuk Android sebelum v2.19.44, WhatsApp untuk iOS sebelum v2.19.51, WhatsApp Business untuk iOS sebelum v2.19.51, WhatsApp untuk Windows Phone sebelum v2.18.348 , dan WhatsApp untuk Tizen (yang digunakan oleh peranti Samsung) sebelum v2.18.15.
Kartun Ekspres oleh E P Unny. Bolehkah Pegasus digunakan untuk menyasarkan sesiapa sahaja?
Secara teknikal, ya. Tetapi sementara alat seperti Pegasus boleh digunakan untuk pengawasan besar-besaran; nampaknya hanya individu terpilih akan disasarkan. Dalam kes ini, WhatsApp telah mendakwa bahawa ia menghantar mesej khas kepada kira-kira 1,400 pengguna yang dipercayai terjejas oleh serangan itu, untuk memberitahu mereka secara langsung tentang apa yang telah berlaku.
WhatsApp tidak menyatakan berapa ramai orang yang dihubungi di India. laman web ini melaporkan pada hari Khamis bahawa sekurang-kurangnya dua dozen ahli akademik, peguam, aktivis Dalit, dan wartawan telah dimaklumkan oleh syarikat di India.
Tidak diketahui siapa yang melakukan pengawasan terhadap sasaran India. Kumpulan NSO, sambil mempertikaikan dakwaan WhatsApp dengan sekeras-kerasnya, berkata ia menyediakan alat itu secara eksklusif kepada agensi perisikan dan penguatkuasaan undang-undang kerajaan berlesen, dan bukan hanya kepada sesiapa yang menginginkannya.
Adakah penyulitan hujung ke hujung WhatsApp kini terjejas? Sekiranya anda beralih ke aplikasi lain — mungkin Signal atau Wire atau Telegram?
Populariti apl pemesejan menjadikannya sasaran penggodam, penjenayah siber atau entiti lain. Malah agensi penguatkuasaan undang-undang di seluruh dunia mahu mesej dinyahsulit — permintaan yang WhatsApp sedang berjuang, termasuk di India.
WhatsApp menggunakan protokol aplikasi Signal untuk penyulitan hujung ke hujungnya, yang kelihatan selamat setakat ini. WhatsApp mempunyai kelebihan berbanding Telegram: dalam Telegram, hanya sembang rahsia disulitkan dari hujung ke hujung, manakala di WhatsApp semuanya disulitkan hujung ke hujung secara lalai.
Mereka yang bingung dengan episod WhatsApp mungkin mahu bertukar kepada Signal atau Wire. Walau bagaimanapun, adalah penting untuk mengetahui bahawa eksploitasi 'sifar hari' yang tidak diketahui boleh wujud untuk hampir setiap perisian dan aplikasi di dunia — dan ia mungkin dieksploitasi pada satu ketika pada masa hadapan oleh individu atau agensi yang bertekad untuk berbuat demikian.
Kongsi Dengan Rakan Anda:
