WhatsApp Privacy Policy: Verschlüsselung im Transportmedium.

WhatsApp kennt sicherlich jeder Smartphone-Nutzer. Hat über zwei Millionen aktive Nutzer zu jeder Stunde und ist für jede mobile Plattform verfügbar, leider nur nicht für den Desktop. Das lässt sich ja vielleicht ändern, dachte ich mir und schmiss WireShark an:

WA............Android-2.7.431.........~.......Z*.....8..........~._......Xbm9uY2
U9IjE4ODAwNzM1MDU3OS IscW9wPSJhdXRoIixjaGFyc2V0PXV0Zi04LGFsZ29yaXRobT1tZDUtc2Vzc
w==.........cmVhbG09InMud2hhdHNhcHAubmV0IixyZXNwb25zZT0yZTY4M2U0YjlhNTA2ODdhMmN
mODA3NDQ1MTMxODM3Yyxub25jZT0iMTg4MDA3MzUwNTc5IixkaWdlc3QtdXJpP SJ4bXBwL3Mud2hhdH
NhcHAubmV0Iixjbm9uY2U9IjFtOWRzdGM2NzY1ZHQiLHFvcD1hdXRoLHVzZXJuYW1lPSI0OTE2MzYzMT
A2MTMiLG5jPTAwMDAwMDAx.#.......Rj#.13050253130. 1620558113....t8..+......t..a..
Ich....HC..:....{.M....Ua$....HC..2.:..........,..H8...491896312624.C../..../...
404......J......H8.C..2.........s<C..APA91bHEmfHjKPpBwu3MJLCOtK4hFMwe0ZWHdXimFDr1
pxIa18rznmbZ6FLB-7pFMVwX0GJiVPcUWCaAvnwTR0O_LVfEENMr--GtpzSy2FbWtq1IKSOG9_Z0N6Kz
LlIit9JaKaui47VY....t......491521283131..!..HC..3.:....491521283131.....{.L.)..H8
...491721883139.C..3......{.L...16990....t.....4914682512635.."..HC..4.:...
4914682512635.....{.L.+..H8..4915152523662.C..4......{.L...128494....t......t8..
.491896312624.

Sieht ziemlich un­le­ser­lich aus. Die ersten zwei Bytes beginnen wohl das interne XMPP-Protokoll, WhatsApp-Version und dann… äh ja. Dann sind da meine Te­le­fon­num­mer, Name, Ziel-Nummer (+ deren Zweit­num­mer und Ge­burts­da­tum) der Ge­sprächs­part­ne­rin.

• Version: Android-2.7.431
• meine Nummer: 491896312624
• Zielnummer: 4914682512635
• Zweit-Nummer: 4915152523662
• Ge­burts­da­tum: 16990

Wohl­ge­merkt ist das ein Dump, wenn ich die App einfach öffne. Wenn Text kommt, dann ist da etwas weniger (Nachricht: Ich doch nicht xD).

.F..]....4914682512635...C..316008602-1......O..........Ich doch nicht xD.@..]8
...4914682512635.C..316008602-1........O....C..316008602-1...

Ich war etwas erstaunt. WhatsApp ver­schlüs­selt – aber nur das eigene Protokoll, was mit den Nut­zer­da­ten passiert, ist ihnen egal. Ich kann mir keine Erklärung dafür geben. Re­chen­leis­tung geht ja eh schon drauf, indem das Protokoll ver­schlüs­selt wird, warum also nicht gleich noch den Rest ver­schlüs­seln? Hauptsache keiner entwickelt einen Desktop-Clienten außerhalb ihres Ein­fluss­be­rei­ches!11

Im öf­fent­li­chen Hotspot sind die Daten für jedermann lesbar, für ver­schlüs­sel­tes WLAN kann der Beitreber ngrep-en und dass GMS/UMTS nicht mehr sicher ist, weiß man spätestens nach dem Skandal in Dresden. Das Problem ist auch nicht unbekannt, nur hat es noch keiner genug reverse engineered.

PS: alle personenbezogenen Informationen sind anonymisiert.