WhatsApp 推出了一项新的安全功能，以进一步帮助防止攻击者在设备上使用恶意软件等载体。此安全功能称为设备验证，无需用户采取任何操作或额外步骤，有助于保护您的帐户。此功能是我们为提高用户安全性以免受日益增长的恶意软件威胁所做的更广泛努力的一部分。 WhatsApp 的首要任务是确保用户可以私密、轻松和安全地进行交流。我们可以使用的最强大的工具之一是端到端加密——，这意味着没有人，甚至WhatsApp 都无法读取用户之间发送的个人消息。这可以保护消息不被拦截，但是，我们越来越多地看到攻击者以通信端点—— 移动设备本身—— 为目标，我们正在增强我们的安全机制以确保用户帐户的安全。
特别是，我们担心恶意软件会像病毒感染计算机一样感染手机。恶意软件用于促进帐户接管(ATO) 攻击，这种攻击会在用户不知情或未经许可的情况下发送消息。
作为我们保护人们在WhatsApp 上的帐户和信息的持续努力的一部分，我们引入了一种名为设备验证—— 的新安全措施—— 来帮助防止ATO 攻击。设备验证会阻止攻击者的连接，同时允许受害者不间断地使用他们的WhatsApp 帐户。
为什么我们需要设备验证？
WhatsApp 使用多个加密密钥来确保应用程序之间的通信是端到端加密的。其中之一是身份验证密钥，它允许WhatsApp 客户端连接到WhatsApp 服务器以重新建立可信连接。此身份验证密钥允许人们在每次打开应用程序时无需输入密码、PIN、短信代码或其他凭据即可使用WhatsApp。
这种机制是安全的，因为身份验证密钥不能被包括WhatsApp 在内的任何第三方拦截。但是，如果设备感染了恶意软件，则身份验证密钥可能会被盗。
我们主要担心的是包含为此目的设计的恶意软件的非官方WhatsApp 客户端的流行。这些非官方应用程序将用户的安全置于危险之中—— 这就是为什么我们鼓励所有使用WhatsApp 的人使用官方WhatsApp 应用程序的原因。
一旦恶意软件安装在用户的设备上，攻击者就可以使用恶意软件捕获身份验证密钥并使用它来冒充受害者向其他潜在受害者发送垃圾邮件、诈骗、网络钓鱼尝试等。
设备验证将帮助WhatsApp 识别这些情况并保护用户的帐户免受干扰。
设备验证的工作原理
WhatsApp 构建了设备身份验证，以受益于人们通常阅读和响应发送到其设备的消息的方式。当有人收到消息时，他们的WhatsApp 客户端会唤醒并从WhatsApp 服务器检索离线消息。窃取身份验证密钥并尝试从用户设备外部发送消息的恶意软件无法模拟此过程。
设备验证引入了三个新参数：
存储在用户设备上的安全令牌。用于识别客户端是否正在连接以从WhatsApp 服务器检索消息的随机数。异步ping 用户设备的身份验证质询。这三个参数有助于防止恶意软件窃取身份验证密钥并从用户设备外部连接到WhatsApp 服务器
安全令牌如何被引导
每次有人检索离线消息时，安全令牌都会更新，以允许未来无缝重新连接尝试。这个过程称为引导
安全令牌。
如何验证新的客户端连接
每次 WhatsApp 客户端连接到 WhatsApp 服务器时，我们都要求客户端向我们发送其设备上的安全令牌。这使我们能够检测到来自试图从用户设备外部连接到 WhatsApp 服务器的恶意软件的可疑连接。
什么是身份验证挑战？
身份验证质询是从 WhatsApp 服务器到用户设备的不可见 ping。我们只在可疑连接上发送这些质询。对挑战有三种可能的回应：
- 成功：客户端响应来自连接设备的质询。
- 失败：客户端响应来自不同设备的质询。这意味着被挑战的连接很可能来自攻击者，连接将被阻止。
- 无响应：客户端不响应挑战。这种情况很少见，表明被挑战的连接是可疑的。我们再次尝试发送质询几次。如果客户端仍然没有响应，连接将被阻塞。
下一步是什么
恶意软件是一个日益威胁到每个人的安全和隐私的问题。设备验证已向 100% 的 Android WhatsApp 用户推出，并且正在向 iOS 用户推出。它使我们能够在不中断他们的服务或增加他们需要采取的额外步骤的情况下提高用户的安全性。设备验证将作为一个重要的附加工具供 WhatsApp 使用，以应对罕见的密钥盗窃安全挑战。我们将继续评估新的安全功能以保护我们用户的隐私。
作者:Attaullah Baig，Archis Apte
出处:https://engineering.fb.com/2023/04/13/security/whatsapp-device-verification-protects-your-account/