Les développeurs de WeChat ont introduit des failles de sécurité en modifiant le TLS, selon les chercheurs.

Le géant de la messagerie WeChat utilise un protocole réseau que les développeurs de l’application ont modifié – et en le faisant, ont introduit des vulnérabilités de sécurité, affirment les chercheurs. WeChat utilise MMTLS, un protocole cryptographique largement basé sur TLS 1.3. Les développeurs ont essentiellement ajusté le TLS standard, mais par conséquent, cela a laissé l’application avec une implémentation de chiffrement qui « est en incohérence avec le niveau de cryptographie que vous attendriez dans une application utilisée par un milliard d’utilisateurs, tel que son utilisation d’IV déterministes et l’absence de secret forward. » C’est ce qu’affirme le Citizen Lab de l’Université de Toronto, qui a mené une revue complète de la sécurité du réseau MMTLS. Ils ont identifié MMTLS dans des travaux antérieurs, mais une analyse plus approfondie a révélé qu’il offre deux couches de chiffrement au lieu d’une comme on le pensait initialement. Le contenu en clair est enveloppé dans ce qu’on appelle le « chiffrement de la couche métier » et le texto chiffré résultant est ensuite enveloppé dans le chiffrement MMTLS, dont le texte chiffré serait envoyé sur le réseau WeChat. Les chercheurs ont découvert que la plupart des problèmes de sécurité cryptographique se trouvaient dans le chiffrement de la couche métier basé sur AES-CBC de WeChat, qui était jusqu’à l’introduction de MMTLS en 2016 la seule couche de chiffrement pour les demandes réseau.