Les chercheurs affirment que les développeurs de WeChat ont introduit des failles de sécurité lorsqu’ils ont modifié TLS.

Le géant de la messagerie WeChat utilise un protocole réseau que les développeurs de l’application ont modifié – introduisant ainsi des failles de sécurité, selon des chercheurs. WeChat utilise MMTLS, un protocole cryptographique largement basé sur TLS 1.3. Les développeurs ont essentiellement ajusté le TLS standard, ce qui a laissé l’application avec une implémentation de chiffrement qui « est inconsistante avec le niveau de cryptographie que l’on pourrait attendre d’une application utilisée par un milliard d’utilisateurs, comme son utilisation de vecteurs d’initialisation déterministes et l’absence de secret de communication. » C’est ce qu’a rapporté le Citizen Lab de l’Université de Toronto, qui a mené un examen approfondi de la sécurité réseau de MMTLS. Il avait déjà identifié MMTLS dans des travaux antérieurs, mais une analyse plus approfondie a révélé qu’il proposait deux couches de chiffrement au lieu d’une comme on le pensait initialement. Le contenu en texte clair est enveloppé dans ce qu’on appelle un « chiffrement de la couche business », et le texte chiffré résultant est ensuite enveloppé dans le chiffrement MMTLS, dont le texte chiffré est envoyé sur le réseau WeChat. Les chercheurs ont constaté que la plupart des problèmes de sécurité cryptographique se situaient dans le chiffrement de la couche business basé sur l’AES-CBC de WeChat, qui était, jusqu’à l’introduction de MMTLS en 2016, la seule couche de chiffrement pour les demandes réseau.