Podstawy Bezpieczeństwa: WhatsApp – jak zadbać o bezpieczeństwo i prywatność

Pora na trzecią już aplikację firmy Meta (dawniej Facebook) i tym razem będzie to komunikator WhatsApp. Jak bardzo możemy mu ufać, jeśli chodzi o nasze prywatne wiadomości, które wysyłamy do znajomych? Dowiecie się z tego artykułu.

Ze wszystkich aplikacji, jakie były do tej pory omawiane, WhatsApp najbardziej przypomina o pierwotnym zastosowaniu telefonów, czyli komunikacji z innymi. Pozwala nam na dzwonienie i pisanie ze znajomymi przy użyciu połączenia internetowego zamiast telefonii komórkowej. Korzystanie z internetu jest zresztą bezpieczniejsze niż tradycyjne metody, ponieważ umożliwia zaszyfrowanie przesyłanych danych. Tymczasem klasycznie wysyłane wiadomości SMS przekazywane są w postaci zwykłego tekstu i mogą zostać przechwycone. Oczywiście WhatsApp nie jest najbezpieczniejszą aplikacją oferującą komunikację przy użyciu sieci. Z niedawno ujawnionego raportu FBI wynika, że służby mogły mieć ograniczony dostęp do treści naszych wiadomości (w oparciu o kopie bezpieczeństwa przechowywane na serwerach Apple przez użytkowników iPhone’ów, jednak sposób przechowywania backupów został niedawno poprawiony), a także innych informacji o naszym koncie i kontaktach. Mimo to przeniesienie się na inny komunikator może być niemożliwe, jeśli większość naszych znajomych woli pozostać na WhatsAppie. A skoro jesteśmy zmuszeni do korzystania z tej aplikacji, przyda się spojrzeć, jak wygląda sytuacja z naszymi danymi.

Jakie dane zbiera o nas aplikacja?

Już na samym początku, przy pierwszym włączeniu aplikacji jesteśmy proszeni o podanie naszego numeru telefonu, który będzie wykorzystywany jako identyfikator służący do określenia, że my to my. Następnie musimy wybrać pseudonim, którym będziemy posługiwać się w aplikacji. Żeby móc poprawnie korzystać z komunikatora, musimy mu zezwolić na dostęp do naszych kontaktów – będzie on wtedy w stanie połączyć nas z osobami, które znamy i które są już na WhatsAppie. Twórcy aplikacji obiecują, że będą zarządzać danymi pozostałych kontaktów tak, by nie móc tych osób zidentyfikować.

Opcjonalne jest natomiast zdjęcie profilowe czy dodatkowy opis „o mnie”, które nasze kontakty mogą obejrzeć – warto tutaj zaznaczyć, że informacje te nie są szyfrowane. W odróżnieniu od naszego statusu, udostępnianej lokalizacji, jak i naszych wiadomości, które są w pełni szyfrowane metodą end-to-end, nie ma przy tym znaczenia, czy rozmawiamy z naszym kontaktem, grupą czy firmą, która posługuje się wersją WhatsApp Bussiness (w tym ostatnim przypadku warto mieć na uwadze, że choć wiadomości trafiają do odbiorców w postaci zaszyfrowanej, to mogą oni je przechowywać na swój sposób, warto więc zajrzeć do firmowej polityki prywatności). Szyfrowanie polega na tym, że tylko ty i osoba, do której wysyłasz daną treść, przechowujecie ją na swoich urządzeniach i tylko wy jesteście w stanie ją odszyfrować. WhatsApp jedynie pośredniczy w przekazaniu zaszyfrowanego komunikatu. Jeśli wiadomość nie zostanie dostarczona do odbiorcy, to pozostaje zaszyfrowana na serwerach przez okres 30 dni, skąd aplikacja będzie próbować dalej ją wysłać. Jeśli to się nie uda, po wskazanym czasie wiadomość zostanie usunięta. Inaczej mają się sprawy z przesyłanymi multimediami, które standardowo pozostają na serwerach (w formie zaszyfrowanej) przez okres 30 dni – jak twierdzi WhatsApp, żeby zapewnić lepszą wydajność, np. gdybyśmy chcieli przesłać je do jeszcze innej osoby. Więcej o technicznych aspektach szyfrowania możemy dowiedzieć się z dokumentu, jaki udostępniają twórcy aplikacji.

Aby pobrać nasze dane, najpierw musimy się udać do ustawień poprzez kliknięcie trzykropka w prawym, górnym rogu aplikacji. Następnie wybieramy „Konto”, gdzie w przedostatniej zakładce znajdziemy funkcję o chwytliwej nazwie „Poproś o informacje o koncie”. Kliknijmy w nią i wyślijmy prośbę. Raport będzie przygotowywany trzy dni i nie będzie zawierał naszych wiadomości, te musimy wyeksportować oddzielnie. Plik zostanie spakowany w formacie ZIP i będzie zawierał zarówno HTML, jak i JSON. Po pobraniu musimy go wyeksportować do innej aplikacji, np. na e-mail. Pamiętajmy, by później ten plik usunąć z telefonu. Ważna uwaga, jeśli dokonamy zmiany numeru telefonu bądź usuniemy konto, to tworzenie raportu zostanie przerwane.

W zakładce „Konto”, wybierając odpowiednią opcję, możemy też usunąć nasze konto. Aplikacja wymaga tylko potwierdzenia naszego numeru telefonu, po czym zaczyna proces usuwania, który będzie trwać do 90 dni (ale i po upływie tego czasu nasze dane mogą pozostać na serwerze, zapisane w jednej z kopii zapasowych). Samo odinstalowanie aplikacji nie jest równoznaczne z usunięciem konta. Zostanie ono wprawdzie usunięte, ale potrwa to dłużej – około 120 dni przy braku jakiejkolwiek aktywności. Oczywiście, usunięcie konta nie spowoduje wykasowania kopii wiadomości przesłanych do innych osób czy grup.

W porządku, teraz wyeksportujemy to, co wydaje się mieć większą wagę niż same informacje o koncie, czyli nasze czaty. Wejdźmy w czat, który nas interesuje, następnie w prawym górnym rogu kliknijmy trzykropek. W kolejnym kroku wybierzmy „Więcej”, gdzie znajdziemy opcję „Eksportuj czat”. Wyświetli nam się kilka możliwości, możemy np. wysłać naszą konwersację przez WhatsAppa do wybranego kontaktu, ale możemy także przekazać ją za pośrednictwem e-maila. Obojętnie, gdzie ją wyślemy, otrzymamy ją w formacie TXT. Jeśli czat zawiera multimedia, możemy wybrać, by wraz z tym plikiem wysłać je w postaci załączników.

Co możemy zmienić?

Jeśli chodzi o nasze wiadomości, to słusznie są one zawsze szyfrowane i nie da się tego wyłączyć – co oznacza, że obojętnie, czy zaglądamy do opcji, czy nie, mamy zapewnioną poufność konwersacji. Mimo wszystko dalej jest kilka opcji, które możemy włączyć lub wyłączyć, by zwiększyć swój poziom bezpieczeństwa. W tym celu – tak jak przy pobieraniu danych – musimy wejść w trzykropek w prawym górnym rogu i wybrać ostatnią pozycję na liście, czyli „Ustawienia”. Znajdziemy tam kilka zakładek, na razie odwiedźmy „Konto” i wybierzmy „Prywatność”. Możemy tutaj ustawić, kto może widzieć informacje o tym, kiedy ostatnio używaliśmy aplikacji (ta opcja jest zapisana pod nazwą „Widziano”). Ustawienie opcji „dla nikogo” oznacza, że my także nie będziemy mogli widzieć aktywności innych osób. Oprócz tego możemy zmienić widoczność naszego zdjęcia profilowego, opisu „O mnie” czy też statusu. W przypadku tego ostatniego zmiana nie będzie miała wpływu na aktualizacje, które już zostały wysłane. Dalej możemy wyłączyć potwierdzenie odczytu. Jest to znacznik pokazujący, czy wiadomość została już odczytana przez daną osobę. Tak samo jak w przypadku „Widziano”, wyłączając potwierdzenia odczytu, spowodujemy, że nie tylko inni nie zobaczą tej informacji o nas, ale i my nie będziemy widzieć jej u innych. Warto podkreślić, że wyłączenie tej opcji nie ma wpływu na czaty grupowe – tam zawsze jest widoczne, czy widzieliśmy daną wiadomość. Poza tym możemy też ustawić, kto może nas dodawać do czatu grupowego.

Znajdziemy tu także jedną z ciekawszych opcji, która ma znaczący wpływ na naszą prywatność, czyli znikające wiadomości. Możemy ustawić, po jakim czasie w nowo utworzonych czatach (nie ma to wpływu na stare czaty) wiadomości będą usuwane z urządzeń wszystkich osób uczestniczących w danej rozmowie. Do czego to może służyć? Otóż jest to całkiem proste: jeśli wiadomości będą usuwane, nikt nie będzie mógł się do nich dostać ani ich przeczytać, gdy już nie będzie ich na telefonie. Możemy ustawić ten okres na 24 godziny, 7 dni albo 90 dni.

Oprócz tego warto odwiedzić zakładkę „Transmisja lokalizacji”. Jeśli zezwoliliśmy aplikacji na dostęp do informacji o naszej lokalizacji i na którymś z naszych czatów włączyliśmy transmisję lokalizacji, to będzie to tu widoczne. Jest to opcja, która umożliwia pokazanie na mapie, gdzie w tej chwili się znajdujemy. Możemy kliknąć w konkretną transmisję – przeniesie nas to do czatu, na którym się ona odbywa. Możemy też od razu zakończyć wszelkie transmisje jednym przyciskiem.

Jeśli mamy iPhone’a lub Androida obsługującego czytniki biometryczne, możemy w ustawieniach znaleźć dodatkową opcję blokady. W przypadku iPhone’a będzie to FaceID lub TouchID. W przypadku Androida możemy zablokować aplikację odciskiem palca. Włączenie tej funkcji spowoduje, że do otwierania WhatsAppa będziemy musieli od tej pory wykorzystywać dodatkowe uwierzytelnienie biometryczne, chociaż przy zablokowanej aplikacji dalej będziemy mogli odbierać nadchodzące połączenia.

Na samym końcu możemy zobaczyć wszystkie blokowane przez nas konta. Mamy też możliwość zablokowania nowego konta ze swoich kontaktów poprzez wybranie w prawym górnym rogu ikonki ludzika z plusem. Zablokowane konta nie będą mogły do nas dzwonić, wysyłać nam wiadomości czy widzieć naszego statusu albo kiedy ostatnio byliśmy aktywni (jeśli w ogóle mamy włączoną taką opcję), a nawet czy używamy WhatsAppa w tej chwili.

Wracając do zakładki „Konto”, możemy wybrać „Zabezpieczenia”, gdzie znajdziemy informację o pełnym szyfrowaniu naszych wiadomości i możemy zdecydować o jednej opcji, jaką jest „Pokaż powiadomienia zabezpieczeń”. Jej włączenie będzie nas informować o każdorazowej zmianie klucza naszego rozmówcy, za pomocą którego szyfrowane są wiadomości na czacie.

Oprócz tego możemy wybrać weryfikację dwuetapową polegającą na podaniu PIN-u przy ponownej rejestracji numeru telefonu w WhatsAppie. Samą weryfikację dwuetapową omawialiśmy szerzej w innym artykule na z3s. Istnieje także możliwość zmiany naszego numeru telefonu. Będzie to wymagało wpisania obu numerów (starego i nowego) oraz potwierdzenia tego nowego. Będziemy też mogli wybrać, kogo chcemy powiadomić o tej zmianie.

Wracając do zakładki „Ustawienia”, przejdźmy teraz do sekcji „Czaty”. Oprócz możliwości wprowadzenia zmian natury estetycznej, znajdziemy tam m.in. opcję „Multimedia w galerii”. Jej wyłączenie spowoduje, że WhatsApp przestanie zapisywać zdjęcia w galerii na naszym telefonie. Z tego poziomu możemy ponadto zarządzać naszą kopią zapasową. Na przekór temu, co można by pomyśleć, do niedawna najbezpieczniej było wyłączyć robienie kopii zapasowych w chmurze, ponieważ nie były one w pełni szyfrowane (i jeśli ktoś by się do nich dobrał, to bez problemów mógłby odczytać nasze wiadomości). Dopiero w połowie października 2021 r. twórcy komunikatora udostępnili długo planowaną możliwość backupu z użyciem szyfrowania end-to-end. Z uwagi na potężną bazę ponad 2 mld użytkowników WhatsAppa stosowne uaktualnienie jest wysyłane partiami. Jeśli jeszcze go nie otrzymaliśmy (zob. zrzut ekranu poniżej), to powinniśmy zrezygnować z robienia kopii zapasowych w chmurze.

Poza tym mamy tu jeszcze zakładkę „Historia czatów”, skąd możemy wyeksportować wybrany czat. Istnieje też możliwość zarchiwizowania wszystkich czatów, co wyciszy je i przeniesie do innego folderu. Inną opcją jest ich wyczyszczenie, co skutkuje usunięciem wszystkich wiadomości. Przy okazji możemy usunąć wszystkie przesłane za pośrednictwem tych czatów multimedia oraz wiadomości, które wcześniej oznaczyliśmy gwiazdką. Jest też odrębna opcja usunięcia wszystkich czatów, która powoduje skasowanie wiadomości, ale jeśli chcemy, możemy odznaczyć usuwanie multimediów.

Wróćmy teraz znów do ustawień, bo mamy tam jeszcze jedną interesującą nas zakładkę, czyli „Powiadomienia”. Możemy wyłączyć pokazywanie ich na ekranie blokady telefonu – no bo jaki jest sens w posiadaniu dobrze zabezpieczonej aplikacji, jeśli na zablokowanym ekranie będą nam się wyświetlać wszelkie prywatne wiadomości? Powinniśmy je wyłączyć zarówno w sekcji „Wiadomości”, jak i w znajdującej się niżej sekcji „Grupy”. Możemy też wyłączyć powiadomienia o wysokim priorytecie, ponieważ ich podglądy będą się pokazywać u góry ekranu. Żeby całkowicie wyłączyć powiadomienia, musimy wejść w informacje o aplikacji WhatsApp na naszym telefonie, kliknąć w pozycję „Powiadomienia” i odznaczyć wyświetlanie powiadomień związanych z czatami. Nie wpłynie to na odbieranie połączeń w aplikacji.

Żeby zmienić ustawienia dla konkretnej grupy lub kontaktu, musimy się cofnąć do głównego ekranu aplikacji i tam przytrzymać wybrany czat. W przypadku kontaktu powinna się nam wyświetlić możliwość przypięcia go lub odpięcia, usunięcia, wyciszenia, a po kliknięciu w trzykropek uzyskamy dostęp do dodatkowych opcji. Będziemy mogli zarchiwizować lub wyświetlić kontakt. Jeśli wybierzemy to ostatnie, znajdziemy też multimedia, jakie wymieniliśmy z wybraną osobą oraz konfigurację opcji związanych z tym konkretnym czatem – możemy je zmienić, jeśli mają być inne niż domyślne, a w przypadku znikających wiadomości, jeśli czat został utworzony przed włączeniem tej funkcji, możemy ją aktywować dla starszych treści. Ciekawą opcją jest także możliwość zweryfikowania szyfrowania – żeby tego dokonać, musimy spotkać się najpierw z drugą osobą i zeskanować fizycznie jej kod. W ten sposób możemy się upewnić, że wszystko działa poprawnie. Na samym końcu możemy też zablokować lub zgłosić kontakt. Warto mieć na uwadze, że po zgłoszeniu kontaktu 5 ostatnich wiadomości, jakie ta osoba do nas wysłała, zostanie przekazanych do obsługi WhatsAppa.

Jeśli chodzi o grupy, to – zamiast usuwania – mamy możliwość ich opuszczania. Tak samo jak w przypadku wiadomości, możemy edytować poszczególne ustawienia i jeśli jesteśmy administratorami (lub jeśli grupa zezwala na to zwykłym użytkownikom), możemy edytować tytuł, opis czy zdjęcie grupy. Zmiana ustawienia znikających wiadomości dostępna jest tylko dla administratorów i działa tak samo jak w przypadku zwykłych kontaktów. W ustawieniach grupy możemy ponadto określić, czy każdy może zmieniać informacje o grupie i kto może w niej wysyłać wiadomości. Możemy też dodać lub usunąć administratora.

Nasze wiadomości

Poza zmianą w samych ustawieniach możemy też zadbać o nasze bezpieczeństwo przy wysyłaniu wiadomości. Możemy m.in. swobodnie usuwać z czatu pojedyncze treści – te, które sami napisaliśmy, możemy usuwać ze wszystkich czatów, cudze tylko z naszej kopii. Po usunięciu pojawi się znacznik usuniętej wiadomości, który można dodatkowo usunąć z naszej kopii, jeśli nam przeszkadza.

Do tego mamy możliwość dzielenia się z innymi multimediami. Ciekawą opcją jest wysyłanie filmów i zdjęć w taki sposób, by po jednokrotnym wyświetleniu były one usuwane. W tym celu musimy wejść do aparatu lub wybrać zdjęcie z galerii i kliknąć w jedynkę („1”) znajdującą się obok podpisu. Sami nie będziemy mogli wyświetlić naszego zdjęcia w aplikacji, ale druga osoba już będzie mogła. WhatsApp nie chroni przed robieniem zrzutów ekranu oraz nie informuje, kiedy i czy ktoś je wykonał. Druga osoba może też zgłosić otrzymane zdjęcie. Jeśli jednak obejrzy ona plik i go zamknie, to zostanie on zamieniony na „Otwarto wiadomość” i już nie będzie możliwości ponownego otwarcia czy zgłoszenia wiadomości.

Oprócz tego możemy przekazywać innym wiadomości, wykorzystując znaczek strzałki obok multimediów albo po przytrzymaniu wiadomości i wybraniu strzałki w prawo z menu. WhatsApp nie zbiera informacji o tym, jak wiadomość jest przekazywana, ale wyposaża ją w licznik, który pozwala na zmianę etykiety po pięciokrotnym jej przekazaniu z „Przekazana” na „Wielokrotnie przekazana”. W takim przypadku redukowana jest możliwość przekazywania wiadomości w kilku czatach naraz – jak mówi WhatsApp – w celu zapobiegania dezinformacji. WhatsApp zapewnia, że nie rejestruje, ile konkretnie razy wiadomość została przekazana, dodając, że z uwagi na szyfrowanie nie ma też dostępu do jej treści.

WhatsApp na komputerze

Oryginalnie aplikacja WhatsApp jest dostępna tylko na komórkach, ale kiedy mamy ją już na komórce, możemy połączyć nasze urządzenie z komputerem. Wystarczy, że włączymy stronę WhatsAppa i wybierzemy WhatsApp Web z menu. Ukaże się nam strona z kodem QR.

W aplikacji na telefonie wybieramy wtedy w prawym górnym rogu trzykropek, a następnie „Połączone urządzenia”, po czym wciskamy „Połącz nowe urządzenie” i skanujemy kod na ekranie komputera. Urządzenia powinny się połączyć i na ekranie komputera ukaże się WhatsApp. Natomiast na komórce pojawi się ikona przeglądarki, z której korzystamy i będziemy mogli jednym kliknięciem wylogować się z urządzenia.

Jeśli chodzi o aplikację na komputerze, to oczywiście nie jest ona pełna. Z tego względu zmiana ustawień powinna się odbywać głównie na telefonie. To, co na komputerze możemy zmienić, to głównie jej estetykę i ustawienia powiadomień. Jeśli chodzi o czaty, to mamy możliwość ich usuwania. Możemy także opuszczać grupy i dowolnie zmieniać ich ustawienia (tytuł, zdjęcie, opis czy znikające wiadomości, o ile oczywiście jesteśmy ich administratorami). Wysyłanie wiadomości też działa praktycznie tak samo, brakuje jedynie wysyłania lokalizacji, ale tę informację możemy przecież po prostu napisać.

Warto też pamiętać, że używanie WhatsAppa (i innych komunikatorów) na komputerze zostawia więcej śladów dostępnych dla metod informatyki śledczej – używając w ten sposób WhatsAppa, lepiej nie prowadzić za jego pomocą poufnych konwersacji.

Na koniec

Czy po wdrożeniu wszystkich opisanych w tym artykule porad powinniśmy być już względnie bezpieczni podczas korzystania z WhatsAppa? Wszak omówiliśmy zbierane dane i w jaki sposób WhatsApp szyfruje nasze wiadomości oraz jak możemy jeszcze bezpieczniej je wysyłać, a także co możemy w związku z tym zmienić w ustawieniach. Jeśli więc chodzi o samą aplikację, to być może i jesteśmy w miarę bezpieczni, problem może stanowić co innego. Otóż zabezpieczenie komunikatora może okazać się bezużyteczne, jeśli nasza komórka sama w sobie nie jest odpowiednio zabezpieczona. O tym, jak lepiej zabezpieczyć Androida, można przeczytać więcej w cyklu Podstawy Bezpieczeństwa na z3s. Powinniśmy także pamiętać, by zostawiając telefon bez nadzoru, zawsze blokować jego ekran.

Dla zachowania pełnej przejrzystości: Patronem cyklu jest Aruba Cloud. Za opracowanie i opublikowanie tego artykułu pobieramy wynagrodzenie.