WhatsAppは、WhatsAppアカウントを持たないユーザーでも、ブラウザ経由のリンクを通じてエンドツーエンド暗号化された通話に参加できるゲスト通話機能を開発しています。
この機能はWABetaInfoが最初に報じたもので、現在も開発段階にあり、ベータテスターや一般ユーザーにはまだ提供されていません。
この計画中の機能は、既存の通話リンク機能を登録ユーザー以外にも拡張するものです。現在の通話リンクは、アプリをインストールし、有効なアカウントを持つWhatsAppユーザー向けに設計されています。
提案されているゲスト通話モデルでは、ホストが通話タブから通話リンクを作成し、希望する通話タイプを選択した上で、生成されたURLを外部の受信者と共有できるようになります。
WhatsAppを使用していない受信者は、モバイルアプリのダウンロードやアカウント登録をすることなく、ウェブブラウザでリンクを開き、WhatsApp Webベースの通話インターフェースに入ることができます。
この方式は、アカウントを持たないユーザーが暗号化されたブラウザベースのテキスト会話に参加できる、以前報じられたゲストチャット機能と同様の考え方に基づいています。
WhatsAppはゲスト通話を保護するために、ゲストチャットの実装と同じ暗号基盤を使用するとみられています。認証されていない参加者が通話リンクを開くと、WhatsApp Webはそのブラウザセッション用に固有の識別子を生成すると報じられています。
プラットフォームはその識別子を使って、通話用の暗号化素材を導出または確立します。この仕組みにより、片方の参加者が永続的なWhatsAppアイデンティティやインストール済みアプリを持っていなくても、通話はエンドツーエンド暗号化されたまま維持されます。
実際には、音声・映像などのリアルタイムメディアを含む通話内容は参加者間で暗号化され、WhatsApp自身が会話の内容にアクセスできないようになっています。
このブラウザセッションは、事実上ゲスト参加者にとって一時的な暗号コンテキストとして機能します。これが重要な理由は、従来のメッセージングプラットフォームの多くが、アカウントに紐づいた鍵や、認証済みのアイデンティティ、アプリインストール時に発行される認証情報に依存しているためです。
これに対しWhatsAppが提案するモデルでは、外部の発信者に対して短命でブラウザを介した暗号化セッションを提供する仕組みになっています。ゲストとして通話に参加するには、通話ホストによる手動承認が必要になるとされています。
WABetaInfoによると、通常の通話設定であれば共有された通話リンクに自動的に参加できるアカウント保有者とは異なり、アカウントを持たない参加者は自動的には参加できないとのことです。
この必須承認フローは、リンクベースのアクセスが抱える重大なセキュリティ上の課題に対応するものです。すなわち、WhatsAppはゲスト通話用URLを開いた人物の実世界での身元を独自に検証することができません。
リンクを入手した人物であれば誰でも通話への参加を試みることができ、これには意図しない受信者や、転送・情報漏えい、あるいはソーシャルエンジニアリングによってリンクを入手した人物も含まれます。
ホストが各ゲストのリクエストを承認する仕組みを設けることで、WhatsAppはアクセスを許可する前に人的な検証層を加えていることになります。
ホストは通常のモデレーション機能もそのまま利用でき、リクエストの拒否、迷惑なゲストの排除、退出させた参加者の再参加防止、全参加者に対する通話終了などの操作が可能です。
ゲストチャットとゲスト通話は類似したブラウザベースの暗号化技術を共有していますが、運用モデルは異なります。ゲストチャットは非同期型で、最大10日間の非アクティブ状態でも利用可能な状態を維持でき、参加者は時間をかけてメッセージをやり取りできます。
一方、ゲスト通話は即時のコミュニケーション向けに設計されています。ゲストセッションはライブ通話が続いている間だけ存在し、通話が終了するとやり取りも終了します。
このため本機能は、迅速な顧客対応、家族間の連絡、サポート業務、あるいは別のアプリをインストールしたがらない相手との会話などに役立つ可能性があります。
WhatsAppはリリース時期を発表していません。この機能は現在も開発が進行中であり、最終的なセキュリティ管理策、ブラウザ互換性、提供状況はリリース前に変更される可能性があります。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/whatsapp-tests-end-to-end-encrypted-guest-calls/
