WhatsApp不为组消息提供加密管理

将新成员添加到WhatsApp组消息的流量是：

• 该组的成员向WhatsApp服务器发送无签名的消息，WhatsApp服务器指定了哪些用户是该组的成员，例如Alice，Bob和Charlie
• 服务器告知现有组的所有成员，爱丽丝，鲍勃和查理已被添加
• 现有成员有可能决定是否接受爱丽丝，鲍勃和查理的消息，以及是否应加密与它们交换的消息

如果没有加密签名来验证现有成员希望添加新成员，则可以由任何有可能控制服务器或在此处流通的消息的人进行添加。使用 常见的虚构场景 为了说明从头到尾的加密，这种缺乏加密保险的可能性打开了Malory可以加入小组并访问在那里交换的男子可读的消息的可能性。

WhatsApp并不是该小组新成员唯一缺少密码保险的使者。在2022年，一个包括分析WhatsApp的一些研究人员的团队 寻找 该矩阵 – 客户和聊天和协作服务器的开源和所有者平台 – 还没有提供密码方法来保证只有授权成员加入组。另一方面，Telegram Messenger对组消息没有任何结束 – 端的加密，这使得该应用程序是最弱的，以确保组消息的机密性。

另一方面，开源 信号使者 提供加密保险，只有被任命为小组管理员的现有组成员才能添加新成员。在一封电子邮件中，研究员本杰明·道林（Benjamin Dowling）也解释说：

该信号实现了“密码组的管理”。基本上，这意味着一个小组的管理员（用户）在“爱丽丝，鲍勃和查理都在这个小组中”的意义上签署了一条消息。然后，小组中的每个人都会决定谁加密谁，以及根据这些消息签名的这些消息，（这是指）接受该小组成员。信号使用的系统有些不同（WhatsApp的），因为（信号）付出了额外的努力来避免揭示属于服务器的组，但是基本原理保持不变。

在高级别，在信号中，组与信号服务器上存储的组归属列表相关联。小组管理员生成了一个groupmasterkey，该群组用于更改此组成员资格列表。特别是，GroupMasterKey通过信号发送给组的其他成员，因此服务器未知。因此，每次管理员希望修改组（例如，邀请另一个用户）时，他都必须创建一个更新的成员资格列表（由组组进行了认证），向添加的组的其他用户指示。将现有用户告知变更并更新其组列表，并向新成员进行适当的加密操作，以便现有成员可以开始向新成员发送消息作为小组的一部分。

包括信号在内的大多数消息传递应用程序都不会证明其用户的身份。这意味着信号无法检查使用名为Alice的帐户的人实际上属于Alice。马洛里（Malory）完全有可能创建一个帐户并将其命名爱丽丝（Alice）。 （顺便说一句，与信号形成鲜明对比的是，属于给定的WhatsApp组的帐户成员是由Initiates，Pirates以及任何具有有效任务的人都可以看到的。