Ну, если упрощать, то да. Разумеется, мессенджеры умеют этому сопротивляться. Но они сопротивляются во-первых далеко не все (примитивная проверка: если можешь снять скриншот, то защиты нет), во-вторых сопротивляться они могут лишь через системные возможности. А уязвимости в системах закрывают, закрывают, закрывают, да закрыть не могут.
Ну и это лишь один из способов. Можно навязать жертве просто поддельную версию. Это будет настоящий мессенджер, он будет работать полноценно. Просто параллельно ещё и сливать, куда надо.
Если это какой-то групповой чат из каких-то опасных ребят, то среди этих ребят может быть и сотрудник служб — это вообще всем должно быть очевидно. А в случае 1 на 1, если ты лично не встречался с человеком и вы не сканировали QR коды в приложении друг у друга стоят прям вот рядом, как можно гарантировать, что общается с тем, с кем надо?
Возьмём WA. Он то и дело пишет о ваших собеседниках, что ключ изменился. Хоть кто-нибудь реально проверял, это тот же человек или нет? Потому что это стреляет механизм защиты из Signal (WA использует под капотом его протокол со своими доделками). Это сообщение означает, что приложение в лучшем случае было переустановлено (на настоящее или поддельное?), а скорее это вообще уже другой телефон (того же человека или другого?).
Потому что стоимость атаки на Васяна несоизмеримо больше стоимости данных Васяна. Использование целевых атак — а навязать поддельный клиент, внедрить агента (и не обязательно это органы — это могут быть конкуренты или просто враги) — это атака, заточенная под вполне конкретных людей, это очень дорого. Вася просто не представляет ценности для тех, кто проводит подобного рода атаки.
При этом КПМ обеспечивает достаточный уровень защиты, чтобы защитить от таких атакующих, которые не обладают огромными возможностями и бесконечными деньгами.
Это правило в ИБ такое: стоимость атаки должна превышать стоимость данных, но стоимость данных не должна превышать стоимость защиты. Стоимость, понятное дело, не только в деньгах меряется. Вполне может измеряться временем, может измеряться даже чувствами.
Опасение верное. Такая атака под силу даже мне. Ну и в принципе, это как раз тот уровень, от которого и нужно защищаться КПМ.
КПМ не должен давать считать ввод пароля. Для проверки включи запись экрана. В идеале делать это не системой, а любым приложением, которое умеет транслировать экран. При вводе мастер пароля его не должно быть видно на записи. В простом случае экран просто чёрный будет, в более тонком будет скрыто только само поле ввода
При копировании пароля в буфер обмена из КПМ, доступ к паролю имеют:
текущая активная клавиатура. Следовательно, клавиатуры должны быть только те, которым доверяешь. Клавиатура от Васяна может быть трояном, которая и ввод собирает, и буфер обмена читает
системные приложения. Ну это понятно, от системы не скрыться. Потому прошивка не должна быть от Васяна. Типа виндовых ЗверьСиДи
то приложение, в которое происходит вставка
То есть работающий в фоне троян не может прочитать буфер обмена, это запрещено в самом Android. Но ещё лучше использовать встроенный в Android механизм ввода паролей через специальный сервис. В этом случае буфер обмена не используется и отваливаются в том числе троянские клавиатуры.
Про iOS не скажу, но уверен, что суть у них точно такая же. Сейчас все ОСи одинаково примерно развиваются.