Podvodníkov a útočníkov je v dnešnej dobe ako húb po daždi. Preto je pre používateľov dôležité správať sa v online priestore obozretne a zodpovedne. Lenže táto čarovaná formulka už dávno neplatí len pre nás používateľov. Podľa nej by sa mali riadiť aj vývojári, čo sa v minulosti, ale aj súčasnosti nie vždy deje.
Zraniteľné šifrovanie
Portál BleepingComputer upozornil na zamotanú kauzu okolo populárnej šifrovanej komunikačnej platforme Signal. Jej vývojári sa totiž až teraz, po nebotyčnej kritike, rozhodli riešiť naozaj chúlostivý problém, ktorý mohol ohroziť desaťtisíce používateľov po celom svete.
Išlo o závažnú bezpečnostnú chybu v desktopovej aplikácii, pričom tento problém je známy už od roku 2018. Táto zraniteľnosť mohla umožniť malvéru prístup k zašifrovaným správam používateľov, čím sa vlastne aplikácia míňa účinku. Načo je takáto šifrovaná platforma, keď ju šikovnejší hacker vie napadnúť?
Problém pramenil zo spôsobu, akým Signal ukladal šifrovacie kľúče pre svoju databázu správ. V systémoch Windows aj MacOS boli kľúče uložené v súboroch obyčajného textového dokumentu na lokálnom počítači používateľa. V prípade operačného systému Windows mal tento súbor názov %AppData%\Signal\config.json, v prípade Macu išlo o ~/Library/Application Support/Signal/config.json.
Narastajúca kritika
Bezpečnostní analytici upozorňovali na túto chybu už dlhšie, no postoj Signalu je naozaj hodný zamyslenia. Meredith Whittaker, šéfka Signal Foundation, sa snažila problém bagatelizovať tvrdením, že na zneužitie týchto údajov je potrebný priamy prístup k zariadeniu. Chybu vraj neriešili preto, lebo takúto úroveň zabezpečenia nikdy nedeklarovali.
Lenže kritika narastala. Ozvali sa dokonca až také persóny ako Talal Haj Bakry a Tommy Mysk – bezpečnostní analytici v oblasti mobilného zabezpečenia, klincom do rakvy však bola verejná kritika od Elona Muska na sociálnej sieti X. Po tejto poslednej výzve sa vývojári Signalu konečne začali činiť.
There are known vulnerabilities with Signal that are not being addressed. Seems odd …
— Elon Musk (@elonmusk) May 6, 2024
Konečné riešenie
Nešlo však o verejné uznanie chyby; Signal v podstate len akceptoval návrh nezávislého vývojára Toma Planta, ktorý požiadal spoločnosť o implementáciu opravy pomocou SafeStorage API spoločnosti Electron. Toto riešenie prinesie lepšiu ochranu najmä pre Linux a macOS, pre Windows však nie je až takí optimálne.
Vývojári prisľúbili, že zmena bude zahrnutá v najbližšej beta verzii desktopových aplikácií. Počas prechodného obdobia budú fungovať oba systémy ukladania kľúčov súbežne. Po úplnom prechode na nové API bude pôvodný nechránený súbor odstránený, čím sa významne zvýši bezpečnosť používateľských dát.
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Škandál: Milované aplikácie predávajú toxické oblečenie. Slováci na nich nakupujú jedna radosť
Pripravia ťa o všetko. Ak máš v mobile tieto aplikácie, okamžite ich vymaž (+zoznam)
Slováci si ho zamilujú: Vyskúšali sme „slovenský ChatGPT", je úplne zadarmo
Našli sme zázračnú appku. Nebudeš chápať, ako si bez tejto vychytávky mohol fungovať
Používajú ju státisíce Slovákov. Kľúčovú aplikáciu po novom nespustíš, ani keď máš heslo
- 24 hod
- 48 hod
- 7 dní
-
- Stáročia stará záhada má jasnú odpoveď. Vo vnútri Mesiaca našli veľké prekvapenie
- Ani elektrina, ani benzín. Dve gigantické automobilky sa spojili a ukázali nám pohon budúcnosti
- Čakáme naň 13 rokov. Známy slovenský film dostane drsné pokračovanie (trailer)
- Horúčavy už nebudú problém. Objavili prelomový spôsob, ako za pár centov vychladíš celú domácnosť
- Najhoršie obavy sa potvrdili. Prvé reakcie na jeden z najočakávanejších filmov 2024 hovoria za všetko
-
- Stáročia stará záhada má jasnú odpoveď. Vo vnútri Mesiaca našli veľké prekvapenie
- Ani elektrina, ani benzín. Dve gigantické automobilky sa spojili a ukázali nám pohon budúcnosti
- Čakáme naň 13 rokov. Známy slovenský film dostane drsné pokračovanie (trailer)
- Horúčavy už nebudú problém. Objavili prelomový spôsob, ako za pár centov vychladíš celú domácnosť
- Najhoršie obavy sa potvrdili. Prvé reakcie na jeden z najočakávanejších filmov 2024 hovoria za všetko
-
- Z Európy ich už nič nevyženie. Čínska automobilka kupuje známeho nemeckého giganta
- Japonci našli „neobmedzený” zdroj energie. Z 1 gramu paliva jej vyrobí toľko, čo 8 ton ropy
- Ukrajina našla novú zbraň proti ruským dronom. Geniálne „Cukríky“ rozdávajú všetkým vojakom
- Nevieme ju zastaviť. Ruská „Brána do pekla“ sa rozširuje a vypúšťa toxické plyny
- Ani elektrina, ani benzín. Dve gigantické automobilky sa spojili a ukázali nám pohon budúcnosti
Ukrajina tŕpne. Irán mal Rusom poslať ničivé zbrane
Veľký objav pre vedu: Astronómovia spozorovali spájanie galaxií spred 12,8 miliardami rokov
1535 panelov a 720 megawatthodín. Slovensko má novú fotovoltickú elektráreň
Slovensko bude využívať energiu budúcnosti. Vláda už pripravuje dôležitý zákon
Tragédia konečne skončila. Vesmírna loď Boeingu pristála na Zemi
Copyright© 2024 by Startitup, s. r. o. Všetky práva vyhradené