Signal Desktop хранит ключ шифрования сообщений в открытом виде

Signal Desktop хранит ключ шифрования сообщений в открытом виде

В десктопной версии приложения Signal обнаружена ошибка, которая затрагивает процесс шифрования хранящихся локально сообщений. Этот баг оставляет сообщения открытыми для атакующего.

После установки Signal Desktop он создает зашифрованную базу данных SQLite, которая называется db.sqlite, она используется для хранения пользовательских сообщений. Ключ шифрования для этой БД генерируется программой автоматически, без какого-либо участия пользователя.

Вот пример зашифрованной БД, открытой в программе Блокнот:

Ключ шифрования требуется для каждой попытки Signal Desktop открыть базу данных, он хранится в виде открытого текста в локальном файле по адресу %AppData%\Signal\config.json (в macOS — ~/Library/Application Support/Signal/config.json).

При открыти файла config.json, его содержимое доступно любому желающему:

По словам эксперта Натаниэля Сачи, который обнаружил проблему, любой атакующий или вредонос может воспользоваться ключом, который хранится в открытом виде.

На данный момент разработчики Signal никак не прокомментировали проблему.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На вебинаре NGENIX расскажут о лучших практиках защиты от атак

NGENIX приглашает на практический вебинар “Инфраструктура и защита в облаке: лучшие практики для подготовки к условиям неопределенности”.

В течение месяцев интернет-бизнес регулярно подвергался интенсивным атакам, которые влияли на доступность и отказоустойчивость веб-ресурсов, репутацию и прибыльность бизнеса. В условиях мощной атаки рабочее решение для защиты нужно оперативно, и поэтому многие выбрали для этого облачные решения. Но процесс миграции зачастую проходит дольше, чем необходимо бизнесу.

На вебинаре разбираем:

  • Основные ошибки и узкие горлышки при обеспечении защиты веб-приложения
  • Лучшие практики для защиты веб-приложения “ин-хаус”
  • Лучшие практики для эффективной и быстрой миграции в облако

Мероприятие будет полезно руководителям ИТ и ИБ, а также профильным специалистам, которые хотят:

  • Узнать об актуальных сценариях защиты веб-ресурсов от кибератак на уровне приложений
  • Разобрать слабые места в периметре веб-ресурса или приложения
  • Подготовить свою инфраструктуру к быстрой миграции в облако

Зарегистрироваться можно по этой ссылке.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru