Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Разработчики мессенджера Signal решили наконец повысить безопасность версии приложения для десктопов. В частности, девелоперы поменяли способ хранения ключей шифрования, за что их критиковали с 2018 года.

Ранее при установке Signal на Windows- или macOS-устройства мессенджер создавал зашифрованную SQLite-базу для хранения сообщений пользователя. Эта БД шифровалась с помощью ключа, сгенерированного программой, без пользовательского ввода.

Чтобы программа могла расшифровывать базу и использовать её для хранения данных, нужен ключ шифрования. В случае с логикой работы Signal ключ хранился в виде простого текста в локальном файле по пути «%AppData%\Signal\config.json» в Windows и «~/Library/Application Support/Signal/config.json» — в macOS.

Источник: BleepingComputer

 

Проблема в том, что если Signal может получить доступ к этому файлу с ключом, любая программа в системе тоже способна до него добраться. Другими словами, шифрование БД лишено всякого смысла, ведь любой софт может её расшифровать.

Сначала Signal всячески пытался преуменьшать значение этого бага. Например, один из разработчиков писал:

«Ключ от БД и не задумывался как нечто закрытое. Шифрование при хранении никогда не упоминалось в качестве функциональности десктопной версии Signal».

Однако девелоперы, судя по всему, пересмотрели своё отношение после одного из твитов Илона Маска, в котором миллиардер указывал на уязвимость в мессенджере.

Своё недоумение также высказывали исследователи в области кибербезопасности — например, Томми Миск.

Теперь, по словам разработчиков, они имплементировали поддержку Electron safeStorage. Нововведение скоро должно появиться в бета-версии Signal.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России появится юридическое определение дипфейка

Депутат Госдумы Антон Немкин заявил о необходимости закрепить на законодательном уровне понятие дипфейка. Без чёткого определения, по его словам, невозможно эффективно регулировать эту технологию и пресекать её противоправное использование.

Как сообщил депутат в интервью РИА Новости, юридическое определение станет первым шагом к выстраиванию правового регулирования в этой сфере. Впоследствии, считает он, потребуются и дополнительные меры.

В настоящее время, как отметил Немкин, к тем, кто применяет дипфейки в незаконных целях, можно применить лишь статьи, касающиеся распространения заведомо ложной информации. Однако этого недостаточно, и нужны новые законодательные инициативы.

По словам депутата, технология дипфейк уже активно используется мошенниками. «Например, всё чаще фиксируются случаи взлома личных аккаунтов в мессенджерах и рассылки голосовых сообщений или "кружочков" от имени владельца. С помощью ИИ злоумышленники подделывают голос и мимику, создавая реалистичные видео, на которых якобы изображены знакомые люди», — пояснил он.

Такие материалы вызывают доверие у жертв и позволяют мошенникам убеждать людей переводить деньги, брать кредиты или переходить по вредоносным ссылкам. По оценке Немкина, в ближайшие полгода злоумышленники начнут использовать эти инструменты массово.

По мнению экспертов, уже в 2025 году с дипфейк-атаками может столкнуться каждый второй житель России. Мы разбирали наиболее распространённые схемы, которые уже используют злоумышленники или которые представляют наибольший риск в будущем.

Антон Немкин также подчеркнул необходимость развития и популяризации сервисов по выявлению дипфейков, в том числе ориентированных на массового пользователя. Кроме того, по его мнению, как минимум крупные цифровые платформы должны маркировать контент, созданный с помощью нейросетей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru