Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Signal исправил 6-летний баг хранения ключей шифрования в открытом тексте

Разработчики мессенджера Signal решили наконец повысить безопасность версии приложения для десктопов. В частности, девелоперы поменяли способ хранения ключей шифрования, за что их критиковали с 2018 года.

Ранее при установке Signal на Windows- или macOS-устройства мессенджер создавал зашифрованную SQLite-базу для хранения сообщений пользователя. Эта БД шифровалась с помощью ключа, сгенерированного программой, без пользовательского ввода.

Чтобы программа могла расшифровывать базу и использовать её для хранения данных, нужен ключ шифрования. В случае с логикой работы Signal ключ хранился в виде простого текста в локальном файле по пути «%AppData%\Signal\config.json» в Windows и «~/Library/Application Support/Signal/config.json» — в macOS.

Источник: BleepingComputer

 

Проблема в том, что если Signal может получить доступ к этому файлу с ключом, любая программа в системе тоже способна до него добраться. Другими словами, шифрование БД лишено всякого смысла, ведь любой софт может её расшифровать.

Сначала Signal всячески пытался преуменьшать значение этого бага. Например, один из разработчиков писал:

«Ключ от БД и не задумывался как нечто закрытое. Шифрование при хранении никогда не упоминалось в качестве функциональности десктопной версии Signal».

Однако девелоперы, судя по всему, пересмотрели своё отношение после одного из твитов Илона Маска, в котором миллиардер указывал на уязвимость в мессенджере.

Своё недоумение также высказывали исследователи в области кибербезопасности — например, Томми Миск.

Теперь, по словам разработчиков, они имплементировали поддержку Electron safeStorage. Нововведение скоро должно появиться в бета-версии Signal.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Почта России полностью откажется от Windows за 3 года

Проект по импортозамещению затронет в общей сложности 130 тысяч рабочих мест в отделениях, логистических центрах и административного персонала всех уровней. Windows будет заменена на отечественную ОС Alt Linux. Партнером проекта стал разработчик — «Базальт СПО».

«Почта России» с 2022 года проводила тестирование отечественных ОС. Все это время формировались требования к продуктам, шло тестирование и тендерные процедуры.

В результате к началу официального старта проекта ОС «Альт» была уже установлена на почти 2 тысячах рабочих мест в отделениях, которые были модернизированы по поручению Президента России.

Помимо помощи во внедрении и технической поддержки, «Базальт СПО» возьмет на себя также обучение персонала. Для этого уже разработаны две программы: базовая и экспертная.

«У проекта самая широкая географическая распределённость в стране, что делает его уникальным по сложности и инновационности. Это амбициозная и значимая инициатива, которая не только способствует снижению зависимости от зарубежных технологий, но и поддерживает развитие отечественного ПО», — прокомментировал генеральный директор Почты России Михаил Волков.

«Мы запускаем масштабный проект, в рамках которого будем оказывать поддержку партнёру на всех этапах внедрения операционных систем, а также содействовать обеспечению совместимости программного обеспечения, которое может потребовать адаптации или даже разработки с нуля. Это крайне интересная задача, поскольку Почта России представляет собой динамичное и развивающееся предприятие с обширной сетью отделений», — пояснил генеральный директор «Базальт СПО» Сергей Трандин.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru