Matrix клиенттерінің көпшілігінде осалдық табылды

Жақында осалдықтардың анықталғаны туралы жаңалық шықты (CVE-2021-40823, CVE-2021-40824) клиенттердің көптеген қосымшаларында орталықтандырылмаған байланыс платформасы үшін Матрица, шифрланған чатта (E2EE) хабарламаларды жіберу үшін қолданылатын кілттер туралы ақпарат алуға мүмкіндік береді.

Пайдаланушылардың біреуін бұзған шабуылшы чаттан бұрын жіберілген хабарламалардың шифрын шеше алады бұл пайдаланушыға осал клиенттік қосымшалардан. Сәтті жұмыс істеу үшін хабарлама алушының тіркелгісіне кіру қажет және оған кіру есептік жазба параметрлерінің ағып кетуі арқылы да, қолданушы қосылатын Matrix серверін бұзу арқылы да жүзеге асады.

Бұл туралы айтылды осалдықтар шабуылдаушылар басқаратын Matrix серверлері қосылған шифрланған чат бөлмелерінің пайдаланушылары үшін ең қауіпті болып табылады. Мұндай серверлердің әкімшілері осал клиенттік қосымшалардан чатқа жіберілген хабарламаларды ұстау үшін сервердің пайдаланушыларының кейпіне енуге тырысуы мүмкін.

Осалдықтар кілттерге қайта кіруге рұқсат беру механизмін енгізудегі логикалық қателіктерден туындайды анықталған әр түрлі клиенттерден ұсыныстар. Matrix-ios-sdk, matrix-nio және libolm кітапханаларына негізделген енгізулер осал емес.

Тиісінше осалдықтар проблемалық кодты алған барлық қосымшаларда пайда болады y олар Matrix және Olm / Megolm хаттамаларына тікелей әсер етпейді.

Атап айтқанда, бұл мәселе Element Matrix (бұрынғы Riot) веб, жұмыс үстелі және Android үшін негізгі клиентіне, сондай-ақ FluffyChat, Nheko, Cinny және SchildiChat сияқты үшінші тарап клиенттерінің қосымшалары мен кітапханаларына әсер етеді. Мәселе iOS-тың ресми клиентінде де, Chatty, Hydrogen, mautrix, purple-matrix және Sifhon қосымшаларында да болмайды.

Зақымдалған клиенттердің түзетілген нұсқалары енді қол жетімді; сондықтан оны тез арада жаңартуды сұраймыз және қолайсыздық үшін кешірім сұраймыз. Егер сіз жаңарта алмасаңыз, осал клиенттерді мүмкіндігінше дербес күйде қалдыруды қарастырыңыз. Егер осал клиенттер офлайн болса, оларды кілттерді ашуға алдау мүмкін емес. Олар жаңартылғаннан кейін қауіпсіз түрде желіге қосылуы мүмкін.

Өкінішке орай, бұл шабуылдың жағдайларын клиенттерде де, серверлерде де стандартты журнал деңгейімен ретроактивті анықтау қиын немесе мүмкін емес. Алайда, шабуыл есептік жазбаны бұзуды қажет ететіндіктен, үй серверінің әкімшілері аутентификация журналдарын сәйкес келмеудің кез келген белгілері үшін қарап шығуды қалауы мүмкін.

Кілтті алмасу механизмі, іске асыруда осал тұстары табылған, хабарламаның шифры жоқ клиентке жіберушінің құрылғысынан немесе басқа құрылғыларынан кілттерді сұрауға мүмкіндік береді.

Мысалы, бұл мүмкіндік пайдаланушының жаңа құрылғысында немесе қолданушы бұрыннан бар кілттерді жоғалтқан жағдайда ескі хабарламалардың шифрын шешуді қамтамасыз ету үшін қажет. Протокол ерекшелігі әдепкі бойынша негізгі сұрауларға жауап бермеуді және оларды тек бір пайдаланушының тексерілген құрылғыларына автоматты түрде жіберуді белгілейді. Өкінішке орай, практикалық тәжірибеде бұл талап орындалмады және кілттерді жіберу туралы сұраулар құрылғы сәйкестендірусіз өңделді.

Осалдықтар Element клиентінің қауіпсіздік аудиті кезінде анықталды. Енді түзетулер барлық проблемалы клиенттерге қол жетімді. Пайдаланушыларға жаңартуды орнатпас бұрын тез арада жаңартуларды орнатуға және клиенттерді ажыратуға кеңес беріледі.

Шолу жарияланғанға дейін осалдықты пайдалану туралы ешқандай дәлел болған жоқ. Стандартты клиент пен сервер журналдарын қолдану арқылы шабуыл фактісін анықтау мүмкін емес, бірақ шабуыл есептік жазбаны бұзуды қажет ететіндіктен, әкімшілер өз серверлеріндегі аутентификация журналдарын қолдана отырып күдікті кірулердің болуын талдай алады, ал пайдаланушылар тізімді бағалай алады. соңғы қайта қосылулар мен сенім күйінің өзгеруі үшін олардың есептік жазбасына қосылған құрылғылар.

Дерек көзі: https://matrix.org


Мақаланың мазмұны біздің ұстанымдарымызды ұстанады редакторлық этика. Қате туралы хабарлау үшін нұқыңыз Мұнда.

Бірінші болып пікір айтыңыз

Пікіріңізді қалдырыңыз

Сіздің электрондық пошта мекен-жайы емес жарияланады. Міндетті өрістер таңбаланған *

*

*

  1. Деректерге жауапты: Мигель Анхель Гатан
  2. Деректердің мақсаты: СПАМ-ны басқару, түсініктемелерді басқару.
  3. Заңдылық: Сіздің келісіміңіз
  4. Деректер туралы ақпарат: заңды міндеттемелерді қоспағанда, деректер үшінші тұлғаларға жіберілмейді.
  5. Деректерді сақтау: Occentus Networks (ЕО) орналастырған мәліметтер базасы
  6. Құқықтар: Сіз кез-келген уақытта ақпаратты шектей, қалпына келтіре және жоя аласыз.