최근에 취약점이 발견되었다는 뉴스가 발표되었습니다. (CVE-2021-40823, CVE-2021-40824) 대부분의 클라이언트 응용 프로그램에서 탈중앙화 커뮤니케이션 플랫폼을 위한 매트릭스, 종단 간 암호화 채팅(E2EE)에서 메시지를 전송하는 데 사용되는 키에 대한 정보를 얻을 수 있습니다.
사용자 중 한 명을 손상시킨 공격자 채팅에서 이전에 보낸 메시지를 해독할 수 있습니다 취약한 클라이언트 응용 프로그램에서 이 사용자에게. 성공적인 작업을 위해서는 메시지 수신자의 계정에 대한 액세스가 필요하며 계정 매개변수의 유출과 사용자가 연결하는 Matrix 서버를 해킹하여 액세스할 수 있습니다.
언급된다 이 취약점은 공격자가 제어하는 Matrix 서버가 연결된 암호화된 대화방 사용자에게 가장 위험합니다. 이러한 서버의 관리자는 서버 사용자를 가장하여 취약한 클라이언트 응용 프로그램에서 채팅으로 보낸 메시지를 가로챌 수 있습니다.
취약점 키에 대한 재접근 권한을 부여하는 메커니즘 구현의 논리적 오류로 인해 발생합니다. 다른 클라이언트의 제안이 감지되었습니다. matrix-ios-sdk, matrix-nio 및 libolm 라이브러리를 기반으로 하는 구현은 취약점에 취약하지 않습니다.
결과적으로, 문제가 있는 코드를 빌린 모든 애플리케이션에 취약점이 나타납니다. y Matrix 및 Olm/Megolm 프로토콜에 직접적인 영향을 미치지 않습니다.
특히 이 문제는 웹, 데스크톱 및 Android용 핵심 Element Matrix(이전 Riot) 클라이언트와 FluffyChat, Nheko, Cinny 및 SchildiChat과 같은 타사 클라이언트 애플리케이션 및 라이브러리에 영향을 미칩니다. 이 문제는 공식 iOS 클라이언트나 Chatty, Hydrogen, mautrix, Purple-matrix 및 Siphon 응용 프로그램에는 나타나지 않습니다.
이제 영향을 받는 클라이언트의 패치 버전을 사용할 수 있습니다. 빠른 시일 내에 업데이트를 부탁드리며 이용에 불편을 드려 대단히 죄송합니다. 업그레이드할 수 없는 경우 할 수 있을 때까지 취약한 클라이언트를 오프라인 상태로 유지하는 것이 좋습니다. 취약한 클라이언트가 오프라인 상태인 경우 키를 공개하도록 속일 수 없습니다. 업데이트가 완료되면 안전하게 온라인으로 돌아올 수 있습니다.
불행히도 클라이언트와 서버 모두에 있는 표준 로그 수준으로 이 공격의 인스턴스를 소급하여 식별하는 것은 어렵거나 불가능합니다. 그러나 공격은 계정을 손상시켜야 하므로 홈 서버 관리자는 부적절한 액세스의 징후가 있는지 인증 로그를 검토할 수 있습니다.
취약점이 발견된 구현에서 키 교환 메커니즘을 사용하면 키가 없는 클라이언트가 메시지를 해독하여 보낸 사람의 장치나 다른 장치에서 키를 요청할 수 있습니다.
예를 들어, 이 기능은 사용자의 새 장치에서 또는 사용자가 기존 키를 분실한 경우 이전 메시지의 암호 해독을 보장하는 데 필요합니다. 프로토콜 사양은 기본적으로 키 요청에 응답하지 않고 동일한 사용자의 확인된 장치에만 자동으로 보내도록 규정합니다. 불행히도 실제 구현에서는 이 요구 사항이 충족되지 않았으며 적절한 장치 식별 없이 키 전송 요청이 처리되었습니다.
취약점은 Element 클라이언트의 보안 감사 중에 식별되었습니다. 이제 문제가 있는 모든 고객이 수정 사항을 사용할 수 있습니다. 사용자는 업데이트를 설치하기 전에 긴급하게 업데이트를 설치하고 클라이언트의 연결을 끊는 것이 좋습니다.
리뷰가 발표되기 전에는 취약점을 악용했다는 증거가 없었습니다.. 표준 클라이언트 및 서버 로그를 사용하여 공격 사실을 판별하는 것은 불가능하지만 공격에는 계정을 손상시켜야 하므로 관리자는 서버의 인증 로그를 사용하여 의심스러운 로그인의 존재를 분석하고 사용자는 목록을 평가할 수 있습니다. 최근 재연결 및 신뢰 상태 변경을 위해 계정에 연결된 장치의 수.
출처 : https://matrix.org