В Cryptocat найдена серьёзная уязвимость, позволяющая получить доступ к зашифрованным сообщениям
5 июля 2013 года
В Cryptocat, нацеленном на обеспечение приватности web-чате, в котором шифрование производится на стороне браузера клиента и на сервер поступают уже зашифрованные данные, выявлена проблема безопасности, делающая возможным доступ к отправленным сообщениям. Проблема проявляется начиная с выпуска 2.0 и заканчивая версией 2.0.41, таким образом все сообщения отправленные с 17 октября 2011 года по 15 июня 2013 года подвержены указанной уязвимости.
Cryptocat позиционируется как проект, использующий для защиты частной переписки надёжные технологии шифрования, такие как алгоритм AES-256 и методы криптографии по эллиптическим кривым. История поучительна тем, что тривиальная ошибка в коде свела всю надёжность системы на нет и поставила под вопрос доверие к компаниям, осуществляющим аудит и сертификацию в области безопасности - компания Veracode утвердила Cryptocat на уровень безопасности Veracode Level 2 и оценила качество кода как 100/100. Негативный осадок также остался после попытки разработчиков Cryptocat скрыть свою ошибку, указав, что исправление произведено из-за нарушения обратной совместимости и не упомянув о том, что устранена уязвимость.
При создании ключа шифрования, для обхода проблем с качественной генерацией случайных чисел на стороне браузера, пользователю предлагается ввести 256 случайных символов. Из-за неправильной конвертации строк в качестве случайной последовательности поступал не массив из 15-разрядных целых чисел, а массив из чисел от 0 до 9, т.е. пространство ключей для подбора каждого числа снижается с 2^15 до 10 вариантов. В итоге ключи создаются в условиях недостаточной энтропии и могут быть подобраны с использованием bruteforce-атак. По заявлению исследователя, сообщившего об уязвимости, зашифрованные записи чата могут быть дешифрованы за считанные минуты. Разработчики Cryptocat уже признали (Архивная копия от 5 июля 2013 на Wayback Machine) наличие уязвимости, но утверждают, что проблеме подвержены только групповые чаты с более чем двумя участниками.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
