Share This
Связаться со мной
Крути в низ
Categories
//Исследователи выявили уязвимость в методе обхода цензуры Signal

Исследователи выявили уязвимость в методе обхода цензуры Signal

08.02.2021Category : My Habr

Мессенджер Signal после блокировки в Иране предложил пользователям использовать TLS-прокси, чтобы обойти цензуру в стране. Однако исследователи безопасности уже обнаружили в ней недостатки.

Когда они сообщили о дырах безопасности через репозиторий Signal на GitHub, то компания заблокировала пользователей и удалила все их сообщения.

Компания утверждает, что пользователи могут настроить прокси-сервер TLS, используя код из репозитория Signal GitHub. При анализе кода в репозитории исследователи DuckSoft и studentmain обнаружили различные проблемы, которые могут позволить правоохранительным органам легко обнаруживать прокси-серверы Signal и либо отслеживать трафик до пользователей, либо полностью блокировать прокси. Это могло произойти из-за того, что туннель SSL/TLS развернут с сертификатом, раскрывающим IP-адрес и информацию в виде открытого текста в поле Server Name Indication (SNI).

«С точки зрения цензора, когда трафик прокси-сервера проходит, видимая информация — это IP-адрес и указание имени сервера в открытом виде (SNI) в TLS ClientHello, которое точно соответствует доменному имени сервера», — отметили в DuckSoft и studentmain.

Исследователи объясняют, что это не единственный способ идентифицировать прокси-серверы Signal. «Цензорам не обязательно использовать настоящих клиентов Signal. Этот прокси работает, когда прокси-трафик TLS нацелен на серверы Signal», — говорят они.

Исследователи поделились эксплойтом Proof-of-Concept (PoC), демонстрирующим эту гипотезу, и предложили исправления. Кроме того, другие пользователи уже проверили, что прокси-сервер Signal принимает трафик только из разрешенных доменов Signal и запрещает трафик из Telegram или любых других доменов, тем самым разоблачая себя.

issledovateli vyjavili ujazvimost v metode obhoda cenzury signal 64dc8ef - Исследователи выявили уязвимость в методе обхода цензуры Signal

Исследователи объяснили, почему они не соблюдали правила ответственного раскрытия информации и обнародовали данные об ошибке. Они отмечают, что в Signal не сразу отвечают на письма, а прокси TLS начали развертывать лишь недавно. Исследователи утверждают, что их отчет об ошибке был готов спустя всего несколько часов после того, как Signal призвал переходить на новый прокси.

Однако основатель Signal Мокси Марлинспайк утверждает, что использование прокси-сервера не представляет никакого риска, а нынешнее раскрытие информации является очевидной проблемой. Он отметил, что любой прокси-сервер можно отследить в Интернете, но, максимум, что можно выяснить, — это подключается ли пользователь к Signal.

После того, как исследователи сообщили о своих опасениях на общедоступных страницах выпусков Signal на GitHub, они были выгружены разработчиками репозитория. После публикации обсуждения на форуме сообщества Signal исследователи обнаружили, что их учетные записи были временно заблокированы. Кроме того, страница проблемы, отправленная на GitHub, была закрыта и теперь выдает сообщение об ошибке 404. Исследователи также были заблокированы разработчиками репозитория Signal на GitHub.

Signal заявил, что заблокировал учетные записи исследователей на GitHub и удалил страницы проблем после серии неуместных и грубых комментариев. Однако некоторые пользователи считают, что удаление Signal проблемы с GitHub может говорить о том, что мессенджер исследуют лучшее решение, чем этот временный обходной путь, и не хочет давать злоумышленникам фору.

Стоит отметить, что Мокси Марлинспайк выступает принципиально против федеративной системы, которая предусматривает сосуществование произвольного количества серверов Signal, принадлежащих третьим лицам. По такому принципу существует социальная сеть Mastodon.

  • 7 views
  • 0 Comment

Leave a Reply

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Этот сайт использует Akismet для борьбы со спамом. Узнайте, как обрабатываются ваши данные комментариев.

Связаться со мной
Close