The Hacker News - Natalie Silvanovich, raziskovalka pri Google Project Zero je konec septembra odkrila resno napako v aplikaciji za varno sporočanje Signal. Napaka je napadalcu omogočala oddaljen vklop mikrofona pri uporabniku Signala in posledično prisluškovanje pogovorom v prostoru, kjer se nahaja telefon.
Za izrabo je bila potrebna prilagojena različica Signala, s katero je napadalec poklical na ciljni telefon. Če se klicana oseba ni oglasila, je napadalec lahko sprožil samodejni odgovor oz. samodejno vzpostavitev zveze s klicočim.
Logična napaka pri obravnavi klicev je bila omejena na platformo Android (na iOS se klic zaradi nepričakovanega zaporedja stanj klica zveza ni samodejno vzpostavila) in sicer zaradi omejitev tehnologije WebRTC.
Natalie Silvanovich je ranljivost javila razvijalcem Signala prejšnji teden, razvijalci pa so se odzvali v zgolj nekaj urah in napako z različico v4.47.7 odpravili.
Svoje telefone redno posodabljate?
Novice » Varnost » Odkrita (in že odpravljena) resna ranljivost v Signalu
sandi203 ::
Novica je preveč napihnjena. Sedaj se ljudje sprašujejo ali so njim prisluškovali s to ranljivostjo. To je izredno izredno majhna verjetnost.
Pa takšen hipotetičen napad pušča sledi. Kot je sporočil razvijalec na Twitter: Worth noting that it was Android only, your phone would ring, display as a connected call, and log the completed call at the top of your conversation list. It's not silently "enabling the microphone." Also fixed.
Pa takšen hipotetičen napad pušča sledi. Kot je sporočil razvijalec na Twitter: Worth noting that it was Android only, your phone would ring, display as a connected call, and log the completed call at the top of your conversation list. It's not silently "enabling the microphone." Also fixed.
poweroff ::
Saj to je jasno.
Vseeno je super, da je Project Zero to odkril in odpravil.
Vseeno je super, da je Project Zero to odkril in odpravil.
sudo poweroff
jype ::
Android ni platforma, vredna zaupanja, ker ne obstajajo naprave, pri katerih bi lahko kdorkoli preveril pravilno delovanje celotnega sklada, zato je Signal na Androidu za potrebe varnega sporočanja v praksi neuporaben.
Zgodovina sprememb…
- predlagal izbris: _Dormage_ ()
_Dormage_ ::
poweroff ::
Jype - ne obstajajo telefoni, ki bi jim lahko zaupal. Zato noben mobilni OS ni popolnoma vreden zaupanja.
Vseeno je uporaba Signala smiselna - tread model ni nujno medgalaktična tajna služba, lahko so tudi lokalni tepci. In proti njim je Signal čisto dobra alternativa.
Vseeno je uporaba Signala smiselna - tread model ni nujno medgalaktična tajna služba, lahko so tudi lokalni tepci. In proti njim je Signal čisto dobra alternativa.
sudo poweroff
Ales ::
Android ni platforma, vredna zaupanja, ker ne obstajajo naprave, pri katerih bi lahko kdorkoli preveril pravilno delovanje celotnega sklada, zato je Signal na Androidu za potrebe varnega sporočanja v praksi neuporaben.
Signal je popolnoma varen še posebej v praksi.
Zgrešil si point. In še nimaš prav za povrh.
Mavrik ::
A nam neumnim razložiš kaj je "point" bil v jypetovem trolanju? Da bomo deležni te modrosti.
The truth is rarely pure and never simple.
mailer ::
Signal je toliko dober, da gre v nos raznim agencijam, bral že dolgo nazaj.
Asus B560-I, Intel 11500, Corsair 16GB 3200MHz
jype ::
ne obstajajo telefoni, ki bi jim lahko zaupal.To ne drži: Obstajajo vsaj tri implementacije softverskega radija (že od leta 2012), ki omogočajo komunikacijo prek GSM omrežja, ter vsaj dve odprti hardverski platformi, ki omogočata, da je celoten sklad odprt in preverljiv.
Ja, udobja, ki ti ga v zameno za to da vohunijo za teboj ponujajo Android, iOS in drugi, ne moreš dobiti, lahko pa dobiš zasebnost.
Še bolj smiselna je v tem primeru uporaba drugih tehnologij, je pa seveda skoraj povsod prepovedana. Če ti je za to vseeno, potem lahko varno globalno komuniciraš po amaterskih frekvencah.
poweroff ::
Problem je, da mora biti radio del verificiran s strani FCC. To pa stane.
Glede uporabe amaterskih frekvenc... ko sem jaz delal radioamaterski izpit nam je bilo izrecno rečeno, da je šifriranje prometa prepovedano.
Glede uporabe amaterskih frekvenc... ko sem jaz delal radioamaterski izpit nam je bilo izrecno rečeno, da je šifriranje prometa prepovedano.
sudo poweroff
nsa_ag3nt ::
jype
Imena le teh ?
To ne drži: Obstajajo vsaj tri implementacije softverskega radija (že od leta 2012), ki omogočajo komunikacijo prek GSM omrežja, ter vsaj dve odprti hardverski platformi, ki omogočata, da je celoten sklad odprt in preverljiv.
Imena le teh ?
https://gizmodo.com/c/goodbye-big-five
jype ::
ko sem jaz delal radioamaterski izpit nam je bilo izrecno rečeno, da je šifriranje prometa prepovedano.Saj je.
Pa kaj? Prepovedan je tudi poseg v zasebnost, kakršnega je Snowden razkril kot rutino. Vsaj od njegovega razkritja naprej torej ni razloga, da bi slehernik spoštoval pravila, če se jih niti države ne držijo.
Imena le teh ?Napišem, ko pridem do zapiskov. Sam uporabljam GNU Radio, testiral sem HackRF one, ampak ga potem nisem kupil, ker sem našel cenejšo rešitev (ki ni SDR).
Zgodovina sprememb…
- spremenilo: jype ()
rabelj5 ::
poweroff ::
ko sem jaz delal radioamaterski izpit nam je bilo izrecno rečeno, da je šifriranje prometa prepovedano.Saj je.
Problem je torej, da te zabrišejo iz omrežja, če uporabljaš šifriranje.
Napišem, ko pridem do zapiskov. Sam uporabljam GNU Radio, testiral sem HackRF one, ampak ga potem nisem kupil, ker sem našel cenejšo rešitev (ki ni SDR).
LimeSDR se mi zdi boljši kot HackRF.
Ampak če to uporabljaš nisi rešil problema. Namreč: kaj ti pomaga šifrirana rešitev, ki jo uporabljaš samo ti (oziroma par tvojih kolegov)?
Šifriranje mora biti masovno.
sudo poweroff
Mavrik ::
Šifriranje mora biti masovno.
Ja, ampak če ni popolno, ideološko čisto, narejeno samo z materinsko ljubeznijo in pod pravo lunino meno ni ok in se ga sploh ne sme uporabljati. Nikakor.
Pogosta past kritikov iterativnega napredka varnosti, ki je pokopal marsikatero dobro idejo in povzročil da so inovatorji pri tem... korporacije.
Na žalost Signal tudi ni imun na to - njegovi avtorji so včasih prav boleče nekonsistentni pri upoštevanju varnosti in napadanju svojih lastnih uporabnikov. Včasih se odločijo kar malo ignorirati opozorila (Chrome app za desktop, obvezne telefonske številke?!), drugič pa veselo brcajo uporabnika v imenu varnosti (wtf se dogaja z njihovo zgodbo o backupih? A se jim res zdi sprejemljivo da ljudje izgubijo vso vsebino pogovorov če ne skočijo čez kup uporabniško sovražnih postopkov za kopiranje?!)
The truth is rarely pure and never simple.
Zgodovina sprememb…
- spremenil: Mavrik ()
poweroff ::
Moxie bi moral spet malo pasti v ledeno morje.
-- https://www.wired.com/2016/07/meet-moxi...
When he arrived at the hospital, Marlinspike says, the nurses told him his temperature was so low their digital thermometers couldn't register it. As he recovered over the next days, he had the sort of realization that sometimes results from a near-death experience. "It definitely sharpened my focus," he says of the incident. "It made me question what I was doing with my life."
A normal person might have quit sailing. Instead, Marlinspike quit Twitter. A year and a day after he had started, he walked away from over $1 million in company stock.
Marlinspike quickly picked up where he'd left off. In early 2013 he relaunched his startup as an open source project called Open Whisper Systems.
-- https://www.wired.com/2016/07/meet-moxi...
sudo poweroff
Ales ::
Matthai, zakaj Signal in ne recimo Matrix oz. Riot.IM?
S tehnične plati se mi zdi slednji boljša izbira za zasebno komunikacijo. Morda sem kaj spregledal?
S tehnične plati se mi zdi slednji boljša izbira za zasebno komunikacijo. Morda sem kaj spregledal?
poweroff ::
Tehnično verjetno res, je pa par problemov. Prvi je poraba baterije. Drugi pa razširjenost in UX.
OK, glede UX-a... Riota in Matrixa nisem gledal že nekaj časa. Bom v kratkem pogledal malo bolj, da vidim koliko so napredovali.
OK, glede UX-a... Riota in Matrixa nisem gledal že nekaj časa. Bom v kratkem pogledal malo bolj, da vidim koliko so napredovali.
sudo poweroff
Mavrik ::
Moxie bi moral spet malo pasti v ledeno morje.
When he arrived at the hospital, Marlinspike says, the nurses told him his temperature was so low their digital thermometers couldn't register it. As he recovered over the next days, he had the sort of realization that sometimes results from a near-death experience. "It definitely sharpened my focus," he says of the incident. "It made me question what I was doing with my life."
A normal person might have quit sailing. Instead, Marlinspike quit Twitter. A year and a day after he had started, he walked away from over $1 million in company stock.
Marlinspike quickly picked up where he'd left off. In early 2013 he relaunched his startup as an open source project called Open Whisper Systems.
-- https://www.wired.com/2016/07/meet-moxi...
Mah ne vem, mislim da bi bilo dovolj da se odločijo kaj točno hočejo od projekta - če hočejo biti varna komunikacijska rešitev za vsakogar, potem se pač morajo začeti fokusirati na uporabnike in njihove želje. Za to je baseline iMessage in WhatsApp. Roko na srce so že kar blizu tega, da bi bili dobra zamenjava za tadva, ampak res morajo zrihtati svojo backup zgodbo. To, da ti normalni ljudje zgubijo vse pogovore s prijatelji, vse slike od družine in poslano vsebino, res ni OK.
Če pa hočejo biti ultra-varna komunikacijska storitev za Snowdne, je pa to tudi ok - ampak potem pač ne moreš tega prodajati ljudem kot zamenjavo za Facebook Messenger... pa še ekstra dobro te bodo gledale obveščevalne službe.
The truth is rarely pure and never simple.
poweroff ::
Zdajle sem skusal stestirati riot.im... pozabljenega passwords ne morem obnoviti, novega usernama pa ne skreirati. Internal server error.
Zaenkrat bi rekel da software se ni zrel za splosno rabo...
Zaenkrat bi rekel da software se ni zrel za splosno rabo...
sudo poweroff
jype ::
"Varno" in "za splošno rabo" ne bo šlo skupaj, dokler imaš majhno število globalnih korporacij, ki vedo vse o tebi.
Orodja za varovanje identitet žvižgačev in orodja za splošno sporočanje, ki so imuna na prestrezanje oblasti, ne morejo biti ista stvar, dokler države niso popolnoma transparentne (do mere, ko je vsako dejanje oblasti javno objavljeno v realnem času), državljani pa pripravljeni ves čas nadzirat in hitro sankcionirat početje oblasti.
Orodja za varovanje identitet žvižgačev in orodja za splošno sporočanje, ki so imuna na prestrezanje oblasti, ne morejo biti ista stvar, dokler države niso popolnoma transparentne (do mere, ko je vsako dejanje oblasti javno objavljeno v realnem času), državljani pa pripravljeni ves čas nadzirat in hitro sankcionirat početje oblasti.
jype ::
jype ::
Potem pa razloži, kaj so tvoji cilji, ker trenutno "zagovarjaš praktičen pogled" in s tem takoj izpustiš ključni del varnosti, hkrati pa govoriš o varnosti, ki je le iluzija.
Mavrik ::
Pogovor o "varnosti" brez jasne definicije proti komu in čemu se braniš je samo trolanje in trabunjanje drug mimo drugega. Jype bo jasno vedno premaknil goalpost tja kjer se maksimalno da napadati sogovornike.
The truth is rarely pure and never simple.
jype ::
Ravnokar sem ga vprašal, kje je gol (ker zgoraj strelja na dva hkrati), ti ga pa že vlečeš tja, kjer boš lahko napadal sogovornika?
Moderator pa tak.
Moderator pa tak.
Ales ::
Zdajle sem skusal stestirati riot.im... pozabljenega passwords ne morem obnoviti, novega usernama pa ne skreirati. Internal server error.
Zaenkrat bi rekel da software se ni zrel za splosno rabo...
Čiisto napačen vtis si dobil. Nimam pojma, kaj je njihov free server medlo v trenutku, ko si testiral, ampak odmisli to.
Ales ::
Kako točno naj odmisli nedelovanje prijave? :D
A ni očitno da je težava bila trenutna oz. kratkotrajna?
Poleg tega Matrix nima centralnega strežnika, omrežje je decentralizirano. Večina folka za začetek zagotovo uporabi kar Riot.IM klient in matrix.org strežnik za prijavo, ni pa ga treba. Tudi če uporabiš Riot.IM kliente, jih lahko povežeš na katerikoli drug Matrix strežnik. Tudi na svoj strežnik, odrezan od javnega omrežja ali povezan vanj.
Dobra javna alternativa je recimo Librem.one (Librem Chat, Matrix omrežje in klienti pod drugim imenom).
poweroff ::
Sem poskušal večkrat, in ni šlo skozi. V bistvu sem skušal obnoviti geslo, pa se je vedno nekje ustavilo...
Anyway, Riot.im tvoj imenik pošlje identity serverju. Trdijo sicer, da njihov identity server ničesar ne shranjuje, ampak tega v bistvu ne vemo. Po drugi strani Signal za iskanje po imeniku uporablja hashe telefonskih številk.
Je zanimiv software, ampak mu še malo manjka.
Jype, treba je vedeti tri stvari.
Prva stvar je, da se moraš vprašati kaj je tvoj threat model - proti komu in čemu se braniš. Če si Osama Bin Jure, ki je na top listi NSA in CIE, potem tudi HackRF ni OK. Potem se je treba vprašati o ranljivostih v procesorjih na strojnem nivoju. Če se braniš proti slovenskih lokalnim butljem, bo pa že skoraj ROT13 dovolj.
Druga stvar je pa, da če imaš na voljo več enakovrednih (brezplačnih) orodij, pač uporabiš tisto, ki je najboljše. Se pravi če imaš na voljo brezplačni Signal, ki je totalen overkill za slovenske butlje, ga vseeno uporabiš. In ne uporabljaš neke prav tako brezplačne, a varnostno okleščene različice nečesa podobnega.
Tretja stvar je pa uporabniška prijaznost in posledično razširjenost aplikacije. Sam uporabljam tudi varnostne rešitve, ki so uporabniško precej neprijazne, zahtevajo uporabo konzole, itd... ampak mi je jasno, da za množično uporabo to ni. Za množično uporabo so potrebne lepi uporabniški vmesniki, barvite ikone, swipanje levo in desno, itd. In to JE pomemben del varnosti. Ker sistema, ki je zelo varen, a težaven za uporabo, uporabniki v praksi ne bodo uporabljali, ali pa ga bodo preprosto skušali zaobiti.
Iz tega razloga je smiselno promovirati množično uporabo zgolj nekaj konkretnih rešitev. Ker kot rečeno - če imam PGP, pa ga uporabljam samo jaz in nihče od mojih kolegov - potem je to tako, kot ga ne bi imel.
In pa seveda se ne sme pozabiti na postopne izboljšave. Signal je v redu rešitev, je razširjen, ima pa svoje pomanjkljivosti. Smiselno je te pomanjkljivosti redno izboljševati in skozi mesece (ali leta), bo sistem postajal čedalje boljši.
Če pa iščeš sistem, ki bo popolnoma varen že od začetka, pa takega sistema skoraj zagotovo ne boš našel.
To je moj "praktičen pogled".
Anyway, Riot.im tvoj imenik pošlje identity serverju. Trdijo sicer, da njihov identity server ničesar ne shranjuje, ampak tega v bistvu ne vemo. Po drugi strani Signal za iskanje po imeniku uporablja hashe telefonskih številk.
Je zanimiv software, ampak mu še malo manjka.
Jype, treba je vedeti tri stvari.
Prva stvar je, da se moraš vprašati kaj je tvoj threat model - proti komu in čemu se braniš. Če si Osama Bin Jure, ki je na top listi NSA in CIE, potem tudi HackRF ni OK. Potem se je treba vprašati o ranljivostih v procesorjih na strojnem nivoju. Če se braniš proti slovenskih lokalnim butljem, bo pa že skoraj ROT13 dovolj.
Druga stvar je pa, da če imaš na voljo več enakovrednih (brezplačnih) orodij, pač uporabiš tisto, ki je najboljše. Se pravi če imaš na voljo brezplačni Signal, ki je totalen overkill za slovenske butlje, ga vseeno uporabiš. In ne uporabljaš neke prav tako brezplačne, a varnostno okleščene različice nečesa podobnega.
Tretja stvar je pa uporabniška prijaznost in posledično razširjenost aplikacije. Sam uporabljam tudi varnostne rešitve, ki so uporabniško precej neprijazne, zahtevajo uporabo konzole, itd... ampak mi je jasno, da za množično uporabo to ni. Za množično uporabo so potrebne lepi uporabniški vmesniki, barvite ikone, swipanje levo in desno, itd. In to JE pomemben del varnosti. Ker sistema, ki je zelo varen, a težaven za uporabo, uporabniki v praksi ne bodo uporabljali, ali pa ga bodo preprosto skušali zaobiti.
Iz tega razloga je smiselno promovirati množično uporabo zgolj nekaj konkretnih rešitev. Ker kot rečeno - če imam PGP, pa ga uporabljam samo jaz in nihče od mojih kolegov - potem je to tako, kot ga ne bi imel.
In pa seveda se ne sme pozabiti na postopne izboljšave. Signal je v redu rešitev, je razširjen, ima pa svoje pomanjkljivosti. Smiselno je te pomanjkljivosti redno izboljševati in skozi mesece (ali leta), bo sistem postajal čedalje boljši.
Če pa iščeš sistem, ki bo popolnoma varen že od začetka, pa takega sistema skoraj zagotovo ne boš našel.
To je moj "praktičen pogled".
sudo poweroff
Ales ::
Anyway, Riot.im tvoj imenik pošlje identity serverju. Trdijo sicer, da njihov identity server ničesar ne shranjuje, ampak tega v bistvu ne vemo. Po drugi strani Signal za iskanje po imeniku uporablja hashe telefonskih številk.
Ni ti potrebno deliti tvojega imenika z identity serverjem. Zavrni in označi, naj te ne sprašuje več. Riot.IM klienti normalno delajo brez deljenja, Matrix omrežje kot tako tudi.
Ali pa s pomočjo orodij. oz. omejitev na telefonu deli samo tistih par vnosov iz imenika, ki jih želiš vidne na javnem Matrix omrežju.
Moraš pa tudi glede na situacijo skupine, ki komunicira, presoditi, ali želiš imeti svoje privatno Matrix omrežje (z identity serverji vred, če jih sploh rabiš) ali pa se želiš npr. povezovati na matrix.org še dodatno preko Tor omrežja.
Vsaka od teh mrež ima podoben problem, ki ga mora rešiti, in sicer kako nekdo poišče sogovornika. V primeru Matrixa lahko sogovornike dodaš brez deljenja imenika, direktno. Seveda pa moraš za njihov obstoj nekako vedeti, torej ti mora njihova identiteta biti sporočena po nekem drugem kanalu (ali pa preko nekega obstoječega Matrix uporabnika, ki si ga predhodno dodal).
MrStein ::
Vsaka od teh mrež ima podoben problem, ki ga mora rešiti, in sicer kako nekdo poišče sogovornika. V primeru Matrixa lahko sogovornike dodaš brez deljenja imenika, direktno. Seveda pa moraš za njihov obstoj nekako vedeti, torej ti mora njihova identiteta biti sporočena po nekem drugem kanalu (ali pa preko nekega obstoječega Matrix uporabnika, ki si ga predhodno dodal).
To ni nek hud problem, saj to smo včasih enako počeli: Živjo, mimogrede, to je moja telefonska številka, tako da odslej lahko komunicirava tudi na daljino!
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
jype ::
To ni nek hud problem, saj to smo včasih enako počeli: Živjo, mimogrede, to je moja telefonska številka, tako da odslej lahko komunicirava tudi na daljino!Večina sodobnih mobilnih IM aplikacij te možnosti nima - uporabljajo lahko samo "contacts" iz telefona, ki jih nadzira korporacija, ki ji ni mogoče zaupati.
joggi79 ::
Ce smo ze toliko paranoicni, potem je zares smesno se pogovarjati o aplikacijah ki tecejo na danasnjih telefonih. Kaj ti pomaga kriptiranje povezave, ce pol sveta ze ima tvoje podatke preden so sploh zakriptirani (najbrz ne mislis, da Android ali Ios nimat logiranja vnosa podatkov preden jih doticna aplikacija kriptira).
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | Facebook: hekerji odnesli osebne podatke 14 milijonov uporabnikovOddelek: Novice / Zasebnost | 5100 (3984) | nsa_ag3nt |
| » | Napad na pametne televizorje prek prizemnega signalaOddelek: Novice / Varnost | 14564 (11685) | Okapi |
| » | Vdor v Kernel.org, posledic za uporabnike niOddelek: Novice / Varnost | 6213 (4504) | Icematxyz |
| » | Na spletu je več milijonov zastarelih, okuženih spletnih trgovinOddelek: Novice / Varnost | 5066 (3786) | Steinkauz |
| » | Silovit napad na internet v MjanmaruOddelek: Novice / Omrežja / internet | 5028 (3910) | ERGY |