Cellebrite y Signal están, por tanto, en lados opuestos del frente ideológico. Los organismos encargados de hacer cumplir la ley de todo el mundo utilizan la solución de Cellebrite para obtener acceso a los datos que los usuarios desean mantener confidenciales, incluidas las comunicaciones de Signal. El objetivo de Signal es asegurarse de que la correspondencia por chat no esté disponible para nadie más que para los suscriptores. El enlace más vulnerable en esta comunicación es el teléfono inteligente del usuario: si obtiene acceso al dispositivo desbloqueado, puede ver toda la correspondencia. El creador de Signal obtuvo acceso al dispositivo Cellebrite por medios desconocidos y encontró vulnerabilidades en su software.
Cómo se las arregló para conseguir el dispositivo, Moxie no explica, más precisamente, explica vagamente: estaba caminando por la calle, y aquí en ti, un juego completo para analizar teléfonos móviles yace sobre el asfalto. Naturalmente, los fabricantes de tales piezas brindan acceso a sus equipos solo a organizaciones confiables, y Signal no se encuentra entre ellas. El investigador analizó el software que, según el problema, incluye muchos analizadores de datos de diferentes aplicaciones. Estos controladores son en todos los casos un caldo de cultivo para las vulnerabilidades, y el conjunto de códecs ffmpeg se da como ejemplo. Estas bibliotecas son utilizadas por el software de análisis multimedia de Cellebrite UFED, y Moxie descubrió una versión de 2012 obsoleta. Desde entonces, se han lanzado más de cien parches de seguridad para ffmpeg.
Como resultado, sin mucha dificultad, Moxie encontró una vulnerabilidad que conduce a lo siguiente: si el complejo Cellebrite lee un archivo "preparado" en el teléfono, es posible reemplazar los datos en el informe generado. E incluso modifique informes anteriores o garantice cambios en informes futuros. Este es un indicio de que Moxie pudo obtener el control total del software a través de una vulnerabilidad en el analizador de datos. Al final de la publicación, Marlinspike informa que la última actualización del mensajero Signal contendrá un archivo adicional que no tiene ningún efecto sobre la funcionalidad. El archivo no es interesante en absoluto, se recomienda no prestarle atención. Es decir, es posible (aunque no se menciona directamente) que analizar el teléfono con el mensajero Signal instalado pueda estropear los datos que genera el complejo de recolección de evidencias.
Y esta es, por supuesto, una historia muy extraña. Primero, se acostumbra informar las vulnerabilidades al fabricante para que puedan ser reparadas. Usarlos a tu favor es la suerte del lado oscuro. Y el hecho de que a usted personalmente no le guste el software con una vulnerabilidad por alguna razón no es un argumento para tales acciones. En segundo lugar, ¿qué sucede? ¿Se distribuirá un exploit con un mensajero legítimo? Supongamos que el creador de Signal estaba bromeando. ¿O no? En cualquier caso, este es un ejemplo interesante de presión moral sobre un adversario ideológico, aunque completamente fuera de los límites de la ética normal del hacker. En general, nos dice que vale la pena pensar en la seguridad incluso de aquellas herramientas que se utilizan mucho más allá de las líneas de protección de la red corporativa. Son ellos quienes, en determinadas circunstancias, pueden resultar el eslabón más débil.
Que mas paso
Investigación de vulnerabilidades en sistemas de seguridad con triste resultado: problemas descubiertos por Eye Security permiten desarmar una habitación de forma remota. Más de diez mil instalaciones (principalmente en Alemania) se han visto afectadas, solo mil parcheadas.
El programa para almacenar contraseñas Passwordstate fue pirateado y los atacantes distribuyeron malware entre sus usuarios. 29 mil clientes se vieron afectados. El esquema es clásico: el servidor de actualización se vio comprometido, se envió un archivo ejecutable modificado a través de él.
Encontrado y cerradoVulnerabilidad trivial en la aplicación para la red social Clubhouse: la fundadora de Luta Security Katie Moussouris (Katie Moussouris) ha encontrado una forma de permanecer en la sala, siendo invisible para los moderadores, sin posibilidad de baneo. El ataque funcionó para esos chats de voz en los que el usuario malintencionado había sido previamente admitido.
Las filtraciones de información sobre las computadoras portátiles Apple que aún no se han lanzado no suelen ser un tema de noticias sobre seguridad de la información. Pero la semana pasada, esos datos se difundieron por la red como resultado de un ataque al proveedor de Apple, Quanta. Los organizadores del ataque presionaron a la organización afectada (o a la propia Apple) al publicar parte de la información robada en el dominio público.
Mantenedor del kernel de Linux Greg Kroah-Hartman bloqueó todas las confirmaciones del personal de la Universidad de Minnesota. Esto sucedió después de la publicación de un estudio en el que los autores (también empleados de la universidad) intentaron insertar código conscientemente vulnerable en el kernel de Linux y evaluaron la capacidad para determinar la presencia de errores. Resultado de la investigación (fuente en PDF ): en el 60% de los casos se aceptó el código de curva.