Cellebrite und Signal befinden sich somit auf entgegengesetzten Seiten der ideologischen Front. Die Lösung von Cellebrite wird von Strafverfolgungsbehörden auf der ganzen Welt verwendet, um Zugriff auf Daten zu erhalten, die Benutzer vertraulich behandeln möchten, einschließlich der Signalkommunikation. Ziel von Signal ist es sicherzustellen, dass die Chat-Korrespondenz nur Abonnenten zur Verfügung steht. Die am stärksten gefährdete Verbindung in dieser Kommunikation ist das Smartphone des Benutzers: Wenn Sie Zugriff auf das entsperrte Gerät erhalten, können Sie die gesamte Korrespondenz anzeigen. Der Signalersteller hat auf unbekannte Weise Zugriff auf das Cellebrite-Gerät erhalten und Schwachstellen in seiner Software gefunden.
Wie er es geschafft hat, an das Gerät zu kommen, erklärt Moxie nicht genauer, erklärt vage: Er ging die Straße entlang, und hier auf Ihnen liegt ein komplettes Set zur Analyse von Mobiltelefonen auf dem Asphalt. Natürlich bieten die Hersteller solcher Teile nur vertrauenswürdigen Organisationen Zugang zu ihren Geräten, und Signal gehört nicht dazu. Der Forscher analysierte Software, die basierend auf dem Problem viele Datenparser aus verschiedenen Anwendungen enthält. Solche Handler sind in allen Fällen ein Nährboden für Schwachstellen, und der Satz von ffmpeg-Codecs wird als Beispiel angegeben. Diese Bibliotheken werden von der Multimedia-Parsing-Software von Cellebrite UFED verwendet, und Moxie entdeckte eine veraltete Version von 2012. Seitdem wurden über hundert Sicherheitspatches für ffmpeg veröffentlicht.
Infolgedessen fand Moxie ohne große Schwierigkeiten eine Sicherheitsanfälligkeit, die zu Folgendem führt: Wenn der Cellebrite-Komplex eine "vorbereitete" Datei auf dem Telefon liest, können die Daten im generierten Bericht ersetzt werden. Und sogar frühere Berichte ändern oder Änderungen an zukünftigen Berichten garantieren. Dies ist ein dicker Hinweis darauf, dass Moxie durch eine Sicherheitsanfälligkeit im Datenparser die vollständige Kontrolle über die Software erlangen konnte. Am Ende der Veröffentlichung berichtet Marlinspike, dass das neueste Update des Signal Messenger eine zusätzliche Datei enthalten wird, die keinerlei Auswirkungen auf die Funktionalität hat. Die Datei ist überhaupt nicht interessant, es wird empfohlen, nicht darauf zu achten. Das heißt, es ist möglich (obwohl dies nicht direkt erwähnt wird), dass die Analyse des Telefons mit dem installierten Signal Messenger die vom Komplex generierten Daten für das Sammeln von Beweisen verderben kann.
Und das ist natürlich eine sehr seltsame Geschichte. Zunächst ist es üblich, Schwachstellen dem Hersteller zu melden, damit diese behoben werden können. Sie zu Ihrem Vorteil zu nutzen, ist das Los der dunklen Seite. Und die Tatsache, dass Sie persönlich Software mit einer Sicherheitslücke aus irgendeinem Grund nicht mögen, ist kein Argument für solche Aktionen. Zweitens, was passiert - ein Exploit wird mit einem legitimen Messenger verteilt? Nehmen wir an, der Signalersteller hat Spaß gemacht. Oder nicht? In jedem Fall ist dies ein interessantes Beispiel für moralischen Druck auf einen ideologischen Gegner, wenn auch völlig außerhalb der Grenzen der normalen Hacker-Ethik. Im Allgemeinen sagt er uns, dass es sich lohnt, über die Sicherheit selbst der Tools nachzudenken, die weit über die Schutzlinien des Unternehmensnetzwerks hinaus verwendet werden. Sie können sich unter bestimmten Umständen als das schwächste Glied herausstellen.
Was ist sonst noch passiert?
Untersuchung von Schwachstellen in Sicherheitssystemen mit einem traurigen Ergebnis: Von Eye Security entdeckte Probleme ermöglichen die Remote-Deaktivierung eines Raums. Mehr als zehntausend Installationen (hauptsächlich in Deutschland) sind betroffen, nur tausend gepatcht.
Das Programm zum Speichern von Passwörtern Passwordstate wurde gehackt , und die Angreifer verteilten Malware unter ihren Benutzern. 29 Tausend Kunden waren betroffen. Das Schema ist klassisch: Der Update-Server wurde kompromittiert, eine geänderte ausführbare Datei wurde über ihn gesendet.
Gefunden und geschlossenTriviale Sicherheitslücke in der Anwendung für das soziale Netzwerk Clubhaus: Die Gründerin von Luta Security, Katie Moussouris (Katie Moussouris), hat einen Weg gefunden, im Raum zu bleiben und für die Moderatoren unsichtbar zu sein, ohne die Möglichkeit eines Verbots. Der Angriff funktionierte für die Sprachchats, zu denen der böswillige Benutzer zuvor zugelassen worden war.
Informationslecks über noch nicht veröffentlichte Apple-Laptops sind normalerweise kein Thema für Nachrichten zur Informationssicherheit. Aber letzte Woche verbreiteten sich solche Daten aufgrund eines Angriffs auf Apples Zulieferer Quanta über das Netzwerk . Die Organisatoren des Angriffs üben Druck auf die betroffene Organisation (oder auf Apple selbst) aus, indem sie einige der gestohlenen Informationen öffentlich zugänglich machen.
Greg Kroah-Hartman, Linux-Kernel-Betreuer blockierte alle Commits von Mitarbeitern der University of Minnesota. Dies geschah nach der Veröffentlichung einer Studie, in der die Autoren (auch Universitätsangestellte) versuchten, wissentlich anfälligen Code in den Linux-Kernel zu pushen und die Fähigkeit zu bewerten, das Vorhandensein von Fehlern festzustellen. Forschungsergebnis (Quelle in PDF ): In 60% der Fälle wurde der Kurvencode akzeptiert.