Сегодня 24 июля 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

В защищённом мессенджере Signal устранили уязвимость, которую разработчики игнорировали шесть лет

Разработчики приложения Signal только сейчас приняли меры для устранения уязвимости в десктопной версии клиента, на которую им указали ещё в 2018 году — в течение шести лет они не считали её проблемой и говорили об отсутствии обязательств делать это.

 Источник изображения: Mika Baumeister / unsplash.com

Источник изображения: Mika Baumeister / unsplash.com

При установке настольного приложения Signal для Windows или macOS создаётся зашифрованная база данных SQLite, в которой хранятся сообщения пользователя. Шифрование этой базы осуществляется при помощи ключа, который генерируется программой без участия пользователя. Чтобы программа могла открывать базу данных и использовать её для хранения переписки, ей необходим доступ к ключу шифрования — он хранится в папке приложения в открытом виде в файле формата JSON. Но если доступ к этому ключу есть у приложения, то сделать это могут любой другой работающий на том же компьютере пользователь или другое приложение — в результате шифрование базы данных оказывается бесполезным, потому что не обеспечивает дополнительной безопасности.

 Источник изображения: x.com/elonmusk

Источник изображения: x.com/elonmusk

Пользователи мессенджера неоднократно сообщали об этом его разработчикам с 2018 года, но ответ был всегда примерно одинаковым: они никогда не утверждали, что обеспечивают безопасность базы данных. В мае этого года на проблему обратил внимание Илон Маск (Elon Musk), который написал в своей соцсети X, что существуют известные уязвимости в Signal, которые не исправляются. Служба проверки фактов на платформе опровергла это заявление, отметив, что надлежащим образом зарегистрированных уязвимостей в мессенджере не обнаружено — этот тезис подтвердила и президент Signal Мередит Уиттакер (Meredith Whittaker).

Ситуация продолжала накаляться, но разрешению проблемы способствовал независимый разработчик Том Плант (Tom Plant), который предложил использовать для защиты хранилища данных Signal средства Electron SafeStorage API. Это позволит перенести ключи шифрования в защищённые местоположения: для Windows это DPAPI, для macOS — «Связка ключей» (Keychain), а для Linux — секретное хранилище текущего оконного менеджера, например, kwallet или gnome-libsecret. Это не совсем безупречное решение, особенно в Windows с DPAPI, но всё-таки дополнительная мера защиты. И два дня назад представитель Signal сообщил, что предложенное решение было интегрировано в мессенджер, и оно уже появится в предстоящей бета-версии клиента. Пока новая реализация тестируется, разработчики Signal сохранили резервный механизм, который позволяет программе расшифровывать базу данных привычным способом.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Стратегия Stormgate от экс-разработчиков Warcraft 3 и StarCraft 2 скоро выйдет из раннего доступа, но полноценным релиз не назовёшь 4 ч.
Трамп представил план тотального внедрения ИИ во все сферы жизни американцев 5 ч.
YouTube добавил ИИ-инструменты для создания роликов Shorts из фото или текста 5 ч.
«Каждый заслуживает постоянный доступ к играм, за которые заплатил»: Owlcat Games поддержала движение Stop Killing Games 6 ч.
В Firefox 141 исправили 18 уязвимостей и добавили сортировку вкладок силами ИИ 6 ч.
Проверенный инсайдер подтвердил дату выхода и цену Battlefield 6 на ПК и консолях, а Electronic Arts показала тизер сюжетной кампании 6 ч.
Блокировка Windows и буфер обмена станут доступны прямо из Android — Microsoft улучшит приложение «Связь с телефоном» 7 ч.
ИИ способны тайно научить друг друга быть злыми и вредными, показало новое исследование 8 ч.
AWS ограничила доступ к среде разработки Kiro с ИИ из-за её чрезмерной популярности 8 ч.
Microsoft тоже посчитала стоимость The Outer Worlds 2 слишком высокой — игра будет продаваться за $70, а не за $80 8 ч.
T-Mobile запустил спутниковую сотовую связь T-Satellite на базе Starlink почти по всем США 3 ч.
Новая статья: Обзор смартфона HUAWEI Pura 80 Ultra: зум, которому нет равных 3 ч.
Курируемый OpenAI ИИ-мегапроект Stargate с трудом продвигается вперёд, но самой OpenAI это не мешает 4 ч.
В России выявили 56 человек с 1,2 млн SIM-карт, которые «используются в какой-то деятельности» 4 ч.
Троянская мышь: производитель игровой периферии Endgame Gear выпустил драйвер с опасным вирусом 4 ч.
Ловкость рук и никакого мошенничества: Meta показала прототип браслета, который позволит управлять ПК с помощью жестов 6 ч.
Apple запустила страховку AppleCare One для трёх устройств за $20 в месяц 7 ч.
iPhone и «основные Android-смартфоны» получат поддержку беспроводной зарядки Qi2 25W, представленной сегодня 7 ч.
Том Конрад, отмывающий репутацию Sonos, стал постоянным генеральным директором компании 8 ч.
Спрос на ленточные накопители продолжает расти: поставки LTO в 2024 году приблизились к 180 Эбайт 9 ч.