华宝娱乐场手机下载·明文存储的Signal Desktop 应用程序消息解密密钥

2019-12-22 20:50:59

来源标题:匿名

华宝娱乐场手机下载·明文存储的Signal Desktop 应用程序消息解密密钥

华宝娱乐场手机下载,更多全球网络安全资讯尽在e安全官网www.easyaq.com

小编来报:逆向工程研究员纳撒尼尔·苏西(nathaniel suchy)发现,signaldesktop应用程序明文储存消息解密密钥,将密钥暴露于黑客攻击之下。

信号桌面应用程序将消息解密密钥以明文方式存储,有可能暴露给攻击者。该问题由逆向工程研究员纳撒尼尔·苏西(nathaniel suchy)发现。

该漏洞可影响signal desktop应用程序加密本地存储消息进程。

signal desktop应用程序利用被称为“db.sqlite”的加密sqlite数据库储存用户信息。该加密数据库的加密密钥由该应用在安装过程产生。

该密钥以明文形式储存在windows pcs本地文件“ %appdata%\ signal\ config.json”,以及mac本地文件“~/ library/ application support/ signal/ config.json”中。

signal desktop应用程序每次访问该数据库都需使用该加密密钥。

signal desktop密钥

据bleeping computer在博客上发布的一条帖子可知:“为说明该问题,bleepingcomputer安装了signaldesktop应用程序,并发送了一些测试消息。如上图所示,首先,我们打开‘config.json’文件获取加密密钥”。

“接下来,我们利用sqlite数据库浏览器程序打开位于 ‘%appdata%\ roaming\ signal\ sql\ db.sqlite’ 的数据库”。

输入密码后,bleeping computer专家们便可读取该数据库内容。

修复该漏洞并不难,用户只需设置一个用于加密该数据库加密密钥的密码即可。

“用户只需设置一个加密该密钥的密码,便可轻松缓解该漏洞”。苏西如是告诉bleeping computer。

2018年8月,意大利网络安全狂热者莱昂纳多·波波拉(leonardoporpora)发现,成功恢复signal版本1.12.3中过期消息并非不可能。