Po to, kai mobiliųjų telefonų įsilaužėlių kompanija „Cellebrite“ pasakė, kad taip yra Atradau būdą Norėdami pasiekti saugią pranešimų siuntimo programą „Signal“, „Signal“ sakė prof. Tinklaraščio straipsnis Jis pasuko stalus. Programų kūrėja Moxie Marlinspike teigė, kad jo komanda įsigijo įsilaužimų rinkinį iš „Cellebrite“ ir atrado keletą pažeidžiamumų. Tada jis nurodė, kad „Signal“ atnaujins programą, kad sužlugdytų bet kokius teisėsaugos bandymus į ją įsiskverbti.

„Cellebrite“ parduoda „duomenų analizatorių“ grupę, vadinamą UFED, leidžiančią teisėsaugai įsiskverbti į „iOS“ ar „Android“ telefonus ir išgauti pranešimų žurnalus, skambučių žurnalus, nuotraukas ir kitus duomenis. Tai buvo populiariausia FTB programa Atrakinkite „iPhone“ Iš San Bernardino šaulio 2016–2017 m., Pranešama, kad už programėles sumokėjo iki 900 000 USD.

Marlinspike’ui pavyko gauti „Cellebrite UFED“ su programinės ir aparatinės įrangos raktu, juokaudamas, kad ji nukrito nuo sunkvežimio, kai jis išėjo pasivaikščioti. (Senesnėse įrenginių versijose yra Pasirodė „eBay“ Ir kitos praeities svetainės.)

Jis nurodė, kad „Apple iTunes“ naudojo keletą senų ir senų DLL, įskaitant 2012 m. „FFmpeg“ ir „MSI Windows“ diegimo paketų versiją. „Žvelgdami ir į UFED, ir į fizinį analizatorių, mes nustebome, kad pasirodė, kad„ Cellebrite “rūpinasi tiek mažai. Ypač Programinės įrangos saugumas “, – rašė jis.

„Signal“ komanda nustatė, kad įtraukę „specialiai suformatuotus, bet nekenksmingus failus į bet kurią įrenginio programą“, nuskaitytą „Cellebrite“, jie gali paleisti kodą, kuris modifikuoja UFED ataskaitą. Pavyzdžiui, jis gali įterpti arba pašalinti tekstą, el. Paštą, paveikslėlius, kontaktus ir kitus duomenis, nepalikdamas jokių klastojimo pėdsakų.

„Twitter“ tinkle (aukščiau) „Signal“ parodė, kad įsilaužimas veikia, o UFED analizuoja suformatuotą failą, kad paleistų kodą ir rodytų gerybinį pranešimą. Tačiau bendrovė teigė, kad „tikroji išnaudojimo apkrova greičiausiai padės nepastebimai pakeisti praeities ataskaitas, pakenkti būsimų ataskaitų vientisumui ar pavogti duomenis iš„ Cellebrite “mašinos“. Tada „Marlinspike“ nurodė, kad gali įdiegti tokį kodą „Signal“ įrenginyje, kad sutrukdytų būsimiems teisėsaugos bandymams išgauti „Cellebrite“.

„Signal“ paskelbė išsamią informaciją apie tariamą „Cellebrite“ pažeidžiamumą, neįspėdama bendrovės, tačiau teigė, kad tai pakeis kursą, jei „Cellebrite“ atsilieps. „Mes, žinoma, esame pasirengę atsakingai atskleisti apie” Cellebrite „žinomus trūkumus, jei jie tą patį daro su visais pažeidimais, kuriuos naudoja fiziniams gavybos ir kitoms paslaugoms, savo pardavėjams dabar ir ateityje.”

– pasakė Silbraitas „Ars Technica“ Ji yra „įsipareigojusi saugoti klientų duomenų vientisumą, ir mes nuolat tikriname ir atnaujiname savo programinę įrangą, kad klientams galėtume suteikti geriausius prieinamus skaitmeninės intelekto sprendimus“. „Signal“ pretenzijos turėtų būti vertinamos skeptiškai, nematant išsamesnės informacijos apie pažeidimą, taip pat kitų saugumo ekspertų patvirtinimo.

Visus produktus, kuriuos rekomenduoja „Engadget“, renka mūsų redakcija, nepriklausomai nuo patronuojančios įmonės. Kai kuriose mūsų istorijose yra partnerių nuorodų. Jei ką nors perkate naudodamiesi viena iš šių nuorodų, mes galime uždirbti filialo komisiją.