كورس اللغة الانجليزية في جامعة بانجور

عذرًا ادوارد سنودن.. تطبيق الدردشة المفضل لديك قابل للاختراق أيضًا

أراجيك تك 0 تعليق ارسل طباعة تبليغ حذف

يميل العديد من الأشخاص لاستخدام تطبيق سيجنال المجاني نظراً لأنه يتيح تشفير كافة البيانات أثناء إرسال الرسائل النصية والصور ومقاطع الفيديو وإجراء المكالمات الهاتفية ويوفر الخصوصية ويحافظ على أمن مستخدميه بحيث تبقى البيانات فقط بين المرسل والمتلقي. فإن كنت منهم فهل تعتقد أنّك بمنأى عن التعرض للتجسس؟ الجواب هو لا وإليك السبب:

اكتشف فريق lلقبعات البيضاء -وهو عبارة عن مجموعة من الباحثين المتخصصين في قرصنة الانترنت ومقرها الأرجنتين – ثغرتين في تطبيق سيجنال للدردرشة (CVE-2018-10994 و CVE-2018-11101) تمكّن قراصنة الانترنت من اختراق تطبيق سيجنال المتاح على أجهزة الحاسب التي تستخدم نظامي التشغيل windows و Linux وذلك بغية التجسس على مستخدميه. فما هي آليّة عمل كلّاً من هاتين الثغرتين؟

آليّة عمل CVE-2018-10994

اكتشفت هذه الثغرة عن طريق الصدفة عندما قام أحدهم وذلك أثناء استخدام تطبيق سيجنال بمشاركة رابط لموقع يحتوي على XSS في لاحقته وهو موقع يتيح لقراصنة الانترنت إدخال رمز الكتروني إلى تطبيقات الانترنت القابلة للاختراق على أجهزة الحاسب. وبعد إجراء العديد من التجارب توصل فريق الباحثين إلى أنّ الثغرة تكمن في الخاصية التي تتعامل مع الروابط وتسمح للقراصنة بإدخال كود HTML/JavaScript المعرفة من قبل المستخدم إلى تطبيق سيجنال عند إرسال ملفات صورة أو فيديو أو أوديو عبر التطبيق على أجهزة الحاسب.

ثغرة XSS

ثغرة XSS

وإن كنت تتسائل عن مخاطر CVE-2018-10994 فهي:

يمكن لهذه الثغرة أن تسمح لقراضنة الانترنت بإدخال رمز الكتروني عن بعد إلى تطبيق سيجنال على حواسب المستخدمين وذلك فقط عبر إرسال رابط لهم، والخطر يكمن في أنّ الرمز يمكن إدخاله إلى التطبيق دون التفاعل من قبل المتلقي، فلا حاجة له لفتح الرابط أو الضغط على أي مفتاح. ويمكن أن تتخذ هذه الهجمة الالكترونية طابعاً اجتماعياً حيث يطلب المتسللون من مستخدمي التطبيق ملء صيغة تظهر عند فتح نافذة الدردشة بهدف خداعهم والحصول على بياناتهم الخاصة وتوقعوا أيضاً أن هذه الثغرة يمكن أن تسمح لهم أيضاً بتعطيل أوامر نظام الحاسب أو الحصول على معلومات هامة تمكنهم من فك الشيفرة.

آلية عمل CVE-2018-1110

وفي أقل من مرور إسبوع على اكتشاف الثغرة الأولى، اكتشف فريق الباحثين ذاته ثغرة ثانية في تطبيق سيجنال تؤثر في الخاصية التي تفعّل الرسائل المقتبسة أي عندما تقتبس رسالة أحدهم بهدف الرد عليها. فكل ما على المتسلل فعله هو إرسال رسالة تحوي كود HTML/javascript للضحية ومن ثم يقتبس أو يرد على نفس الرسالة بأي رد فيقوم باختراق التطبيق!!

فماذا عن مخاطر CVE-2018-1110:

مخاطر هذه الثغرة شبيهة لمخاطر الثغرة التي تم اكتشافها مسبقاً حيث تسمح للقراصنة بإدخال كود ضار إلى تطبيق سيجنال على حواسب المستخدمين وذلك فقط عبر إرسال رسالة لهم وأيضاً دون طلب التفاعل من قبل المتلقي فلا حاجة له لفتح الرسالة أو الضغط على أي مفتاح. وهذه الثغرة تسمح للمتسللين بسرقة محتوى دردشاتك وتمكنهم من سرقة كلمات المرور أيضاً وبالتالي اختراق أو تعطيل نظام تشغيل الحاسب.

كيف تتجنب تلك المخاطر؟

CVE-2018-10994: قام مطوروا سيجنال بسد الثغرة على الفور. ققد وجدوا أنّ طريقة سد هذه الثغرة هي خاصية regex لتفعيل روابط الانترنت والتي كانت متوفرة في النسخ السابقة لتطبيقات سيجنال للحواسيب ولكن كان قد تم تجاهلها أو حذفها بطريقة ما في تحديث سيجنال الذي تم إطلاقه في العاشر من نيسان/إبريل هذا العام. ولذلك إن كنت من مستخدمي تطبيق سيجنال فاحرص على تحديث التطبيق باستمرار وحصولك على آخر تحديث لاحتوائه على خاصية regex.

CVE-2018-11101: تم تجاوز هذه الثغرة أيضاً من خلال إطلاق نسخة سيجنال 1.11.0 للحاسب وذلك لمستخدمي أنظمة التشغيل Windows وLinux وmacOS. وبما أنّه يتم تحديث تطبيق سيجنال تلقائياً على الحاسب عند الاتصال بشبكة الانترنت فلذلك إن كنت من مستخدمي تطبيق سيجنال لا داع للقلق فلابد أنك حصلت على آخر تحديث للتطبيق.

حتى رغم توصية إدوارد سنودن به بفعل الأمان العالي… إلا أنه بالفعل لا يوجد شيء منيع ضد الاختراق هذه الأيام!!

المصدر الاصلي: أراجيك تك

أخبار ذات صلة

0 تعليق