• Добавить в закладки
  • Facebook
  • Twitter
  • Telegram
  • VK
  • Печать
  • Email
  • Скопировать ссылку
21.01.2021
Василий Парфенов
7
3 449

Уязвимости в мессенджерах Signal, Facebook и Google позволяли видеть собеседника, даже если он не разрешил звонок

4.2

Специалист по кибербезопасности из Google Project Zero Натали Сильванович отчиталась, что ряд сервисов по обмену сообщениями устранили обнаруженные ею уязвимости. В прошлом году она приватно уведомила разработчиков некоторых мессенджеров, включая Signal, Facebook Messenger и Google Duo, о том, что логика работы этих приложений позволяет злоумышленнику шпионить за жертвой.

Уязвимости в мессенджерах Signal, Facebook и Google позволяли видеть собеседника, даже если он не разрешил звонок
Фрагмент картины «Родина слышит!» /©Вася Ложкин

В блоге на сайте команды Google Project Zero Натали Сильванович (Natalie Silvanovich) описала свое исследование безопасности популярных приложений для общения. Работу она провела в 2020 году и, в соответствии с негласным кодексом так называемых белых хакеров, опубликовала результаты после того, как уязвимости устранили.

Натали проанализировала логику работы функций видеосвязи в приложениях Signal, Facebook Messenger, Google Duo, JioChat и Mocha. На такой шаг ее сподвигло не только любопытство, но и ранее приобретенный опыт. Дело в том, что около двух лет назад в функции FaceTime на устройствах Apple обнаружили пренеприятную уязвимость: без ведома жертвы злоумышленник мог захватить картинку с камеры телефона.

Причем дело не во взломе приложения, а в использовании некорректной логики работы самой подсистемы видеосвязи. На уровне обмена пакетами с подтверждением связи инициирующая соединение сторона может подменить разрешение на передачу картинки от целевого пользователя. И проблема в том, что на стороне жертвы программа эту манипуляцию посчитает легитимной, даже без действий пользователя.

Да, у такой схемы есть ограничения. Во-первых, необходимо инициировать звонок и сделать это определенным образом. То есть жертва всегда будет иметь возможность отреагировать. Во-вторых, порция полученных в результате такого шпионажа данных будет весьма ограничена. Картинка-то фиксируется с фронтальной камеры — и не факт, что она смотрит куда нужно злоумышленнику. К тому же жертва увидит звонок и либо примет его, либо сбросит. Иными словами, скрытно можно удостовериться только в том, кто возьмет смартфон в руки, когда тот зазвонит.

Но ситуация все равно неприятная, да и таких сведений иногда может быть достаточно. Натали нашла подобные уязвимости во всех вышеописанных приложениях. Их механизм работы различался от мессенджера к мессенджеру, но принципиально схема оставалась той же. Хорошая новость для любителей Telegram и Viber: они такого изъяна лишены, с их видеозвонками все в порядке. По крайней мере, пока проблем не выявлено.

В Google Duo уязвимость закрыли в декабре прошлого года, в Facebook Messenger — в ноябре, JioChat и Mocha обновились еще летом. А вот раньше всех аналогичную ошибку исправил Signal, еще в сентябре 2019 года, но этот мессенджер и исследовали первым. Таким образом, специалисты по кибербезопасности лишний раз напомнили о необходимости регулярных обновлений установленных приложений. Можно не знать о серьезной проблеме, но разработчики уже ее исправили.

Сильванович отдельно отмечает, что она проанализировала только функцию видеозвонков между двумя пользователями. То есть лишь тот случай, в котором соединение устанавливается между «абонентами» напрямую. В своем отчете она анонсировала следующий этап работы — групповые видеоконференции в популярных мессенджерах.

Нашли опечатку? Выделите фрагмент и нажмите Ctrl + Enter.
Подписывайтесь на нас в Telegram, Яндекс.Новостях и VK
Предстоящие мероприятия
Вчера, 12:36
НИУ ВШЭ

В рамках международного проекта при участии Роскосмоса и Европейского космического агентства ученые впервые проанализировали данные, полученные с помощью диффузионной магнитно-резонансной томографии с трактографией головного мозга космонавтов. Исследователи увидели существенные изменения в связях между различными отделами головного мозга, причем некоторые изменения сохранялись даже спустя семь месяцев после возвращения на Землю.

7 часов назад
Алиса Гаджиева

Новое исследование проливает свет не только на происхождение коренного населения Уругвая, но и на разнообразие путей заселения Южной Америки.

Позавчера, 14:41
Ольга Иванова

Исследование ученых из Германии и США показало, что принятие определенных поз помогает справиться с чувством неуверенности.

14 мая
Василий Парфенов

Космическую компанию Илона Маска в шутку иногда называют пиротехнической — так часто ее изделия взрываются во время испытаний. Пара свежих инцидентов на тестовом полигоне в городе Макгрегор лишь подтверждают эту славу. Не успели фанаты космонавтики наладить онлайн-трансляцию из этой локации, как запечатлели сразу два взрыва подряд с промежутком всего в десятки часов.

13 мая
Алиса Гаджиева

Один из самых археологически изученных ландшафтов в мире до сих преподносит сюрпризы.

Позавчера, 14:41
Ольга Иванова

Исследование ученых из Германии и США показало, что принятие определенных поз помогает справиться с чувством неуверенности.

21 апреля
Александр Березин

Местные чиновники пытаются переложить ответственность за случившееся на резкое уменьшение турпотока из-за коронавируса, но цифры показывают, что ключевая проблема совсем в другом. В 2019 году на выборах в этой стране победил президент — сторонник модных зеленых идей. Вскоре там запретили продажу минеральных удобрений и двинулись к «устойчивому сельскому хозяйству». Как именно популярные «органические» идеи повлияли на еще не так давно быстро растущую местную экономику? И почему уроки шри-ланкийской трагедии могут пригодиться даже Западу и России?

26 апреля
Василий Парфенов

Крупнейшие патентные ведомства мира десятилетиями или веками принципиально игнорируют любые конструкции, нарушающие начала термодинамики. С точки зрения здравого смысла это хорошо, но конспирологи и гении-самоучки считают иначе. По их мнению, такая политика стала результатом заговора (подставьте сюда любое вымышленное или не очень секретное общество либо лобби). Что ж, похоже, Роспатент встал на их сторону.

27 апреля
Александра Медведева

С помощью GPS-трекинга ученые проследили за перемещениями целой популяции домашних кошек в небольшом норвежском городке. Оказалось, питомцы редко уходят от дома далее 50 метров и почти не совершают длительных прогулок.

[miniorange_social_login]

Комментарии

7 Комментариев

-
0
+
Этот зоопарк примерно одинаково косячных и кривых мессенджеров когда-нибудь канет в Лету, как страшный сон. В 5G есть одно новшество, крайне нужное всем, в отличие от всякого прочего хлама, нужного только роботам. Так вот, в 5G функции мессенджера будут встроены прямо в протокол, как сейчас СМС встроены в GSM, так что никакого отдельного приложения для отправки СМС скачивать не надо... Соответственно, никаких меряний ничем проводить не нужно будет. Как будто у нас других дел нету, блин...
-
0
+
Дякую тобі, Боже, що у мене телеграм... Ой, стоп. В телеграме же нет видеосвязи )

Подтвердить?
Подтвердить?
Не получилось опубликовать!

Вы попытались написать запрещенную фразу или вас забанили за частые нарушения.

Понятно
Жалоба отправлена

Мы обязательно проверим комментарий и
при необходимости примем меры.

Спасибо
Аккаунт заблокирован!

Из-за нарушений правил сайта на ваш аккаунт были наложены ограничения. Если это ошибка, напишите нам.

Понятно
Что-то пошло не так!

Наши фильтры обнаружили в ваших действиях признаки накрутки. Отдохните немного и вернитесь к нам позже.

Понятно
Лучшие материалы
Войти
Регистрируясь, вы соглашаетесь с правилами использования сайта и даете согласие на обработку персональных данных.
Ваша заявка получена

Мы скоро изучим заявку и свяжемся с Вами по указанной почте в случае положительного исхода. Спасибо за интерес к проекту.

Понятно
Ваше сообщение получено

Мы скоро прочитаем его и свяжемся с Вами по указанной почте. Спасибо за интерес к проекту.

Понятно

Сообщить об опечатке

Текст, который будет отправлен нашим редакторам: