هاكر يخترق تطبيق المراسلة الآمن الجديد من قبل الحكومة الفرنسية

اكتشف أحد الهاكرزطريقة للتسلل إلى تطبيق الرسائل المشفرة الذي تم إطلاقه مؤخرًا من قبل الحكومة الفرنسية والذي لا يمكن الوصول إليه إلا من ...

اكتشف أحد الهاكرزطريقة للتسلل إلى تطبيق الرسائل المشفرة الذي تم إطلاقه مؤخرًا من قبل الحكومة الفرنسية والذي لا يمكن الوصول إليه إلا من قبل المسؤولين والسياسيين الذين لديهم حسابات بريد إلكتروني مرتبطة بهويات الحكومة, أطلق على التطبيق اسم "Tchap" ، وهو تطبيق مشفر ومفتوح المصدر للرسائل مفتوحة المصدر بهدف إبقاء بيانات المسؤولين والبرلمانيين والوزراء على الخوادم داخل الدولة بسبب المخاوف من إمكانية استخدام الوكالات الأجنبية لخدمات أخرى للتجسس على اتصالاتهم.

تم تصميم تطبيق Tchap باستخدام برنامج Riot client ، وهو برنامج مراسلة فورية مفتوح المصدر يقوم بتطبيق بروتوكول Matrix الذاتي الاستضافة للاتصال المشفر من طرف إلى طرف.

نعم ، إنها نفس "Riot و Matrix" التي كانت موجودة في الأخبار في وقت سابق من هذا الأسبوع بعد اختراق أحد المتطفلين غير المعروفين لخوادمه وسرقة الرسائل الخاصة غير المشفرة بنجاح ، وتجزئة كلمات المرور ، ورموز الوصول ، ومفاتيح GPG التي استخدمها مشرفو المشروع لتوقيع الحزم.

كان الهجوم السيبراني على Matrix خطيرًا لدرجة أنه أجبر مشرفيه في نهاية المطاف على إغلاق البنية التحتية للإنتاج بأكملها للخدمة لعدة ساعات وتسجيل جميع المستخدمين من Matrix.org.

على الرغم من أن تطبيق Tchap متاح على متجر Google Play ويمكن تنزيله بواسطة أي شخص ، إلا أن المستخدمين الذين لديهم حساب بريد إلكتروني صادر عن الحكومة ، على سبيل المثال ، @ gouv.fr أو @ elysee.fr ، هم الوحيدون الذين يمكنهم الاشتراك و الوصول إليه ,ومع ذلك ، وجد روبرت باتيست ، باحث الأمن الفرنسي المعروف باسمه على تويتر Elliot Alderson ، ثغرة أمنية قد تسمح لأي شخص بالتسجيل في حساب مع تطبيق Tchap والوصول إلى المجموعات والقنوات دون الحاجة إلى عنوان بريد إلكتروني رسمي.

في أحد التدوينات المنشورة ، أوضح روبرت كيف أنه كان قادرًا على إنشاء حساب مع الخدمة باستخدام معرف بريد إلكتروني منتظم عن طريق استغلال خلل محتمل في التحقق من صحة البريد الإلكتروني في تطبيق Android الخاص بـ Tchap , فلقد عدل البريد الإلكتروني إلى fs0c131y @ protonmail.com @ presidence @ elysee.fr. Bingo! وقد تلقى رسالة بريد إلكتروني من Tchap ، وكانت قادراً على التحقق من صحة حسابه يقول روبرت "لقد قمت بتسجيل الدخول كموظف في Elysée ، وتمكنت من الوصول إلى الغرف العامة.
"
قام روبرت بإخطار فريق ماتريكس بالنتائج التي توصل إليها ، والذي أصدر تحديثًا سريعًا لإصلاح المشكلة ، والتي وفقًا للفريق ، كانت محددة فقط لنشر مصفوفة DINSIC.