شرکت پروتون (Proton) باگی در اپلیکیشن جدید احراز هویت (Authenticator) خود برای iOS را برطرف کرد که رمزهای حساس TOTP کاربران را به صورت متن ساده در لاگ‌ها ثبت می‌کرد و در صورت اشتراک‌گذاری این لاگ‌ها، کدهای احراز هویت چندعاملی (multi-factor authentication) را در معرض خطر قرار می‌داد. این مشکل زمانی کشف شد که کاربری در ردیت گزارش داد که نیمی از ورودی‌های احراز هویت دوعاملی او ناپدید شده و هنگام بررسی فایل لاگ برای گزارش باگ، متوجه شد که رمزهای TOTP کامل به صورت متن ساده در لاگ‌ها ذخیره شده‌اند.
پروتون تأیید کرد که این باگ در نسخه ۱.۱.۱ که حدود ۷ ساعت پیش در اپ استور منتشر شد، برطرف شده است. شرکت تأکید کرد که رمزها هرگز به صورت متن ساده به سرور ارسال نمی‌شوند و تمام همگام‌سازی‌ها با رمزنگاری سرتاسری (end-to-end encryption) انجام می‌شود، و لاگ‌ها تنها محلی هستند. با این حال، نگرانی اصلی این بود که اگر این لاگ‌ها برای تشخیص مشکلات به اشتراک گذاشته شوند، رمزهای حساس TOTP نیز در اختیار اشخاص ثالث قرار خواهد گرفت که می‌توانند آن‌ها را در اپلیکیشن‌های احراز هویت دیگر وارد کنند.
کلمات کلیدی : پروتون, احراز هویت, TOTP, باگ امنیتی, رمزنگاری, اپلیکیشن iOS
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.