Lek in Signal Desktop kon aanvaller code laten uitvoeren
Een beveiligingslek in de desktopapplicatie van de versleutelde chat-app Signal had aanvallers op afstand code kunnen laten uitvoeren, waardoor gevoelige data kon worden gestolen. Alleen het versturen van een speciaal geprepareerd bericht naar een Signal Desktop-gebruiker was voldoende geweest.
Signal is een chat-app waarmee smartphone-gebruikers end-to-end versleuteld kunnen communiceren. Naast de Signal-app voor smartphones is er Signal Desktop, een applicatie die gebruikers Signal-berichten via hun laptop of desktop laat ontvangen. Alle berichten worden vervolgen gesynchroniseerd met de Signal-app op de smartphone.
Beveiligingsonderzoekers Ivan Ariel Barrera Oro, Alfredo Ortega en Juliano Rizzo ontdekten het probleem bij toeval toen ze een link met cross-site scripting (XSS) op een andere website via Signal Desktop uitwisselden. De desktopapplicatie bleek niet goed met de link om te gaan. Content Security Policy (CSP) zorgde er echter voor dat de scripts die via de kwaadaardige link werden aangeroepen niet werkten. Door de url binnen een iframe te verwerken was het echter wel mogelijk om dit te doen, zelfs het laden van code vanaf een SMB-share werkte.
"Het belangrijke is dat het geen interactie van het slachtoffer vereist, anders dan een gesprek te starten. Iedereen kan binnen Signal een gesprek starten, dus een aanvaller hoefde alleen een speciaal geprepareerde url te versturen om zonder verdere interactie het slachtoffer te hacken. En het is platformonafhankelijk", aldus de onderzoekers. Signal werd op 10 mei over de kwetsbaarheid ingelicht en een dag later was er een update beschikbaar. Gisteren maakten de onderzoekers details over het lek bekend.
Je moet in dat geval met jouw nummer nog nooit iemand gebeld, ge sms't enz hebben of altijd met nummer afscherming werken. Je ontkomt er bijna niet aan dat iemand jouw nummer in zijn/haar telefoonboek heeft helaas.
Signal begon me toch al te irriteren met vertraagd afgeleverde berichten c.q. meldingen. Voor threema moet je betalen, dat wil ik wel maar kan ik niet verlangen van de tegenpartij.
Ja man! Volkswagen maakt sjoemeldiesels. Volkswagens staan vaak in dezelfde straat als Renaults. Dus Renault maakt sjoemeldiesels...?
Als je je wachtwoord op een briefje op je voordeur hangt, heeft het wachtwoord ook weinig zin. Houdt dat in dat wachtwoorden per definitie waardeloos zijn ?
Dat is toch ook zo als je geen Signal hebt. Hoezo is Signal dan waardeloos qua privacy? Iedereen die facebook heeft met contacten die geen facebook hebben is dan bekend bij facebook.
Als je je telfoonnummer gebruikt zal deze bij iemand opgeslagen worden hieraan valt niet te ontkomen tenzij je bij iedereen die belt dit gaat controleren
Grappig dat je dat noemt - ben erg benieuwd naar de app die je aanbeveelt en waarom. Bits of Freedom geeft Signal eigenlijk de meeste punten als het om het versturen van berichten gaat (https://toolbox.bof.nl/playlist/prive-mobiel/4/). Maar 't kan natuurlijk zijn dat jij iets hebt gevonden dat BoF over het hoofd zag, dus ik houd me aanbevolen...
Grappig dat je dat noemt - ben erg benieuwd naar de app die je aanbeveelt en waarom. Bits of Freedom geeft Signal eigenlijk de meeste punten als het om het versturen van berichten gaat (https://toolbox.bof.nl/playlist/prive-mobiel/4/). Maar 't kan natuurlijk zijn dat jij iets hebt gevonden dat BoF over het hoofd zag, dus ik houd me aanbevolen...
15:27: Het lijkt er op dat ik het niet goed heb verwoord. Wat ik bedoelde is dat een applicatie valt of staat bij het aantal gebruikers. De applicaties die privacy 100% waarborgen (in hoeverre dat kan) zijn niet bepaald populair bij het 'normale' publiek. Als jij van je vriendengroep de enige bent die applicatie X gebruikt; want die waarborgt jouw privacy. Dan word je gezien als de stakker van de groep die per se iets anders moet gebruiken en waarschijnlijk eindigt het in een zinloze discussie dat het allemaal niet zoveel uit maakt.
Zelf maak ik ook gebruik van Signal. Het feit dat zij mijn nummer hebben, daar kan ik mee leven zolang zij de berichten verder niet analyseren. Maar van al mijn contacten (79) zijn er slechts drie die Signal gebruiken.
https://www.privacytools.io/#im
Grappig dat je dat noemt - ben erg benieuwd naar de app die je aanbeveelt en waarom. Bits of Freedom geeft Signal eigenlijk de meeste punten als het om het versturen van berichten gaat (https://toolbox.bof.nl/playlist/prive-mobiel/4/). Maar 't kan natuurlijk zijn dat jij iets hebt gevonden dat BoF over het hoofd zag, dus ik houd me aanbevolen...
Grappig dat je dat noemt - ben erg benieuwd naar de app die je aanbeveelt en waarom. Bits of Freedom geeft Signal eigenlijk de meeste punten als het om het versturen van berichten gaat (https://toolbox.bof.nl/playlist/prive-mobiel/4/). Maar 't kan natuurlijk zijn dat jij iets hebt gevonden dat BoF over het hoofd zag, dus ik houd me aanbevolen...
15:27: Het lijkt er op dat ik het niet goed heb verwoord. Wat ik bedoelde is dat een applicatie valt of staat bij het aantal gebruikers. De applicaties die privacy 100% waarborgen (in hoeverre dat kan) zijn niet bepaald populair bij het 'normale' publiek. Als jij van je vriendengroep de enige bent die applicatie X gebruikt; want die waarborgt jouw privacy. Dan word je gezien als de stakker van de groep die per se iets anders moet gebruiken en waarschijnlijk eindigt het in een zinloze discussie dat het allemaal niet zoveel uit maakt.
Zelf maak ik ook gebruik van Signal. Het feit dat zij mijn nummer hebben, daar kan ik mee leven zolang zij de berichten verder niet analyseren. Maar van al mijn contacten (79) zijn er slechts drie die Signal gebruiken.
https://www.privacytools.io/#im
Dat is een kwestie van beter overtuigen. Iedereen die voor mij van waarde is zit op Signal. Voorwaarde is dat ze mij ook van waarde vinden. Los daarvan was de boodschap dat je Signal prima naast WhatsApp kunt draaien en dat ze daarmee zelf bijdragen aan de oplossing een vruchtbare. Veel mensen installeren alles dat los en vast zit, dus wasrom niet Signal?
Verder overigens nooit last van trage aflevering. Ik hoor zlfs mvan mensen die bijde hebben dat Signal soms beter werkt dan WhatsApp....
Grappig dat je dat noemt - ben erg benieuwd naar de app die je aanbeveelt en waarom. Bits of Freedom geeft Signal eigenlijk de meeste punten als het om het versturen van berichten gaat (https://toolbox.bof.nl/playlist/prive-mobiel/4/). Maar 't kan natuurlijk zijn dat jij iets hebt gevonden dat BoF over het hoofd zag, dus ik houd me aanbevolen...
15:27: Het lijkt er op dat ik het niet goed heb verwoord. Wat ik bedoelde is dat een applicatie valt of staat bij het aantal gebruikers. De applicaties die privacy 100% waarborgen (in hoeverre dat kan) zijn niet bepaald populair bij het 'normale' publiek. Als jij van je vriendengroep de enige bent die applicatie X gebruikt; want die waarborgt jouw privacy. Dan word je gezien als de stakker van de groep die per se iets anders moet gebruiken en waarschijnlijk eindigt het in een zinloze discussie dat het allemaal niet zoveel uit maakt.
Zelf maak ik ook gebruik van Signal. Het feit dat zij mijn nummer hebben, daar kan ik mee leven zolang zij de berichten verder niet analyseren. Maar van al mijn contacten (79) zijn er slechts drie die Signal gebruiken.
https://www.privacytools.io/#im
Dat is een kwestie van beter overtuigen. Iedereen die voor mij van waarde is zit op Signal. Voorwaarde is dat ze mij ook van waarde vinden. Los daarvan was de boodschap dat je Signal prima naast WhatsApp kunt draaien en dat ze daarmee zelf bijdragen aan de oplossing een vruchtbare. Veel mensen installeren alles dat los en vast zit, dus wasrom niet Signal?
Verder overigens nooit last van trage aflevering. Ik hoor zlfs mvan mensen die bijde hebben dat Signal soms beter werkt dan WhatsApp....
Ik heb helaas andere ervaringen. Ik heb WhatsApp twee jaar lang niet gebruikt en uitsluitend met Signal gewerkt. Dat ging lang goed maar de laatste maanden kwam er steeds vaker vertraging in het afleveren van berichten tot soms wel een kwartier, andere dagen ging het weer vlekkeloos. Ik heb drie verschillende telefoons geprobeerd met zowel 4G als Wifi maar dat alles maakte geen verschil. Ook de nieuwste telefoon met snelle octacore processor en Android One (8.1) hielp niet om het op te lossen. Ook nog tips van Open Whisper Systems geprobeerd zoals accu optimalisatie uitzetten voor Signal enz. Hielp ook niks.
Daarom ben ik met frisse tegenzin terug gegaan naar WhatsApp zonder ook maar iets aan te passen als accu optimalisatie etc. en ik moet zeggen dat WhatsApp echt zo snel als een raket is. Facebook weet nu mijn voornaam en met wie ik communiceer, niet leuk maar het moet wel gewoon in het dagelijks gebruik werkbaar zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
