Signal stopt met plain text opslag encryptiesleutel desktopapplicatie
Signal gaat stoppen met de plain text opslag van de encryptiesleutel waar de desktopapplicatie gebruik van maakt. Deze applicatie slaat berichten van de gebruiker lokaal op in een versleutelde database. De encryptiesleutel voor deze database wordt plain text opgeslagen in een locatie waar die voor elk proces, app of gebruiker toegankelijk is, zo waarschuwden onderzoekers Talal Haj Bakry en Tommy Mysk vorige week op X.
Het probleem is al sinds 2018 bekend. Vorige en deze week ontstond er op X een discussie, waarin Signal-president Meredith Whittaker het 'geklets' over de desktopapplicatie hekelde. Eerder had ook Elon Musk gesteld dat er kwetsbaarheden in Signal aanwezig zijn die niet worden verholpen. Eén van de Signal-ontwikkelaars laat nu op GitHub weten dat de desktopapplicatie gaat werken met 'encrypted/keystore-backed local database encryption keys'.
De ontwikkelaar merkt op dat dit een grote aanpassing betreft die goed getest moet worden. Voorlopig zal de desktopapplicatie dan ook de huidige plain text opgeslagen encryptiesleutel blijven gebruiken als fallback. Zodra blijkt dat alles goed werkt zal deze sleutel op termijn worden verwijderd.
Reacties (21)
12-07-2024, 10:08 door
Anoniem
We leven in 2024, hoezo encryptie sleutels opslaan in plain text.
Onbegrijpelijk
Onbegrijpelijk
12-07-2024, 10:21 door
Anoniem
Goed is het niet, een onversleutelde sleutel.
Echter, als je bij de sleutel kunt kun je ook bij de berichten want die staan op dezelfde computer.
Echter, als je bij de sleutel kunt kun je ook bij de berichten want die staan op dezelfde computer.
12-07-2024, 10:28 door
Anoniem
bro plain text? wild
12-07-2024, 10:39 door
Anoniem
Door Anoniem: We leven in 2024, hoezo encryptie sleutels opslaan in plain text.
Onbegrijpelijk
Zolang je nog niet weet hoe je het goed doet, is het beter het niet te doen. Het zou maar een vals gevoel van veiligheid geven.Onbegrijpelijk
Daarbij, wanneer een ander programma met de sleutel aan de haal gaat moet je misschien even nadenken over hoe dat programma op de computer terecht kwam. Lukraak software installeren is ook niet echt 2024.
12-07-2024, 11:23 door
Briolet
Inderdaad onbegrijpelijk. De mac heeft al heel lang een simpele api waarmee apps data kunnen opslaan in de wachtwoord manager. Deze data is dan alleen toegankelijk voor deze app.
Op zijn minst de MacOS versie had al lang deze optie moeten gebruiken want programma-technisch is dit een heel kleine aanpassing aan de bestaande code.
Op zijn minst de MacOS versie had al lang deze optie moeten gebruiken want programma-technisch is dit een heel kleine aanpassing aan de bestaande code.
12-07-2024, 11:26 door
Anoniem
Ik zou gewoon GNU+Linux gebruiken, één van de weinige besturingsystemen waarvan de meeste distributies full disk encryption toestaan zonder deze naar een externe provider te sturen zoals men in Windows een account moet aanmaken om Bitlocker te kunnen gebruiken. (Microsoft heeft uw sleutels)
Mint LMDE is erg goed. (Debian-gebaseerde Mint)
Daarnaast zitten er geen ads in, heeft men meer privacy en het is software met vrije licentie.
Ik kan het iedereen aanraden.
Wat Signal betreft is het nog steeds niet ideaal aangezien hackers zichzelf eventueel toegang kunnen verschaffen tot deze platte tekst via het internet zolang de machine aanstaat.
Mint LMDE is erg goed. (Debian-gebaseerde Mint)
Daarnaast zitten er geen ads in, heeft men meer privacy en het is software met vrije licentie.
Ik kan het iedereen aanraden.
Wat Signal betreft is het nog steeds niet ideaal aangezien hackers zichzelf eventueel toegang kunnen verschaffen tot deze platte tekst via het internet zolang de machine aanstaat.
12-07-2024, 11:33 door
Anoniem
Ze hebben de versleuteling van database ook uit de mobiele app gesloopt, dat zat er eerst ook in, nu niet meer, ze wouden blijkbaar een achterdeurtje tot uw tekst of iets dergelijks...
Molly (FOSS Signal fork) lost dat probleem goed op door het weer toe te voegen.
Bron:
https://molly.im/
Deze app is compatible met al uw contacten die Signal gebruiken maar voegt oa. een TOR-verbinding toe (kijk daarmee uit aangezien men nog steeds een telefoonnummer als identifyer gebruikt) en RAM-shredding.
Molly (FOSS Signal fork) lost dat probleem goed op door het weer toe te voegen.
Bron:
https://molly.im/
Deze app is compatible met al uw contacten die Signal gebruiken maar voegt oa. een TOR-verbinding toe (kijk daarmee uit aangezien men nog steeds een telefoonnummer als identifyer gebruikt) en RAM-shredding.
12-07-2024, 11:40 door
Anoniem
Door Briolet: Inderdaad onbegrijpelijk. De mac heeft al heel lang een simpele api waarmee apps data kunnen opslaan in de wachtwoord manager. Deze data is dan alleen toegankelijk voor deze app.
Op zijn minst de MacOS versie had al lang deze optie moeten gebruiken want programma-technisch is dit een heel kleine aanpassing aan de bestaande code.
Op zijn minst de MacOS versie had al lang deze optie moeten gebruiken want programma-technisch is dit een heel kleine aanpassing aan de bestaande code.
Signal desktop is een ingepakte webapplicatie. Het framework dat ze gebruiken moet dan deze functies leveren. Het zwakste OS is de beperking. Of ze moeten zelf OS-specifieke oplossingen maken.
12-07-2024, 12:18 door
Anoniem
Neem gewoon lekker SimpleX, dit is FLOSS, decentraal en gebruikt geen identifyers.
En anders Briar messenger+Briar mailbox (resistent tegen chatcontrol, het trojaanse paradepaard van overheden)
En anders Briar messenger+Briar mailbox (resistent tegen chatcontrol, het trojaanse paradepaard van overheden)
12-07-2024, 12:40 door
Anoniem
En waar wordt de sleutel opgeslagen? Je hebt altijd de uitdaging met secret 0 om die veilig om te slaan. Dit lijkt me op de desktop alleen te kunnen in een TPM of hardware token.
Door Anoniem:Signal desktop is een ingepakte webapplicatie. Het framework dat ze gebruiken moet dan deze functies leveren. Het zwakste OS is de beperking. Of ze moeten zelf OS-specifieke oplossingen maken.
Dat laatste bedoel ik dus. Dat is volgens mij een kleine moeite. Ik heb jaren lang aan een programeer project gewerkt dat voor Mac/Windows/Linux gecompileerd werd. 99% van de code was gelijk en de OS specifieke code stond dan op aparte files voor de diverse OS-en.
In de hoofdcode roep je dan de functie "sla_encription_key_op" aan. En die functie staat dan op de drie verschillende OS specifieke pagina. De compiler zorgt er dan voor dat de goede file gecompileerd wordt met de OS specifieke functies. Zo'n OS specifieke pagina zul je toch altijd moeten hebben om een Mac of Windows gebruiker het gevoel te geven dat het een Mac of Windows applicatie is.
12-07-2024, 13:23 door
Anoniem
Door Briolet:
Dat laatste bedoel ik dus. Dat is volgens mij een kleine moeite. Ik heb jaren lang aan een programeer project gewerkt dat voor Mac/Windows/Linux gecompileerd werd. 99% van de code was gelijk en de OS specifieke code stond dan op aparte files voor de diverse OS-en.
In de hoofdcode roep je dan de functie "sla_encription_key_op" aan. En die functie staat dan op de drie verschillende OS specifieke pagina. De compiler zorgt er dan voor dat de goede file gecompileerd wordt met de OS specifieke functies. Zo'n OS specifieke pagina zul je toch altijd moeten hebben om een Mac of Windows gebruiker het gevoel te geven dat het een Mac of Windows applicatie is.
Door Anoniem:Signal desktop is een ingepakte webapplicatie. Het framework dat ze gebruiken moet dan deze functies leveren. Het zwakste OS is de beperking. Of ze moeten zelf OS-specifieke oplossingen maken.
Dat laatste bedoel ik dus. Dat is volgens mij een kleine moeite. Ik heb jaren lang aan een programeer project gewerkt dat voor Mac/Windows/Linux gecompileerd werd. 99% van de code was gelijk en de OS specifieke code stond dan op aparte files voor de diverse OS-en.
In de hoofdcode roep je dan de functie "sla_encription_key_op" aan. En die functie staat dan op de drie verschillende OS specifieke pagina. De compiler zorgt er dan voor dat de goede file gecompileerd wordt met de OS specifieke functies. Zo'n OS specifieke pagina zul je toch altijd moeten hebben om een Mac of Windows gebruiker het gevoel te geven dat het een Mac of Windows applicatie is.
WEBapplicatie. Ingepakt in zoiets als https://www.electronjs.org. Daar moet die functie dan in zitten. Toegang tot OS is beperkt.
12-07-2024, 13:58 door
Anoniem
Door Anoniem: We leven in 2024, hoezo encryptie sleutels opslaan in plain text.
Onbegrijpelijk
Al vanaf 2006 is gewaarschuwd om de encryptiesleutel zelf ook te versleutelen. Dit is echt niet nieuw.Onbegrijpelijk
12-07-2024, 14:17 door
Anoniem
Door Anoniem:
Door Anoniem: We leven in 2024, hoezo encryptie sleutels opslaan in plain text.
Onbegrijpelijk
Al vanaf 2006 is gewaarschuwd om de encryptiesleutel zelf ook te versleutelen. Dit is echt niet nieuw.Onbegrijpelijk
En niemand die verteld heeft hoe.
Met een vaste sleutel in de binary? Zinloos.
Sleutel per installatie? En waar is die dan opgeslagen en hoe?
Kortom, klinkt leuk, maar is niet zo eenvoudig.
In zo'n geval kan je het beter niet doen.
Dan geef je ook geen vals gevoel van veiligheid.
Door Anoniem:
WEBapplicatie. Ingepakt in zoiets als https://www.electronjs.org. Daar moet die functie dan in zitten. Toegang tot OS is beperkt.
WEBapplicatie. Ingepakt in zoiets als https://www.electronjs.org. Daar moet die functie dan in zitten. Toegang tot OS is beperkt.
Ik heb geen idee hoe dat werkt, maar uit jou reactie maak ik op dat je dan niet beschikt over de sourcecode van de applicatie zelf, maar er alleen een module aan kunt toevoegen.
Ik heb bij Signal wel eens geklaagd over hun onveilige update procedure. Je kon geen update vanuit de app starten. Hun update procedure startte gewoon uit het niets met een popup venster met de vraag om het administrator wachtwoord in te tikken. Dat gebeurde meestal als Signal niet eens gebruikt werd en al gesloten was. Elk mallware programma dat op je PC draait kan zo'n window opzetten. Waarschijnlijk was dit dan ook niet onder het beheer van Signal, maar een functie van de (onveilige) WEBapplicatie.
Maar ook al kan Signal dit dan niet zelf aanpassen, ze hadden dan de makers van de webapplicatie moeten vragen om ook een secure opslag via een OS functie te ondersteunen. Ik neem aan dat alle gebruikers van zo'n WEBaplicatie dit goed kunnen gebruiken. Ik gok dat Windows en Linux een vergelijkbare toegang als de Mac tot een encrypted opslag bieden.
12-07-2024, 21:53 door
Anoniem
Door Anoniem: , ze wouden blijkbaar een achterdeurtje tot uw tekst of iets dergelijks....
Wat een onzinnige insinuatie... Als je zulke dingen zegt heb je geen flauw benul wat Signal is en waar ze voor staan. Tip, Google eens op hoe ze zich afzetten tegen chat control in de EU. Als non-profit organisatie komen ze op voor jouw rechten en privacy, juist zeer fel tegen achterdeuren en client side scanning e.d.. Signal is meer dan een app.
En bovendien opensource dus zelfs als er een achterdeur in zou zitten zou dat zo ontdekt worden.
12-07-2024, 21:59 door
Anoniem
Door Briolet:
Ik heb bij Signal wel eens geklaagd over hun onveilige update procedure. Je kon geen update vanuit de app starten. Hun update procedure startte gewoon uit het niets met een popup venster met de vraag om het administrator wachtwoord in te tikken. Dat gebeurde meestal als Signal niet eens gebruikt werd en al gesloten was.
Ik heb bij Signal wel eens geklaagd over hun onveilige update procedure. Je kon geen update vanuit de app starten. Hun update procedure startte gewoon uit het niets met een popup venster met de vraag om het administrator wachtwoord in te tikken. Dat gebeurde meestal als Signal niet eens gebruikt werd en al gesloten was.
In instellingen of Voorkeuren van Signal Desktop kun je toch Automatische updates uitschakelen? Ook kun je update starten vanuot de app via Bijwerken forceren, maar misschien dat dat alleen op de bètaversie zit die ik gebruik.
13-07-2024, 10:40 door
Anoniem
Door Anoniem:
En niemand die verteld heeft hoe.
Met een vaste sleutel in de binary? Zinloos.
Sleutel per installatie? En waar is die dan opgeslagen en hoe?
Kortom, klinkt leuk, maar is niet zo eenvoudig.
In zo'n geval kan je het beter niet doen.
Dan geef je ook geen vals gevoel van veiligheid.
Het is een probleem dat al heel lang geleden is opgelost: vraag de gebruiker een wachtwoord dat gebruikt wordt om de eigenlijke encryptiesleutel te ver- en ontsleutelen. Alle oplossingen voor versleutelde partities en versleutelde directory's werken zo, wachtwoordmanagers werken zo, zowel losse als die in webbrowsers en e-mailclients zijn ingebouwd, zo'n beetje alles wat versleuteling toepast werkt zo. Het gaat hier om een desktopapplicatie, dus die kan heel eenvoudig bij het opstarten de gebruiker om een wachtwoord vragen.Door Anoniem: Al vanaf 2006 is gewaarschuwd om de encryptiesleutel zelf ook te versleutelen. Dit is echt niet nieuw.
En niemand die verteld heeft hoe.
Met een vaste sleutel in de binary? Zinloos.
Sleutel per installatie? En waar is die dan opgeslagen en hoe?
Kortom, klinkt leuk, maar is niet zo eenvoudig.
In zo'n geval kan je het beter niet doen.
Dan geef je ook geen vals gevoel van veiligheid.
14-07-2024, 01:31 door
Anoniem
Door Anoniem:
Wat een onzinnige insinuatie... Als je zulke dingen zegt heb je geen flauw benul wat Signal is en waar ze voor staan. Tip, Google eens op hoe ze zich afzetten tegen chat control in de EU. Als non-profit organisatie komen ze op voor jouw rechten en privacy, juist zeer fel tegen achterdeuren en client side scanning e.d.. Signal is meer dan een app.
En bovendien opensource dus zelfs als er een achterdeur in zou zitten zou dat zo ontdekt worden.
Ja, daar heeft u gelijk in, had ik niet moeten zeggen, ik zal er beter op letten.Door Anoniem: , ze wouden blijkbaar een achterdeurtje tot uw tekst of iets dergelijks....
Wat een onzinnige insinuatie... Als je zulke dingen zegt heb je geen flauw benul wat Signal is en waar ze voor staan. Tip, Google eens op hoe ze zich afzetten tegen chat control in de EU. Als non-profit organisatie komen ze op voor jouw rechten en privacy, juist zeer fel tegen achterdeuren en client side scanning e.d.. Signal is meer dan een app.
En bovendien opensource dus zelfs als er een achterdeur in zou zitten zou dat zo ontdekt worden.
14-07-2024, 15:32 door
Anoniem
Door Anoniem:
Zolang je nog niet weet hoe je het goed doet, is het beter het niet te doen. Het zou maar een vals gevoel van veiligheid geven.
Daarbij, wanneer een ander programma met de sleutel aan de haal gaat moet je misschien even nadenken over hoe dat programma op de computer terecht kwam. Lukraak software installeren is ook niet echt 2024.
Dat valt zwaar tegen hoor. Denk maar eens aan npm, pip en weet-ik-veel-wat-nog-meer aan taalspecifieke "package managers" die random zut downloaden en voor systeembreed gebruik installeren. Of de gemiddelde docker container die gedownload wordt en door velen blind vertrouwd wordt.Zolang je nog niet weet hoe je het goed doet, is het beter het niet te doen. Het zou maar een vals gevoel van veiligheid geven.
Daarbij, wanneer een ander programma met de sleutel aan de haal gaat moet je misschien even nadenken over hoe dat programma op de computer terecht kwam. Lukraak software installeren is ook niet echt 2024.
De software development wereld lijkt er een steven van gemaakt te hebben zo veel mogelijk supply-chain attacks mogelijk te maken, want "gemakkelijk".
14-07-2024, 17:43 door
Anoniem
Door Anoniem: Ik zou gewoon GNU+Linux gebruiken, één van de weinige besturingsystemen waarvan de meeste distributies full disk encryption toestaan zonder deze naar een externe provider te sturen zoals men in Windows een account moet aanmaken om Bitlocker te kunnen gebruiken. (Microsoft heeft uw sleutels)
Mint LMDE is erg goed. (Debian-gebaseerde Mint)
Daarnaast zitten er geen ads in, heeft men meer privacy en het is software met vrije licentie.
Ik kan het iedereen aanraden.
Wat Signal betreft is het nog steeds niet ideaal aangezien hackers zichzelf eventueel toegang kunnen verschaffen tot deze platte tekst via het internet zolang de machine aanstaat.
Mint LMDE is erg goed. (Debian-gebaseerde Mint)
Daarnaast zitten er geen ads in, heeft men meer privacy en het is software met vrije licentie.
Ik kan het iedereen aanraden.
Wat Signal betreft is het nog steeds niet ideaal aangezien hackers zichzelf eventueel toegang kunnen verschaffen tot deze platte tekst via het internet zolang de machine aanstaat.
Hebt nog nooit van Veracrypt gehoord?
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
