सिग्नल के अत्यधिक सुरक्षित संदेशवाहक, गुप्त पाठ में इतिहास और एन्क्रिप्शन कुंजियों को गुप्त रूप से सहेजते हैं

Thehackernews.com का चित्रण

एडवर्ड स्नोडेन के "पसंदीदा दूत" के रूप में जाने जाने के बाद सिग्नल ने लोकप्रियता हासिल की। 2015 में, उन्होंने कहा कि वह पत्रकारों के साथ संवाद करने के लिए दैनिक सिग्नल ऐप का उपयोग करते हैं।

सिग्नल मैसेंजर एक विशेष रूप से सुरक्षित सूचना के आदान-प्रदान के साधन के रूप में तैनात है, जो एंड-टू-एंड एन्क्रिप्शन का उपयोग करता है, जिसे पत्राचार की सामग्री के लिए तीसरे पक्ष की पहुंच को बाहर करना चाहिए। हालांकि, जैसा कि यह निकला, ऐसी स्थितियां हैं जब सिग्नल की जानकारी को एन्क्रिप्ट करने के सभी प्रयास व्यर्थ हैं।

सिग्नल शुरू में केवल एक मोबाइल फोन एप्लिकेशन के रूप में उपलब्ध था, लेकिन सुविधा के लिए एक डेस्कटॉप संस्करण की आवश्यकता थी, जो अंततः क्रोम के लिए एक विस्तार के रूप में दिखाई दिया। अक्टूबर 2017 के अंत से , स्टैंड-अलोन एप्लिकेशन का एक नया संस्करण जो ब्राउज़र पर निर्भर नहीं करता है, उपयोगकर्ताओं के लिए उपलब्ध हो गया है । उस क्षण से, क्रोम के विस्तार को जीवन का अंत प्राप्त हुआ, और इस लेख के प्रकाशन के समय, इसका समर्थन एक महीने से भी कम समय में समाप्त हो गया। यहीं से दुख की कहानी शुरू होती है।

एक बार करो

सूचना सुरक्षा शोधकर्ता मैथ्यू सुएश ने इस खोज को साझा किया कि सबसे सुरक्षित क्रिप्टो दूतों में से एक ने अपने उपयोगकर्ताओं में एक प्रभावशाली सुअर "लगाया"। Chrome से एक्सटेंशन से पूर्ण डेस्कटॉप वाले क्लाइंट के लिए माइग्रेशन की प्रक्रिया में सिग्नल मैसेंजर अनएन्क्रिप्टेड टेक्स्ट फ़ाइलों को उपयोगकर्ता संदेश निर्यात करता है।



मैथ्यू सिविश ने सिग्नल को अपडेट करते समय मैकओएस पर काम करते समय इस खतरनाक बग की खोज की। BleepingComputer के पत्रकारों ने एक कदम आगे बढ़कर पता लगाया कि ठीक यही समस्या लिनक्स मिंट में भी प्रकट होती है।

डिस्क पर संवाद निर्यात करते समय, सिग्नल अलग-अलग फ़ोल्डर का नाम और संपर्कों की टेलीफोन संख्या के आधार पर बनाता है। सभी संवाद सामग्री सादे पाठ JSON प्रारूप में संग्रहीत की जाती है। कार्यक्रम किसी भी चेतावनी को प्रदर्शित नहीं करता है कि जानकारी को डिक्रिप्ट किया जाता है और डिस्क पर संग्रहीत किया जाता है। यह क्षण गोपनीय डेटा के रिसाव के खतरे की कुंजी है।

इस स्थिति में सबसे बुरी बात यह है कि अपग्रेड किए जाने के बाद भी अनएन्क्रिप्टेड संदेश डिस्क पर बने रहते हैं, और आपको उन्हें मैन्युअल रूप से हटाना होगा, यदि, निश्चित रूप से, उपयोगकर्ता भी अनुमान लगाता है ...

दो कर दो

लेकिन इतना ही काफी नहीं था! सिग्नल डेस्कटॉप में दूसरी समस्या एक अन्य शोधकर्ता नाथन सोचे द्वारा सामने आई थी।



नाथन सोची ने सीखा कि सिग्नल डेस्कटॉप की स्थापना के दौरान, एक एन्क्रिप्टेड db.sqlite डेटाबेस उपयोगकर्ता संदेशों के संग्रह के साथ बनाया जाता है। डेटाबेस के लिए एन्क्रिप्शन कुंजी उपयोगकर्ता के इंटरैक्शन के बिना मैसेंजर द्वारा उत्पन्न होती है और हर बार जब आपको डेटाबेस को संदेश संग्रह के साथ पढ़ने की आवश्यकता होती है, तो इसका उपयोग किया जाता है। किसने सोचा होगा कि कुंजी स्थानीय और सादे पाठ में संग्रहीत है? यह कुंजी पीसी में % AppData% \ Signal \ config.json फ़ाइल पर और मैक में ~ / लाइब्रेरी / एप्लीकेशन सपोर्ट / सिग्नल / config.json में पाई जा सकती है।

तीन करो, सिग्नल ब्लू फ्लेम बर्न!

जाहिर है, सिग्नल के साथ समस्याएं खत्म नहीं होती हैं। उदाहरण के लिए, एक अन्य विशेषज्ञ कीथ मैककैमोन बताते हैं कि सिग्नल डेस्कटॉप "गायब" संदेशों से अटैचमेंट को हटाने का एक खराब काम करता है।


"गायब" संदेश फ़ंक्शन सिग्नल डेवलपर्स द्वारा एक अतिरिक्त सुरक्षा परत के रूप में कल्पना की गई थी, लेकिन वास्तव में यह बहुत अविश्वसनीय रूप से काम नहीं करता है। मैककैमन के अनुसार, सभी अटैचमेंट सिग्नल उपयोगकर्ताओं को हटाए जाने के बाद भी ड्राइव पर बने रहते हैं।