ما الذي حدث
في Kryfo، يتعرّف عليك الناس من كلماتك الثلاث ووجهك. لكنها لم تُثبت يومًا هوية أحد، وكان يمكن نسخها. كان بإمكان شخص ما وضع كلماتك الثلاث في رابط دعوة أو رمز QR أو صفحة ملف شخصي تقود إلى مفاتيحه هو. ومن أضاف ذلك رأى ما بدا محادثةً معك، لكنها كانت محادثة مع شخص آخر. وإن راسلك ذلك الشخص أيضًا باسم من أضافه، أمكنه أن يقف بينكما ويقرأ ما يمرّ.
في 0.4.1 والإصدارات الأقدم كان الأمر أبعد: كان الاسم المنسوخ يستطيع أيضًا أن يأخذ مكان محادثة موجودة من قبل. وأصلح 0.4.2 هذا الجزء.
لا نعلم أن هذا استُخدم ضد أحد.
من تأثّر
كل من استخدم 0.5.0 أو أقدم وأضاف شخصًا عبر رابط، أو اسم مستخدم، أو رمز اقتران، أو طلب، أو رمز QR لم يمسحه من هاتف ذلك الشخص نفسه.
لم يتأثّر:
- جهات الاتصال التي أضفتها بمسح رمز QR من هاتفها هي، وجهًا لوجه.
- رقم الأمان. فهو يُبنى من المفاتيح التي تستخدمها المحادثة فعلًا، لذا أظهر الفرق دائمًا.
ما الذي غيّرناه
في 0.5.1:
- تعرض رموز الاقتران رقم مفتاح على الهاتفين، يُبنى من المفتاح الذي ستستخدمه المحادثة.
- المحادثات المضافة بأي طريقة غير المسح وجهًا لوجه تعرض بطاقة تطلب منك مقارنة رقم الأمان.
- عندما يذكر تعريف أو مجموعة شخصًا لديك من قبل، لكن بمفتاح مختلف، يُبقي Kryfo الاثنين منفصلين.
- تطلب منك صفحة رقم الأمان مقارنة المجموعات الـ12 كلها.
استبدل 0.5.2 علامة «لم يُتحقَّق منه» ببطاقة المقارنة وزر هذا ليس هو. وإن لم تتطابق أرقام الأمان، يزيل هذا الزر جهة الاتصال من هاتفك ويحظر مفتاحها.
ما الذي عليك فعله
- حدّث إلى 0.5.2. إنه متاح الآن على kryfo.app وGitHub، ويصل إلى F-Droid خلال أيام قليلة.
- قارن رقم الأمان مع جهات اتصالك المهمة وجهًا لوجه: افتح صفحتها، واضغط التحقق من المفاتيح، وتحقق من المجموعات الـ12 كلها.
- إن لم تتطابق الأرقام، اضغط هذا ليس هو. ثم أضف الشخص من جديد عبر رابط أو رمز QR يعطيك إياه وجهًا لوجه، وقارن الرقم في المحادثة الجديدة.
ما التالي
يأتي الإصلاح الكامل مع إعادة تصميم الهوية في 0.6، المبنية على مكتبة Signal الرسمية. وحتى حينها، يبقى رقم الأمان هو التحقق الحقيقي.
إصلاح سابق
أصلح 0.3.2 و0.4.1 لمسة على إشعار كانت قد تفتح محادثة متجاوزةً قفل التطبيق على هاتف غير مقفل.
شكرًا
شكرًا لـ Ami (SleepingAmi) وsooox (sooox-cc)، اللذين وجدا هذا، وتحققا منه على هاتفيهما، وأخبرانا به بشكل خاص.
إن وجدت مشكلة، فأخبرنا بها بشكل خاص أولًا: kryfo.app/security.