سه واژه و اینکه با چه کسی حرف می‌زنید

چه اتفاقی افتاد

در Kryfo، دیگران شما را با سه واژه و چهره‌تان می‌شناسند. این‌ها هرگز ثابت نمی‌کردند کسی واقعاً کیست، و می‌شد کپی‌شان کرد. کسی می‌توانست سه واژه‌ی شما را در یک پیوند دعوت، یک کد QR یا یک صفحه‌ی نمایه بگذارد که به کلیدهای خودش می‌رسید. کسی که آن را اضافه می‌کرد، چیزی می‌دید که شبیه گفت‌وگو با شما بود، اما گفت‌وگو با کس دیگری بود. اگر آن شخص به نام کسی که او را اضافه کرده بود به شما هم پیام می‌داد، می‌توانست میان شما دو نفر بنشیند و آنچه رد و بدل می‌شد را بخواند.

در 0.4.1 و قدیمی‌تر، ماجرا جدی‌تر بود: یک نام کپی‌شده می‌توانست جای گفت‌وگویی را هم بگیرد که از قبل وجود داشت. 0.4.2 این بخش را برطرف کرد.

ما خبر نداریم که این مشکل علیه کسی به کار رفته باشد.

چه کسانی را در بر می‌گرفت

هر کسی که روی 0.5.0 یا قدیمی‌تر بود و کسی را با یک پیوند، نام کاربری، کد جفت‌سازی، درخواست، یا کد QR‌ای اضافه کرد که از گوشی خود آن شخص اسکن نکرده بود.

شامل این موارد نمی‌شد:

• مخاطب‌هایی که با اسکن حضوری کد QR روی گوشی خودشان اضافه کرده‌اید.
• شماره‌ی امنیتی. این شماره از کلیدهایی ساخته می‌شود که گفت‌وگو واقعاً به کار می‌برد، پس همیشه تفاوت را نشان می‌داد.

چه چیزی را تغییر دادیم

در 0.5.1:

• کدهای جفت‌سازی روی هر دو گوشی یک شماره‌ی کلید نشان می‌دهند که از کلیدی ساخته می‌شود که گفت‌وگو به کار خواهد برد.
• گفت‌وگوهایی که به هر روشی جز اسکن حضوری اضافه شده‌اند، کارتی نشان می‌دهند که از شما می‌خواهد شماره‌ی امنیتی را مقایسه کنید.
• وقتی یک معرفی یا یک گروه از کسی نام می‌برد که از قبل دارید، اما با کلیدی دیگر، Kryfo این دو را از هم جدا نگه می‌دارد.
• صفحه‌ی شماره‌ی امنیتی از شما می‌خواهد همه‌ی ۱۲ گروه را مقایسه کنید.

0.5.2 به جای نشان «بررسی‌نشده»، کارت مقایسه و دکمه‌ی این او نیست را گذاشت. اگر شماره‌های امنیتی یکی نباشند، این دکمه آن مخاطب را از گوشی شما حذف می‌کند و کلیدش را مسدود می‌کند.

چه باید بکنید

1. به 0.5.2 به‌روزرسانی کنید. این نسخه اکنون روی kryfo.app و GitHub هست و ظرف چند روز به F-Droid می‌رسد.
2. شماره‌ی امنیتی را با مخاطب‌های مهم‌تان حضوری مقایسه کنید: صفحه‌شان را باز کنید، روی تأیید کلیدها بزنید و همه‌ی ۱۲ گروه را بررسی کنید.
3. اگر شماره‌ها یکی نبودند، روی این او نیست بزنید. سپس آن شخص را دوباره با پیوند یا کد QR‌ای اضافه کنید که حضوری به شما می‌دهد، و شماره را در گفت‌وگوی تازه مقایسه کنید.

قدم بعدی

راه‌حل کامل با طراحی دوباره‌ی هویت در 0.6 می‌آید که بر پایه‌ی کتابخانه‌ی رسمی Signal ساخته می‌شود. حتی آن موقع هم، شماره‌ی امنیتی بررسی واقعی باقی می‌ماند.

اصلاح قبلی

0.3.2 و 0.4.1 مشکلی را برطرف کردند که در آن، زدن روی یک اعلان در گوشیِ باز می‌توانست گفت‌وگویی را بدون گذر از قفل برنامه باز کند.

سپاس

سپاس از Ami (SleepingAmi) و sooox (sooox-cc) که این مشکل را پیدا کردند، روی گوشی‌های خودشان بررسی کردند و به‌طور خصوصی به ما خبر دادند.

اگر مشکلی پیدا کردید، لطفاً اول به‌طور خصوصی به ما بگویید: kryfo.app/security.