Ce qui s’est passé
Dans Kryfo, vos trois mots et votre visage permettent aux autres de vous reconnaître. Ils n’ont jamais prouvé qui est qui, et ils pouvaient être copiés. Quelqu’un pouvait mettre vos trois mots dans un lien d’invitation, un code QR ou une page de profil menant à ses propres clés. La personne qui l’ajoutait voyait ce qui ressemblait à une discussion avec vous, mais c’était une discussion avec quelqu’un d’autre. Si cette personne vous écrivait aussi au nom de l’autre, elle pouvait se placer entre vous deux et lire ce qui passait.
Dans 0.4.1 et les versions antérieures, cela allait plus loin : un nom copié pouvait aussi prendre la place d’une discussion qui existait déjà. 0.4.2 a corrigé cette partie.
Nous n’avons connaissance d’aucune utilisation contre qui que ce soit.
Qui était concerné
Toute personne sous 0.5.0 ou antérieure qui a ajouté quelqu’un par un lien, un pseudo, un code d’appairage, une demande, ou un code QR qu’elle n’a pas scanné sur le téléphone même de cette personne.
Non concernés :
- Les contacts que vous avez ajoutés en scannant le code QR sur leur propre téléphone, en personne.
- Le numéro de sécurité. Il est calculé à partir des clés qu’une discussion utilise vraiment, il a donc toujours montré la différence.
Ce que nous avons changé
Dans 0.5.1 :
- Les codes d’appairage affichent un numéro de clé sur les deux téléphones, calculé à partir de la clé que la discussion utilisera.
- Les discussions ajoutées autrement que par un scan en personne affichent une carte qui vous invite à comparer le numéro de sécurité.
- Quand une présentation ou un groupe nomme quelqu’un que vous avez déjà, mais avec une autre clé, Kryfo garde les deux séparés.
- La page du numéro de sécurité vous demande de comparer les 12 groupes.
0.5.2 a remplacé la mention « Non vérifié » par la carte de comparaison et le bouton Ce n’est pas cette personne. Si les numéros de sécurité ne correspondent pas, il retire ce contact de votre téléphone et bloque sa clé.
Ce qu’il faut faire
- Passez à 0.5.2. Elle est disponible sur kryfo.app et GitHub, et arrive sur F-Droid d’ici quelques jours.
- Comparez le numéro de sécurité avec vos contacts importants, en personne : ouvrez leur page, touchez Vérifier les clés et vérifiez les 12 groupes.
- Si les numéros ne correspondent pas, touchez Ce n’est pas cette personne. Ajoutez ensuite la personne à nouveau avec un lien ou un code QR qu’elle vous donne en personne, et comparez le numéro dans la nouvelle discussion.
Et ensuite
La correction complète arrive avec la refonte de l’identité dans 0.6, construite sur la bibliothèque officielle de Signal. Même alors, le numéro de sécurité reste la vraie vérification.
Correction antérieure
0.3.2 et 0.4.1 ont corrigé un toucher sur une notification qui pouvait ouvrir une discussion sans passer par le verrouillage de l’appli, sur un téléphone déverrouillé.
Merci
Merci à Ami (SleepingAmi) et sooox (sooox-cc), qui ont trouvé ce problème, l’ont vérifié sur leurs propres téléphones et nous l’ont signalé en privé.
Si vous trouvez un problème, dites-le-nous d’abord en privé : kryfo.app/security.