तीन शब्द और आप किससे बात कर रहे हैं

क्या हुआ

Kryfo में आपके तीन शब्द और आपका चेहरा ही वह चीज़ हैं जिनसे लोग आपको पहचानते हैं। ये कभी साबित नहीं करते थे कि कोई कौन है, और इन्हें कॉपी किया जा सकता था। कोई आपके तीन शब्द ऐसे आमंत्रण लिंक, QR कोड या प्रोफ़ाइल पेज में डाल सकता था जो उसकी अपनी कुंजियों तक ले जाता। जिसने उसे जोड़ा, उसे लगता कि यह आपके साथ चैट है, पर असल में वह किसी और के साथ चैट थी। अगर उस व्यक्ति ने उनके नाम से आपको भी लिखा, तो वह आप दोनों के बीच बैठकर जो कुछ आता-जाता उसे पढ़ सकता था।

0.4.1 और पुराने वर्शन पर यह और आगे जाता था: कॉपी किया गया नाम पहले से मौजूद चैट पर भी क़ब्ज़ा कर सकता था। 0.4.2 ने वह हिस्सा ठीक किया।

हमें इसकी कोई जानकारी नहीं कि इसका किसी के ख़िलाफ़ इस्तेमाल हुआ हो।

किस पर असर पड़ा

0.5.0 या पुराने वर्शन पर कोई भी, जिसने किसी को लिंक, यूज़रनेम, जोड़ने के कोड, अनुरोध, या ऐसे QR कोड से जोड़ा जो उसने उस व्यक्ति के अपने फ़ोन से स्कैन नहीं किया था।

जिन पर असर नहीं पड़ा:

• वे संपर्क जिन्हें आपने आमने-सामने उनके अपने फ़ोन का QR कोड स्कैन करके जोड़ा।
• सुरक्षा नंबर। यह उन कुंजियों से बनता है जो चैट असल में इस्तेमाल करती है, इसलिए इसमें हमेशा फ़र्क़ दिखता था।

हमने क्या बदला

0.5.1 में:

• जोड़ने के कोड दोनों फ़ोन पर एक कुंजी नंबर दिखाते हैं, जो उस कुंजी से बनता है जिसे चैट इस्तेमाल करेगी।
• आमने-सामने स्कैन के अलावा किसी और तरीके से जोड़ी गई चैट में एक कार्ड दिखता है जो सुरक्षा नंबर मिलाने को कहता है।
• जब कोई परिचय या ग्रुप ऐसे व्यक्ति का नाम लेता है जो आपके पास पहले से है, पर अलग कुंजी के साथ, तो Kryfo दोनों को अलग रखता है।
• सुरक्षा नंबर वाला पेज सभी 12 समूहों को मिलाने को कहता है।

0.5.2 ने “Not checked” निशान की जगह मिलान वाला कार्ड और एक यह वे नहीं हैं बटन लगाया। अगर सुरक्षा नंबर मेल नहीं खाते, तो यह उस संपर्क को आपके फ़ोन से हटा देता है और उसकी कुंजी ब्लॉक कर देता है।

आपको क्या करना है

1. 0.5.2 पर अपडेट करें। यह अभी kryfo.app और GitHub पर है, और कुछ दिनों में F-Droid पर पहुँच जाएगा।
2. अपने ज़रूरी संपर्कों के साथ आमने-सामने सुरक्षा नंबर मिलाएँ: उनका पेज खोलें, कुंजियों की पुष्टि करें पर टैप करें, और सभी 12 समूह जाँचें।
3. अगर नंबर मेल नहीं खाते, तो यह वे नहीं हैं पर टैप करें। फिर उस व्यक्ति को आमने-सामने दिए गए लिंक या QR कोड से दोबारा जोड़ें, और नई चैट में नंबर मिलाएँ।

आगे क्या होगा

पूरा सुधार 0.6 में पहचान के नए डिज़ाइन के साथ आएगा, जो Signal की आधिकारिक लाइब्रेरी पर बना है। तब भी असली जाँच सुरक्षा नंबर ही रहेगा।

पहले का सुधार

0.3.2 और 0.4.1 ने सूचना पर टैप करने की वह समस्या ठीक की, जिससे अनलॉक फ़ोन पर ऐप लॉक के पार कोई चैट खुल सकती थी।

शुक्रिया

Ami (SleepingAmi) और sooox (sooox-cc) का शुक्रिया, जिन्होंने इसे ढूँढा, अपने फ़ोन पर इसकी जाँच की और हमें निजी तौर पर बताया।

अगर आपको कोई समस्या मिले, तो कृपया पहले हमें निजी तौर पर बताएँ: kryfo.app/security।