Apa yang terjadi
Di Kryfo, orang mengenalimu dari tiga kata dan wajahmu. Keduanya tidak pernah membuktikan siapa seseorang, dan bisa disalin. Seseorang bisa memasukkan tiga katamu ke tautan undangan, kode QR, atau halaman profil yang mengarah ke kunci miliknya sendiri. Orang yang menambahkannya melihat obrolan yang tampak seperti obrolan denganmu, padahal itu obrolan dengan orang lain. Kalau orang itu juga mengirim pesan kepadamu atas nama si penambah, dia bisa berada di antara kalian berdua dan membaca apa yang lewat.
Di 0.4.1 dan sebelumnya lebih parah: nama yang disalin juga bisa mengambil alih obrolan yang sudah ada. 0.4.2 memperbaiki bagian itu.
Kami tidak tahu ada yang pernah memakai ini untuk menyerang siapa pun.
Siapa yang terdampak
Siapa pun di 0.5.0 atau sebelumnya yang menambahkan seseorang lewat tautan, nama pengguna, kode penautan, permintaan, atau kode QR yang tidak dipindai dari ponsel orang itu sendiri.
Tidak terdampak:
- Kontak yang kamu tambahkan dengan memindai kode QR di ponsel mereka sendiri, secara langsung.
- Nomor keamanan. Nomor ini dibuat dari kunci yang benar-benar dipakai obrolan, jadi selalu menunjukkan perbedaannya.
Apa yang kami ubah
Di 0.5.1:
- Kode penautan menampilkan nomor kunci di kedua ponsel, dibuat dari kunci yang akan dipakai obrolan.
- Obrolan yang ditambahkan dengan cara apa pun selain pindai langsung menampilkan kartu yang memintamu membandingkan nomor keamanan.
- Saat perkenalan atau grup menyebut seseorang yang sudah kamu punya, tapi dengan kunci lain, Kryfo memisahkan keduanya.
- Halaman nomor keamanan memintamu membandingkan ke-12 grup.
0.5.2 mengganti tanda “Belum dicek” dengan kartu pembanding dan tombol Ini bukan dia. Kalau nomor keamanan tidak cocok, tombol ini menghapus kontak itu dari ponselmu dan memblokir kuncinya.
Apa yang perlu kamu lakukan
- Perbarui ke 0.5.2. Versi ini sudah ada di kryfo.app dan GitHub, dan sampai di F-Droid dalam beberapa hari.
- Bandingkan nomor keamanan dengan kontak pentingmu secara langsung: buka halaman mereka, ketuk Verifikasi kunci, dan cek ke-12 grup.
- Kalau nomornya tidak cocok, ketuk Ini bukan dia. Lalu tambahkan orang itu lagi lewat tautan atau kode QR yang dia berikan langsung kepadamu, dan bandingkan nomornya di obrolan baru.
Selanjutnya
Perbaikan penuh datang bersama desain ulang identitas di 0.6, dibangun di atas pustaka resmi Signal. Bahkan saat itu, nomor keamanan tetap menjadi pemeriksaan yang sebenarnya.
Perbaikan sebelumnya
0.3.2 dan 0.4.1 memperbaiki ketukan notifikasi yang bisa membuka obrolan melewati kunci aplikasi di ponsel yang tidak terkunci.
Terima kasih
Terima kasih kepada Ami (SleepingAmi) dan sooox (sooox-cc), yang menemukan ini, mengeceknya di ponsel mereka sendiri, dan memberi tahu kami secara pribadi.
Kalau kamu menemukan masalah, tolong beri tahu kami dulu secara pribadi: kryfo.app/security.