Cosa è successo
In Kryfo, le persone ti riconoscono dalle tue tre parole e dal tuo volto. Non hanno mai dimostrato chi sia qualcuno, e si potevano copiare. Qualcuno poteva mettere le tue tre parole in un link di invito, un codice QR o una pagina profilo che portava alle sue chiavi. Chi lo aggiungeva vedeva quella che sembrava una chat con te, ma era una chat con qualcun altro. Se quella persona scriveva anche a te a nome di chi l’aveva aggiunta, poteva mettersi tra voi due e leggere quello che passava.
In 0.4.1 e precedenti si andava oltre: un nome copiato poteva anche prendere il posto di una chat già esistente. 0.4.2 ha corretto questa parte.
Non ci risulta che sia stato usato contro qualcuno.
Chi era coinvolto
Chiunque con 0.5.0 o precedenti abbia aggiunto qualcuno tramite un link, un nome utente, un codice di abbinamento, una richiesta, o un codice QR non scansionato dal telefono di quella persona.
Non coinvolti:
- I contatti che hai aggiunto scansionando di persona il codice QR sul loro telefono.
- Il numero di sicurezza. Nasce dalle chiavi che una chat usa davvero, quindi ha sempre mostrato la differenza.
Cosa abbiamo cambiato
In 0.5.1:
- I codici di abbinamento mostrano un numero della chiave su entrambi i telefoni, ricavato dalla chiave che la chat userà.
- Le chat aggiunte in qualsiasi modo diverso da una scansione di persona mostrano una scheda che ti chiede di confrontare il numero di sicurezza.
- Quando una presentazione o un gruppo nomina qualcuno che hai già, ma con un’altra chiave, Kryfo tiene separati i due.
- La pagina del numero di sicurezza ti chiede di confrontare tutti i 12 gruppi.
0.5.2 ha sostituito il segno «Non verificato» con la scheda di confronto e il pulsante Non è questa persona. Se i numeri di sicurezza non coincidono, rimuove quel contatto dal tuo telefono e ne blocca la chiave.
Cosa fare
- Aggiorna a 0.5.2. È già su kryfo.app e GitHub, e arriva su F-Droid entro pochi giorni.
- Confronta il numero di sicurezza con i tuoi contatti importanti, di persona: apri la loro pagina, tocca Verifica chiavi e controlla tutti i 12 gruppi.
- Se i numeri non coincidono, tocca Non è questa persona. Poi aggiungi di nuovo la persona con un link o un codice QR che ti dà di persona, e confronta il numero nella nuova chat.
Cosa arriva dopo
La correzione completa arriva con il nuovo design dell’identità in 0.6, costruito sulla libreria ufficiale di Signal. Anche allora, il numero di sicurezza resta il vero controllo.
Correzione precedente
0.3.2 e 0.4.1 hanno corretto un tocco su una notifica che poteva aprire una chat scavalcando il blocco dell’app su un telefono sbloccato.
Grazie
Grazie ad Ami (SleepingAmi) e sooox (sooox-cc), che l’hanno trovato, verificato sui propri telefoni e ce l’hanno segnalato in privato.
Se trovi un problema, diccelo prima in privato: kryfo.app/security.