Ne oldu
Kryfo’da insanlar seni üç kelimenden ve yüzünden tanır. Bunlar hiçbir zaman birinin kim olduğunu kanıtlamadı ve kopyalanabiliyordu. Biri senin üç kelimeni, kendi anahtarlarına giden bir davet bağlantısına, QR koduna ya da profil sayfasına koyabiliyordu. Bunu ekleyen kişi seninle bir sohbet gibi görünen şeyi görüyordu, ama bu başka biriyle bir sohbetti. O kişi ekleyenin adına sana da yazarsa ikinizin arasına girip aradan geçenleri okuyabiliyordu.
0.4.1 ve öncesinde daha da ileri gidiyordu: kopyalanmış bir ad, zaten var olan bir sohbetin yerini de alabiliyordu. 0.4.2 bu kısmı düzeltti.
Bunun birine karşı kullanıldığını bilmiyoruz.
Kimler etkilendi
0.5.0 veya öncesini kullanıp birini bir bağlantıyla, kullanıcı adıyla, eşleştirme koduyla, istekle ya da o kişinin kendi telefonundan taramadığı bir QR koduyla ekleyen herkes.
Etkilenmeyenler:
- QR kodunu yüz yüze, kendi telefonlarından tarayarak eklediğin kişiler.
- Güvenlik numarası. Bir sohbetin gerçekten kullandığı anahtarlardan oluşur, bu yüzden farkı her zaman gösterdi.
Neyi değiştirdik
0.5.1’de:
- Eşleştirme kodları iki telefonda da, sohbetin kullanacağı anahtardan oluşan bir anahtar numarası gösterir.
- Yüz yüze tarama dışında herhangi bir yolla eklenen sohbetler, güvenlik numarasını karşılaştırmanı isteyen bir kart gösterir.
- Bir tanıştırma ya da bir grup, zaten sende olan birini farklı bir anahtarla anarsa Kryfo ikisini ayrı tutar.
- Güvenlik numarası sayfası 12 grubun hepsini karşılaştırmanı ister.
0.5.2, “Kontrol edilmedi” işaretinin yerine karşılaştırma kartını ve Bu o değil düğmesini getirdi. Güvenlik numaraları eşleşmezse bu düğme o kişiyi telefonundan kaldırır ve anahtarını engeller.
Ne yapmalısın
- 0.5.2’ye güncelle. Şu an kryfo.app ve GitHub’da, birkaç gün içinde F-Droid’e de gelir.
- Güvenlik numarasını önemli kişilerinle yüz yüze karşılaştır: sayfalarını aç, Anahtarları doğrula öğesine dokun ve 12 grubun hepsini kontrol et.
- Numaralar eşleşmezse Bu o değil öğesine dokun. Sonra kişiyi, sana yüz yüze verdiği bir bağlantı ya da QR koduyla yeniden ekle ve yeni sohbette numarayı karşılaştır.
Sırada ne var
Tam düzeltme, Signal’in resmi kütüphanesi üzerine kurulan, 0.6’daki yeni kimlik tasarımıyla gelir. O zaman bile asıl kontrol güvenlik numarası olarak kalır.
Önceki düzeltme
0.3.2 ve 0.4.1, kilidi açık bir telefonda bir bildirime dokunmanın uygulama kilidini atlayıp sohbet açabilmesini düzeltti.
Teşekkürler
Teşekkürler Ami (SleepingAmi) ve sooox (sooox-cc): bunu buldular, kendi telefonlarında doğruladılar ve bize özel olarak bildirdiler.
Bir sorun bulursan lütfen önce bize özel olarak bildir: kryfo.app/security.