Chuyện gì đã xảy ra
Trong Kryfo, mọi người nhận ra bạn qua ba từ và khuôn mặt của bạn. Chúng chưa bao giờ chứng minh được ai là ai, và có thể bị sao chép. Ai đó có thể đặt ba từ của bạn vào một liên kết mời, một mã QR hoặc một trang hồ sơ dẫn đến khóa của chính họ. Người thêm nó sẽ thấy thứ trông như cuộc trò chuyện với bạn, nhưng thật ra là với người khác. Nếu kẻ đó cũng nhắn cho bạn dưới danh nghĩa người đã thêm, họ có thể chen vào giữa hai người và đọc những gì đi qua.
Ở 0.4.1 trở về trước còn tệ hơn: một cái tên bị sao chép còn có thể chiếm chỗ một cuộc trò chuyện đã có. 0.4.2 đã sửa phần đó.
Chúng tôi không biết có trường hợp nào điều này bị dùng để chống lại ai.
Ai bị ảnh hưởng
Bất kỳ ai dùng 0.5.0 trở về trước đã thêm người khác qua liên kết, tên người dùng, mã ghép nối, yêu cầu, hoặc mã QR không quét từ chính điện thoại của người đó.
Không bị ảnh hưởng:
- Những liên hệ bạn thêm bằng cách quét trực tiếp mã QR trên điện thoại của chính họ.
- Số an toàn. Nó được tạo từ các khóa mà cuộc trò chuyện thực sự dùng, nên luôn cho thấy sự khác biệt.
Chúng tôi đã thay đổi gì
Trong 0.5.1:
- Mã ghép nối hiển thị số khóa trên cả hai điện thoại, tạo từ khóa mà cuộc trò chuyện sẽ dùng.
- Các cuộc trò chuyện được thêm bằng bất kỳ cách nào khác ngoài quét trực tiếp sẽ hiện một thẻ nhắc bạn so sánh số an toàn.
- Khi một lời giới thiệu hoặc một nhóm nhắc đến người bạn đã có nhưng với khóa khác, Kryfo giữ hai người đó tách biệt.
- Trang số an toàn yêu cầu bạn so sánh cả 12 nhóm.
0.5.2 thay dấu “Chưa kiểm tra” bằng thẻ so sánh và nút Đây không phải họ. Nếu số an toàn không khớp, nút này xóa liên hệ đó khỏi điện thoại của bạn và chặn khóa của họ.
Bạn nên làm gì
- Cập nhật lên 0.5.2. Bản này đã có trên kryfo.app và GitHub, và sẽ lên F-Droid trong vài ngày tới.
- So sánh số an toàn với những liên hệ quan trọng khi gặp trực tiếp: mở trang của họ, chạm Xác minh khóa và kiểm tra cả 12 nhóm.
- Nếu số không khớp, chạm Đây không phải họ. Sau đó thêm lại người đó bằng liên kết hoặc mã QR mà họ trực tiếp đưa cho bạn, rồi so sánh số trong cuộc trò chuyện mới.
Tiếp theo
Bản sửa đầy đủ sẽ đến cùng thiết kế danh tính mới trong 0.6, xây trên thư viện chính thức của Signal. Ngay cả khi đó, số an toàn vẫn là cách kiểm tra thật sự.
Bản sửa trước đó
0.3.2 và 0.4.1 đã sửa lỗi chạm vào thông báo có thể mở cuộc trò chuyện vượt qua khóa ứng dụng trên điện thoại đang mở khóa.
Cảm ơn
Cảm ơn Ami (SleepingAmi) và sooox (sooox-cc), những người đã tìm ra lỗi này, kiểm tra trên điện thoại của chính mình và báo riêng cho chúng tôi.
Nếu bạn tìm thấy vấn đề, hãy báo riêng cho chúng tôi trước: kryfo.app/security.