Signal يقلل من عيب مفتاح التشفير
تاريخ النشر: 13th, July 2024 GMT
تعمل Signal أخيرًا على تشديد أمان عميل سطح المكتب الخاص بها عن طريق تغيير كيفية تخزين مفاتيح تشفير النص العادي لمخزن البيانات بعد التقليل من أهمية المشكلة منذ عام 2018.
كما أفاد BleepingComputer في عام 2018، عندما يتم تثبيت Signal Desktop لنظام التشغيل Windows أو Mac، فإنه يقوم بإنشاء قاعدة بيانات SQLite مشفرة لتخزين رسائل المستخدم.
لكي يتمكن البرنامج من فك تشفير قاعدة بيانات مشفرة واستخدامها لتخزين البيانات، يجب أن يكون لديه حق الوصول إلى مفتاح التشفير. في حالة Signal، يقوم بتخزين المفتاح كنص عادي في ملف محلي يسمى %AppData%\Signal\config.json في نظام التشغيل Windows و~/Library/Application Support/Signal/config.json على جهاز Mac.
ومع ذلك، إذا كان بإمكان Signal الوصول إلى هذا المفتاح، فيمكن لأي مستخدم أو برنامج آخر يعمل على الكمبيوتر أن يفعل ذلك، مما يجعل قاعدة البيانات المشفرة عديمة القيمة ويوفر القليل من الأمان الإضافي أو لا يوفره على الإطلاق.
كان أحد الحلول التي قدمها الباحث الذي اكتشف هذا الخلل، ناثانيال سوشي، هو تشفير قاعدة البيانات المحلية بكلمة مرور يقدمها المستخدم ولا يتم تخزينها أبدًا في أي مكان، كما نرى مع برامج النسخ الاحتياطي السحابي، ومتصفحات الويب، ومديري كلمات المرور، ومحافظ العملات المشفرة.
عندما اتصلت BleepingComputer بشركة Signal بشأن الخلل في عام 2018، لم تتلق أي رد مطلقًا.
وبدلاً من ذلك، استجاب مدير دعم Signal لمخاوف المستخدم في منتدى Signal، مشيرًا إلى أن أمان قاعدة البيانات الخاصة به لم يكن أبدًا شيئًا ادعى أنه يوفره.
رد موظف Signal قائلاً: "لم يكن القصد من مفتاح قاعدة البيانات أن يكون سرًا على الإطلاق. فالتشفير غير النشط ليس شيئًا يحاول Signal Desktop حاليًا توفيره أو ادعى أنه يقدمه على الإطلاق".
لكي نكون منصفين لتطبيق Signal، فإن تشفير قواعد البيانات المحلية بدون كلمة مرور مقدمة من المستخدم يمثل مشكلة لجميع التطبيقات ويعتمد على خطوات إضافية لتشديد الأمان بشكل أكبر.
ومع ذلك، باعتبارها شركة تفتخر بأمانها وخصوصيتها، كان من الغريب أن تتجاهل المنظمة المشكلة ولم تحاول تقديم حل.
يظهر عيب التصميم مرة أخرى على X
وبعد مرور ما يقرب من ست سنوات، غرد إيلون ماسك قائلاً: "هناك نقاط ضعف معروفة في Signal لم تتم معالجتها. يبدو الأمر غريبًا..."
لم يشارك ماسك ما هي نقاط الضعف التي كان يشير إليها، ورأى البعض أن تغريدة ماسك هي محاولة لمساعدة Telegram في حملة تدعي أنها أكثر أمانًا من Signal.
ردت رئيسة Signal، ميريديث ويتاكر، بأنه لا يلزم معالجة أي ثغرات أمنية معروفة، وإذا كانت هناك ثغرات، فيجب الكشف عنها بشكل مسؤول للمنظمة.
ومع ذلك، في الأسبوع الماضي، حذر الباحثون في مجال أمن الأجهزة المحمولة، طلال حاج بكري وتومي ميسك من شركة Mysk Inc، على X من استخدام Signal Desktop بسبب نفس الضعف الأمني الذي أبلغنا عنه في عام 2018.
وفي سلسلة من التغريدات، أوضحت شركة Mysk Inc كيف أن الصور والتطبيقات المرسلة عبر تطبيق المراسلة لا يتم تخزينها في مكان آمن أو مشفر، وأن مفتاح التشفير لمخزن الرسائل لا يزال مخزنًا بنص عادي على النظام.
"ملاحظة المجتمع خاطئة وإيلون موسك على حق. تقوم تطبيقات Signal لسطح المكتب بتشفير سجل الدردشة المحلية بمفتاح مخزّن في نص عادي وإتاحته لأي عملية،" غرد الباحثون في موضوع آخر.
"وهذا يترك المستخدمين عرضة لعمليات التسلل. تم الإبلاغ عن المشكلة في عام 2018، ولكن لم تتم معالجتها"
ردًا على ذلك، قلل ويتاكر من أهمية الخلل، مشيرًا إلى أنه إذا كان لدى المهاجم حق الوصول الكامل إلى جهازك، فلن يتمكن Signal من حماية البيانات بشكل كامل.
"تعتمد المشكلات التي تم الإبلاغ عنها على أن المهاجم لديه بالفعل * حق الوصول الكامل إلى جهازك * - إما جسديًا، أو من خلال اختراق البرامج الضارة، أو عبر تطبيق ضار يعمل على نفس الجهاز،" غرد ويتاكر.
"هذا ليس شيئًا يمكن لـ Signal أو أي تطبيق آخر الحماية منه بشكل كامل. ولا ندعي ذلك على الإطلاق."
في حين أنه من غير الواضح ما يعنيه الوصول الكامل إلى الجهاز، يمكن لأي شخص لديه وصول عن بعد أو برامج ضارة تعمل على الجهاز الوصول إلى البيانات.
كان الرد غير معتاد بعد إعادة تغريد ويتاكر المستمرة حول الآثار الأمنية والخصوصية المترتبة على استدعاء Windows من Microsoft وكيف يمكن سرقة البيانات من قبل مهاجمين محليين أو برامج ضارة.
المصدر: بوابة الوفد
كلمات دلالية: قاعدة البیانات على الإطلاق فی عام 2018
إقرأ أيضاً:
سباق الذكاء الاصطناعي يشعل الطلب على الرقائق الإلكترونية و مراكز البيانات
أصبح السباق نحو تطوير الذكاء الاصطناعي يعتمد بشكل كبير على رقائق إلكترونية صغيرة تعرف بوحدات معالجة الرسوميات (GPUs)، التي صُممت في الأصل لألعاب الفيديو.
صراع الذكاء الاصطناعيلكن اليوم، تستخدمها شركات التكنولوجيا لتشغيل الحسابات المعقدة التي تُغذي أنظمة الذكاء الاصطناعي.
كانت النتيجة ظهور نوع جديد من الحواسيب المتطورة، مكوّنة من ما يصل إلى 100 ألف شريحة مترابطة داخل مبانٍ تعرف بمراكز البيانات، مخصصة لتشغيل أنظمة الذكاء الاصطناعي القوية.
لكن هذه القوة الحاسوبية تأتي بتكلفة باهظة؛ إذ تخطط شركة OpenAI، المطورة لتطبيق ChatGPT، لإنشاء نحو خمسة منشآت تستهلك كهرباء تفوق ما تستهلكه ثلاثة ملايين منزل في ولاية ماساتشوستس الأمريكية.
رسم خريطة التكنولوجيامع سعي الشركات التكنولوجية وراء حلم الذكاء الاصطناعي، تنتشر مراكز البيانات في مختلف أنحاء العالم، ما يدفع عمالقة التكنولوجيا للبحث عن مصادر طاقة لتشغيلها، ومياه لتبريد الأنظمة ومنع ارتفاع حرارتها.
يعيد هذا التحول رسم خريطة التكنولوجيا من الأساس، تمامًا كما حدث في التسعينيات عندما أعادت الشركات بناء أنظمتها الحاسوبية لمواكبة العصر الرقمي والإنترنت، فمراكز البيانات الحالية أكبر بكثير مما سبق.
على سبيل المثال، أنفقت جوجل في عام 2006 حوالي 600 مليون دولار لبناء أول مركز بيانات لها في ولاية أوريغون، بينما أعلنت OpenAI وشركاؤها في يناير عن خطط لإنفاق نحو 100 مليار دولار على مراكز بيانات جديدة، تبدأ بمنشأة في ولاية تكساس.
أموالًا ضخمة في شركات مراكز البياناتلا يقتصر هذا التغير على التكنولوجيا فقط؛ بل يؤثر أيضًا على مجالات المال والطاقة والمجتمعات المحلية.
فقد ضخت شركات الاستثمار المباشر أموالًا ضخمة في شركات مراكز البيانات، فيما يتدفق الكهربائيون إلى المناطق التي تُبنى فيها هذه المنشآت.
في الوقت نفسه، يعبر بعض السكان عن قلقهم من التأثيرات السلبية لهذه المشاريع.
ومع ذلك، لا تزال الشركات الأمريكية الكبرى ماضية في استثماراتها الضخمة، حيث تطمح لتحقيق الذكاء الاصطناعي العام (AGI)، وهو نظام ذكاء اصطناعي قادر على أداء أي مهمة عقلية يمكن للإنسان القيام بها، ما يتطلب قوة حاسوبية هائلة.
320 مليار دولار انفاقاتتشير التقارير إلى أن الإنفاق الرأسمالي لشركة Alphabet، الشركة الأم لجوجل، قد يتجاوز 320 مليار دولار هذا العام، وهو أكثر من ضعف ما أنفقته قبل عامين.
يأتي هذا الاستثمار الضخم في إطار سعيها لتطوير تقنيات تعلم الآلة، التي تتطلب تحليل كميات هائلة من البيانات لتدريب النماذج الذكية.
أعتاب حقبة جديدةويبدو أن العالم على أعتاب حقبة جديدة؛ فالتكنولوجيا التي استمرت 50 عامًا في السابق، وفقًا للمهندس نورم جوبّي من جوجل، يتم استبدالها الآن بأسلوب مختلف تمامًا.
ليس الأمر متعلقًا بالرقائق فقط، بل بكيفية تسريع تدفق البيانات بين هذه الشرائح لتحقيق أقصى استفادة ممكنة من قوتها الحاسوبية.
خبير إسرائيلي: الشرع مستعد للتعاون مع إسرائيل بشرط واحد