Αρκετές πλατφόρμες αποθήκευσης cloud με κρυπτογράφηση από άκρο σε άκρο (E2EE) είναι ευάλωτες σε ένα σύνολο ελαττωμάτων ασφαλείας που θα μπορούσαν να εκθέσουν τα δεδομένα χρήστη σε κακόβουλους παράγοντες.
Δείτε επίσης: Ευπάθειες στο Splunk Enterprise επιτρέπουν σε hackers να εκτελούν απομακρυσμένο κώδικα
Η κρυπτογραφική ανάλυση από τους ερευνητές της ETH Zurich Jonas Hofmann και Kien Tuong, αποκάλυψε πρόβλημα με τις υπηρεσίες Sync, pCloud, Icedrive, Seafile και Tresorit, που χρησιμοποιούνται συλλογικά από περισσότερα από 22 εκατομμύρια άτομα.
Η ανάλυση βασίστηκε στο μοντέλο απειλής ενός εισβολέα που ελέγχει έναν κακόβουλο διακομιστή που μπορεί να διαβάζει, να τροποποιεί και να εισάγει δεδομένα κατά βούληση σε πλατφόρμες αποθήκευσης cloud E2EE με ελαττώματα, κάτι που είναι ρεαλιστικό για τους παράγοντες των εθνικών κρατών και τους εξελιγμένους χάκερ.
Η ομάδα σχολιάζει ότι πολλά από τα ελαττώματα που ανακαλύφθηκαν, αντιτίθενται άμεσα στις υποσχέσεις μάρκετινγκ των πλατφορμών, οι οποίες δημιουργούν μια παραπλανητική και ψευδή υπόθεση για τους πελάτες.
Οι ερευνητές της ETH Zurich βρήκαν σοβαρές ευπάθειες και στα πέντε προϊόντα, συμπεριλαμβανομένων υλοποιήσεων που επιτρέπουν σε έναν κακόβουλο παράγοντα να εισάγει αρχεία, να παραποιεί δεδομένα ή να αποκτά πρόσβαση σε αρχεία χρήστη. Ακολουθεί μια επισκόπηση των προβλημάτων που ανακαλύφθηκαν:
Δείτε ακόμα: Διακομιστές Linux και UNIX εκτεθειμένοι σε επιθέσεις CUPS RCE
Sync: Τα τρωτά σημεία του Sync περιλαμβάνουν key material χωρίς έλεγχο ταυτότητας, επιτρέποντας στους εισβολείς να εισάγουν τα δικά τους κλειδιά κρυπτογράφησης και να παραβιάζουν δεδομένα.
pCloud: Τα κύρια ζητήματα του pCloud προέρχονται από key material χωρίς έλεγχο ταυτότητας, που επιτρέπει στους εισβολείς να αντικαθιστούν τα ιδιωτικά κλειδιά και να επιβάλλουν κρυπτογράφηση με κλειδιά που ελέγχονται από τους εισβολείς.
Icedrive: Η χρήση κρυπτογράφησης CBC χωρίς έλεγχο ταυτότητας από το Icedrive το καθιστά ευάλωτο σε παραβίαση αρχείων, επιτρέποντας στους εισβολείς να τροποποιούν τα περιεχόμενα του αρχείου.
Seafile: Το Seafile είναι ευάλωτο σε υποβαθμίσεις πρωτοκόλλου, καθιστώντας ευκολότερo τοbrute-forcing κωδικού πρόσβασης.
Tresorit: Ο έλεγχος ταυτότητας με δημόσιο κλειδί του Tresorit βασίζεται σε πιστοποιητικά ελεγχόμενα από διακομιστή, τα οποία μπορούν να αντικαταστήσουν οι εισβολείς για να αποκτήσουν πρόσβαση σε κοινόχρηστα αρχεία.
Δείτε επίσης: CISA: Ελάττωμα RCE επηρεάζει κρίσιμες υποδομές
Από την ομάδα των πέντε που εξετάστηκαν, το Tresorit τα πήγε σχετικά καλύτερα, καθώς τα ζητήματα που ανακαλύφθηκαν δεν εκθέτουν άμεσα τα περιεχόμενα του αρχείου ούτε επιτρέπουν τον εύκολο χειρισμό δεδομένων.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι πλατφόρμες αποθήκευσης cloud έχουν φέρει επανάσταση στον τρόπο με τον οποίο τα άτομα και οι επιχειρήσεις διαχειρίζονται τα δεδομένα τους, προσφέροντας ασφαλείς, απομακρυσμένες λύσεις αποθήκευσης. Αυτές οι πλατφόρμες επιτρέπουν στους χρήστες να αποθηκεύουν και να έχουν πρόσβαση σε αρχεία από οπουδήποτε, υπό την προϋπόθεση ότι υπάρχει σύνδεση στο Διαδίκτυο. Ωστόσο, αν και είναι βολικές και αποτελεσματικές, δεν είναι χωρίς ελαττώματα, όπως στις πλατφόρμες cloud E2EE. Ένα από τα κύρια ζητήματα είναι η ασφάλεια, καθώς η αποθήκευση ευαίσθητων δεδομένων στο διαδίκτυο μπορεί να τα εκθέσει σε πιθανές επιθέσεις στον κυβερνοχώρο ή σε μη εξουσιοδοτημένη πρόσβαση. Επιπλέον, οι χρήστες ενδέχεται να αντιμετωπίσουν ζητήματα που σχετίζονται με την ιδιοκτησία και τον έλεγχο των δεδομένων, καθώς τα δεδομένα φιλοξενούνται σε διακομιστές που ανήκουν σε τρίτες εταιρείες.
Πηγή: bleepingcomputer
