Güvenli mesajlaşma uygulamasında kritik güvenlik açığı!

Mustafa Kemal Can

12 Mayıs 2018

Gizlilik ve güvenlik açısından oldukça iddialı bir anlık mesajlaşma uygulması olan Signal güvenlik açığı nedeniyle kullanıcıları tedirgin etti.

Verilerinizi saklamayan, takip etmeyen, sektör standartlarında uçtan uca şifreleme teknolojilerine sahip bir platform olan Signal, oldukça beğenilmişti. Gizlilik sözleşmesinde dahi kullanıcının gizliliğini ve güvenliğini ihlal edecek bir madde bulunmayan Signal, kritik bir güvenlik açığı ile gündeme geldi!

Signal güvenlik açığı, video ile de kanıtlandı!

Signal uygulamasında tespit edilen güvenlik açığı aslında cross site scripting (XSS) temelli bir açık. Yani bu açık sunucu tarafında çalışmıyor, fakat Signal’in hem Windows hem de Linux versiyonlarını etkileyen bu açık nedeniyle hackerlar sisteminizde komut çalıştırabiliyor. Size attıkları bir mesajı okumanız halinde tetiklenen bu açık sayesinde hacker, işletim sisteminizi telefonundan dahi kontrol edebilir bir duruma geçiyor.

Oldukça ürkütücü olan bu açık hakkında henüz detaylı bir açıklama yok fakat eğer açık Signal uygulamasının kullandığı Electron yapısında ise, durum çok daha kritik bir boyut kazanabilir. Çünkü bu yapı Slack, Skype, WordPress gibi dev sistemlerde de kullanılıyor.

Signal ekibi, açığın raporlanmasının ardından sadece 2-3 saat gibi kısa bir sürede açığın kapatıldığı güvenli versiyonu yayınlayarak kullanıcılarına sundular. Eğer siz de Signal uygulamasının Windows ve Linux sürümlerini kullanıyorsanız, uygulamayı acil olarak 1.10.1 sürümüne güncellemenizi tavsiye ediyoruz.