Израильский производитель шпионского ПО заявил, что смог взломать мессенджер Signal

[house2008]

В заголовке «взломали», хотя просто сделали реверс open source проекта, даже сама компания так написала

В прошлый четверг компания объявила, что этот анализатор был обновлен функцией, которая позволяет клиентам декодировать данные из Signal.

[simplix]

Опять учёный изнасиловал журналиста.

[Inanity]

При полном физическом доступе к устройству такой исход — неудивителен. Это фундаментальная проблема, а не уязвимость.

[Vcoderlab]

Если бы вся эта байда шифровалась паролем, водимым пользователем, а не хранящимся в памяти, такой проблемы бы не было.

Но да, тут мы на оси «удобство <---> безопасность» смещаемся сильно вправо. Удобный вход «пальцем» работать не будет, придётся каждый раз вводить пароль.

[Inanity]

Если бы вся эта байда шифровалась паролем, водимым пользователем, а не хранящимся в памяти, такой проблемы бы не было.

Да, можно было бы, я бы даже не отказал от такого режима. Но в таком случае слабым место был бы пользователь. Давайте не забывать о том, что мы рассматриваем ситуацию, в которой скорее всего физически доступ имеется не только к телефону, но и к пользователю…

Тем не менее, предположим, что всё шифруется ключом, сгенерированным от пароля пользователя. Сомневаюсь, что многие стали бы каждый раз вводить длинный надёжный пароль, это действительно неудобно. В таком случае, вне зависимости от того как вы генерируете ключ (key derivation) из пароля пользователя, пространство перебора будет ограничено длинной самого пароля. Перебор этот к тому же, очень даже хорошо параллелится.

Удобный вход «пальцем» работать не будет, придётся каждый раз вводить пароль.

По-моему палец хуже слабого пароля.

[port443]

Keystore разве не шифруется ключом разблокировки телефона?

[site6893]

Все давно придумано до нас. Оставляем удобный вход пальцем и закидываем в кейстор сложный пароль, но для шифрования базы используем пароль из кейстора который пользователь не видит+пароль который вводит пользователь. В таком случае остается удобный вход пальцем, но секретные чатики недоступны. Чтобы туда попасть нужно еще тот ключ за 5$ из известного XKCD комикса. Что сильно усложняет задачу взломщика.

[titbit]

Если на сигнал обратили внимание, значит популярность его выросла заметно и он стал интересен. Интересно также, какой мессенджер будет следующим?

[vit157]

мне кажется, что обратили на него внимание уже давно. Другой вопрос, что его может заменить в плане безопасности…

[KonstantinSpb]

Неужели Jabber + OTR (OMEMO)?
Что-то никто не пишет о взломе Jabber + OTR, а было бы интересно почитать.

[lealxe]

Жаль все-таки, что открытой экосистемы для смартфонов нет.
EDIT: Андроиды не считаются.

[lealxe]

Именно из-за пайнфона и т.д. написал «экосистемы». Они радуют, но вот.

Про андроиды — копабельность маленькая.

[Daniil_Palii]

Если есть доступ к телефону то зачем что-то взламывать? Можно ведь просто из приложения все прочитать.