Με τον αποκαλυπτικό τίτλο «η εφαρμογή μηνυμάτων Threema του Ελβετικού Στρατού ήταν γεμάτη τρύπες – τουλάχιστον επτά», η ιστοσελίδα theregister.com αποκαθήλωνε στις αρχές του 2023 το συγκεκριμένο τρόπο επικοινωνιών ως μία ασφαλή καταφυγή για όσους φοβούνται υποκλοπές.

Το εάν οι ισχυρισμοί αυτοί έχουν μία πραγματική βάση είναι ένα ερώτημα, χωρίς… ασφαλή απάντηση, αλλά σε κάθε περίπτωση η προτροπή της ΕΥΠ προς τους υπουργούς και τους αξιωματούχους της ελληνικής κυβέρνησης να χρησιμοποιούν τη συγκεκριμένη εφαρμογή, γεννά απορίες.

Η κίνηση της ΕΥΠ ήρθε στο φως της δημοσιότητας από την Καθημερινή, το πρωί της Τρίτης και επανέφερε το θέμα της ασφάλειας των επικοινωνιών στη χώρα, ακόμα και για τους πλέον υψηλόβαθμους παράγοντες του δημόσιου βίου.

Η ιστοσελίδα theregister.com έγραφε τον περασμένο Ιανουάριο ότι «μία υποτιθέμενη ασφαλής εφαρμογή ανταλλαγής μηνυμάτων που προτιμήθηκε από την ελβετική κυβέρνηση και τον στρατό είχε μολυνθεί με σφάλματα – πιθανώς για μεγάλο χρονικό διάστημα – πριν από έλεγχο από ερευνητές του ETH της Ζυρίχης». Η ομάδα εφαρμοσμένης κρυπτογραφίας του πανεπιστημίου αυτή την εβδομάδα δημοσίευσε έρευνα, που περιγράφει επτά ευπάθειες στα εγχώρια κρυπτογραφικά πρωτόκολλα του Threema. Τα τρωτά σημεία, εάν εκμεταλλευόντουσαν, θα μπορούσαν να έχουν επιτρέψει σε κακούς να κλωνοποιήσουν λογαριασμούς και να διαβάσουν τα μηνύματά τους, καθώς και να κλέψουν ιδιωτικά κλειδιά και επαφές, ακόμη και να κατασκευάσουν παραβιαστικό υλικό για σκοπούς εκβιασμού.

Ενώ η εφαρμογή που εδρεύει στην Ελβετία –η οποία θεωρεί τον εαυτό της ως μια πιο ασφαλή και μη βασισμένη στις ΗΠΑ εναλλακτική λύση για το WhatsApp– δεν χρησιμοποιείται τόσο ευρέως όσο το Signal ή το Telegram, τα κέντρα δεδομένων της βρίσκονται στην επικράτεια των Άλπεων. Αυτό την καθιστά μια δημοφιλή εφαρμογή ανταλλαγής μηνυμάτων για χρήστες – όπως ο ελβετικός στρατός – που θέλουν να αποφύγουν πιθανές κατασκοπεύσεις από υπερπόντιες κυβερνήσεις. Διαθέτει περισσότερους από δέκα εκατομμύρια χρήστες και 7.000 πελάτες εντός εγκατάστασης – συμπεριλαμβανομένου του γερμανού καγκελάριου Όλαφ Σολτς.

Η Threema υποβάθμισε τα σφάλματα σε μια ανάρτηση ιστολογίου σχετικά με την έρευνα. Τα τρωτά σημεία βρέθηκαν σε ένα πρωτόκολλο που η Threema δεν χρησιμοποιεί πλέον, και ενώ τα σφάλματα μπορεί να είναι «ενδιαφέροντα από θεωρητικής σκοπιάς, κανένα από αυτά δεν είχε ποτέ σημαντικό αντίκτυπο στον πραγματικό κόσμο», σύμφωνα με την ανάρτηση.

Η δήλωση της ελβετικής εταιρείας: «Πέρυσι, ένας φοιτητής στο Τμήμα Επιστήμης Υπολογιστών στο ETH Ζυρίχης έγραψε τη διατριβή του για το πρωτόκολλο επικοινωνίας της Threema. Το πανεπιστήμιο έχει πλέον δημοσιεύσει τη δουλειά του ως έγγραφο/προεκτύπωση. Ωστόσο, το έγγραφο βασίζεται σε ένα παλιό πρωτόκολλο που δεν χρησιμοποιείται πλέον. Τα ευρήματα που παρουσιάζονται δεν ισχύουν για το τρέχον πρωτόκολλο επικοινωνίας της Threema “Ibex” ή έχουν ήδη αντιμετωπιστεί. Κανένα από αυτά δεν είχε ποτέ σημαντικό αντίκτυπο στον πραγματικό κόσμο».

Οι τρεις ερευνητές -ο καθηγητής πληροφορικής Kenneth Paterson και οι διδακτορικοί φοιτητές Matteo Scarlata και Kien Tuong Truong– σημείωσαν σε έναν ιστότοπο σχετικά με τα ελαττώματα ασφαλείας της Threema ότι αρχικά αποκάλυψαν τα ευρήματά τους στην εταιρεία τον Οκτώβριο του 2022 και αργότερα συμφώνησαν σε μια δημόσια αποκάλυψη στις 9 Ιανουαρίου. ημερομηνία.

Η Threema κυκλοφόρησε το πρωτόκολλό της Ibex στα τέλη Νοεμβρίου «για να μετριάσει περαιτέρω τις επιθέσεις μας» και οι ερευνητές σημείωσαν ότι δεν έχουν ελέγξει αυτό το νέο πρωτόκολλο, το οποίο κυκλοφόρησε μετά την έρευνά τους. Ωστόσο, «πιστεύουν ότι όλα τα τρωτά σημεία που ανακαλύψαμε έχουν μετριαστεί από τις πρόσφατες ενημερώσεις κώδικα του Threema», έγραψαν οι ερευνητές.

Σε ένα email στο The Register, ο Paterson σημείωσε ότι το παλιό πρωτόκολλο «ενημερώθηκε μόνο στη “νέα” έκδοση λόγω της έρευνάς μας».

Η δήλωση του Threema «είναι εξαιρετικά παραπλανητική», πρόσθεσε. «Είναι πολύ απογοητευτικό που απεικόνισαν την τρέχουσα κατάσταση με αυτόν τον εξαιρετικά παραπλανητικό τρόπο».

Ενώ οι ερευνητές παραδέχονται ότι αυτά τα συγκεκριμένα σφάλματα δεν αποτελούν πλέον απειλή για τους πελάτες της Threema, η ανακάλυψή τους εξακολουθεί να υπογραμμίζει τη δυσκολία στην αξιολόγηση των «αξιώσεων ασφαλείας που γίνονται από προγραμματιστές εφαρμογών που βασίζονται σε ειδικά κρυπτογραφικά πρωτόκολλα».

«Ιδανικά, κάθε εφαρμογή που χρησιμοποιεί νέα κρυπτογραφικά πρωτόκολλα θα πρέπει να συνοδεύεται από τις δικές της επίσημες αναλύσεις ασφαλείας (με τη μορφή αποδεικτικών στοιχείων ασφαλείας) προκειμένου να παρέχει ισχυρές διασφαλίσεις ασφαλείας», πρόσθεσαν. «Μια τέτοια ανάλυση μπορεί να βοηθήσει στη μείωση της αβεβαιότητας σχετικά με το εάν εξακολουθούν να υπάρχουν περαιτέρω σοβαρές κρυπτογραφικές ευπάθειες στο Threema».

Συμβουλές για αποφυγή του Threema

Σε ένα άλλο ιστότοπο, η συμβουλή που δίνεται στους χρήστες του Threema από τον https://www.goincognito.co, είναι να μην υποθέτουν ποτέ ότι μια εφαρμογή είναι απολύτως ασφαλής και να βεβαιωθούν και να βεβαιωθούν ότι χρησιμοποιούν τις πιο πρόσφατες εκδόσεις. Και επισημαίνει τα προβλήματα, που είχαν εντοπιστεί.

Περισσότερα εδώ

Διαβάστε επίσης:

Νέα Αριστερά: Η νέα κοινοβουλευτική ομάδα ως «πρόπλασμα» του νέου φορέα που θα δώσει τη μάχη των ευρωεκλογών

ΣΥΡΙΖΑ: Ο Κασσελάκης ανεβάζει τον πήχη κατακόρυφα για τις ευρωεκλογές και εισηγείται «προκριματικά ψηφοδέλτια»

Γάμος ομόφυλων ζευγαριών: Θα έρθει στη Βουλή, όταν αποφασίσει ο… Μητσοτάκης