Разработчики анонимного сервиса для информаторов SecureDrop устранили серьезную уязвимость, используя которую злоумышленники могли осуществить перехват коммуникаций между репортерами и информаторами.
Платформа SecureDrop, имеющая открытый исходный код, дает СМИ возможность анонимного и безопасного общения с журналистами и правозащитниками.
Разработчики SecureDrop обнаружили проблему 16 октября во время тестирования серверов. По их словам, ошибка относится к процессу инсталляции, в ходе которого осуществляется установка пакетов tor, ntp и tor keyring без проверки криптографических подписей. Передача пакетов осуществляется через HTTP, вследствие чего хакер, имеющий доступ к сети, может проводить атаку типа man-in-the-middle, подключаться к серверу и дистанционно выполнять код. Уязвимость присутствует только в версии SecureDrop 0.3.
Воспользоваться ошибкой можно лишь в ходе установки SecureDrop. Хакеры, намеревающиеся провести такую атаку, должны располагать существенными ресурсами для наблюдения за целью, определять момент установки SecureDrop 0.3, проводить атаку man-in-the-middle и менять установочные файлы на вредоносные. На данный момент разработчики SecureDrop не владеют информацией о фактах использования этой уязвимости киберпреступниками. Ошибку исправили в версии SecureDrop 0.4.4.
