2SDnjc1JCzF
Proton случайно выложил коды 2FA в логи
Приложение Proton Authenticator, только что выпущенное для iOS, попало под критику из-за серьёзной утечки: коды двухфакторной аутентификации (TOTP) сохранялись в логах в открытом виде. Ошибку заметили пользователи Reddit, когда, пытаясь сообщить о другом баге, случайно обнаружили в файлах журнала свои чувствительные данные — включая код доступа к Bitwarden.
Проблема крылась в функции, которая при обновлении записи добавляла данные TOTP в переменную, отправляемую в лог. Это означало, что каждый, кто имел доступ к логам устройства, потенциально мог украсть учетные данные. Хотя Proton заверяет, что все данные шифруются и не покидают устройство, сама по себе запись таких секретов в логи считается грубейшим нарушением.
Обновление с устранением проблемы (версия 1.1.1) уже появилось в App Store. Однако разработчики напомнили: если кто-то получил доступ к вашему устройству, лог — не единственное, что под угрозой. Утечка не эксплуатируемая удалённо, но если вы пересылаете лог технической поддержке или выкладываете его в открытый доступ — ваши аккаунты рискуют попасть в чужие руки.
Теги:
похожие материалы
Семь из десяти кибератак в России нарушают работу малого и среднего бизнеса
Семь из десяти успешных целенаправленных атак на малый и средний бизнес нарушили основную деятельности бизнеса.
В России предложили разрешить облачным сервисам и средствам защиты данных работать только с одной операционной системой
Российские власти предложили смягчить требования к совместимости отечественного программного обеспечения с операционными системами.
В России предложили использовать ИИ для блокировки до 95% VPN-сервисов
Российские власти обсуждали возможность использования искусственного интеллекта для выявления и блокировки VPN-сервисов.
Кибершпионаж вместо хактивизма: эксперты уточнили мотивацию группировки Insolent Werewolf
Мотивацию кластера Insolent Werewolf связывали преимущественно с хактивизмом, однако свежие данные указывают на кибершпионаж.
В Екатеринбурге состоится Уральский фестиваль кибербезопасности
26-27 ноября в Екатеринбурге, в кампусе ИРИТ-РТФ УрФУ «Новокольцовский», пройдет Уральский фестиваль кибербезопасности.
Мошенники становятся умнее. Как меняются способы защиты
Технологии развиваются, а вместе с ними растут и угрозы.
В ЕАЭС 15 октября провели первую пилотную перевозку с электронной накладной eCMR
Эксперимент по внедрению электронных международных транспортных накладных (eCMR) в ЕАЭС выходит на новый этап: первой реальной пилотной перевозке с использованием цифрового документа дан старт сегодня, 15 октября, по маршруту Казахстан — Россия.
В криптокошельки Ledger внедряли шпионские чипы: компания остановила продажи в Азии после многомиллионных хищений
Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге после обнаружения модифицированных устройств со скрытыми электронными компонентами.
В Telegram обнаружили новую ленту новостей с персональными рекомендациями
Разработчики Telegram готовят новую функцию, которая может существенно изменить привычный способ просмотра публикаций в мессенджере.
«Яндекс» частично восстановил работу рекламных сервисов после атак на дата-центры
«Яндекс» начал восстанавливать доступ к рекламным сервисам, пострадавшим после серии атак беспилотников на дата-центры компании.