A aplicação Signal tem vindo a crescer de popularidade consideravelmente ao longo das últimas semanas, sobretudo depois das mudanças feitas pelo WhatsApp na sua política de privacidade. Isto tem vindo a atrair atenções para a app, ao ponto que alguns governos se encontram já a bloquear a plataforma nos seus países.
O Irão foi um dos primeiros a aplicar medidas, com o governo local a ter aplicado um bloqueio geral na app dentro do pais. A empresa aconselhou os utilizadores a usarem um proxy TLS para contornar este bloqueio, no entanto foi agora descoberto que esta técnica pode ainda assim permitir a monitorização por parte das autoridades.
A empresa começou por publicar no seu blog uma forma dos utilizadores no Irão contornarem as medidas de bloqueio aplicadas pelo governo, usando um proxy. Isto permite que as ligações do Signal contornem o bloqueio local e possam continuar a ser usadas na normalidade.
No entanto, os investigadores de segurança conhecidos como “DuckSoft” e “studentmain” terão descoberto um conjunto de falhas neste método, que além de permitirem às autoridades bloquearem na mesma o tráfego dentro do proxy, também permite que as mesmas possam chegar à origem do utilizador que aplicou o método para contornar a censura local.
De acordo com o portal BleepingComputer, os investigadores terão mesmo fornecido uma prova de conceito, a demonstrar como é possível identificar a origem do tráfego dos proxies, ao mesmo tempo que é possível determinar a sua origem inicial.
Curiosamente, pouco depois da falha ter sido partilhada no Github do Signal, a empresa terá removido as referências à mesma do projeto, indicando que este género de falhas deveria ser partilhado sobre o fórum de suporte da Signal.
Quando os utilizadores tentarem realizar este processo, verificaram que as suas contas foram banidas da plataforma da empresa, bem como as mensagens relativas à falha igualmente removidas de acesso público. Um moderador da comunidade do Signal afirma que as contas foram automaticamente suspensas por terem partilhado termos associados com possíveis casos de spam – sendo que foram entretanto restauradas o acesso bem como a publicação restaurada, mas apenas no fórum de suporte da empresa e não no Github.
O moderador afirma ainda que, apesar de não ter conhecimento sobre o caso do Github, a empresa pode ter optado por evitar a publicação da falha sobre o projeto para evitar a sobrecarga de problemas pendentes com a app dentro do Github – o qual registou um aumento considerável nas últimas semanas face ao maior número de utilizadores.
Nenhum comentário
Seja o primeiro!