Nel servizio Librem One, progettato per l'uso su smartphone , subito dopo è emerso di sicurezza che scredita il progetto, presentato come una piattaforma sicura per garantire la privacy. La vulnerabilità è stata trovata nel servizio Librem Chat e permetteva di accedere alla chat con qualsiasi utente, senza conoscere i parametri di autenticazione.
Nel codice backend utilizzato per l'autenticazione tramite LDAP (matrix-appservice-ldap3) per la rete Matrix si è verificato un errore , che è stato trasferito anche nel codice del servizio Librem One. Invece della riga «result, _ = yield self._ldap_simple_bind» è stata indicata «result = yield self._ldap_simple_bind», il che consentiva a qualsiasi utente non autorizzato di accedere alla chat con qualsiasi identificativo. Gli sviluppatori del progetto Matrix che hanno commesso l'errore , hanno affermato che il problema si manifestava solo nel ramo master di «matrix-appservice-ldap3», e non nelle versioni stabili, ma nel repository la riga problematica era presente fin dal 2016 (potrebbe essere che le condizioni per sfruttare il problema siano emerse solo dopo alcune recenti modifiche).
Il set di servizi Librem One prevede un abbonamento a pagamento ($7.99 al mese o $71.91 all'anno), ma si basa su progetti esistenti e open source, che sono stati per essere distribuiti con il marchio Librem. Ad esempio, Librem Chat è un client Matrix rinominato , Librem Social è basato su , Librem Mail è stato rinominato da , Librem Tunnel è stato preso da . I componenti server sono basati su
Postfix e Dovecot per Librem Mail, per Librem Chat e per Librem Social. Il motivo per cui le applicazioni sono fornite con nomi diversi è la volontà di raccogliere sotto un unico marchio riconoscibile vari servizi decentralizzati basati su standard aperti (Matrix, ActivityPub, IMAP).
Fonte: opennet.ru
