התראות דחיפה מאובטחות: מהתיאוריה לפרקטיקה

היי הבר!

היום אדבר על מה שעמיתיי ואני עושים כבר כמה חודשים: הודעות דחיפה עבור מסרים מיידיים ניידים. כפי שכבר אמרתי, באפליקציה שלנו הדגש העיקרי הוא על אבטחה. לכן, גילינו האם להודעות דחיפה יש "נקודות תורפה", ואם כן, כיצד נוכל ליישר אותן כדי להוסיף את האפשרות השימושית הזו לשירות שלנו.

אני מפרסם תרגום שלנו מאמרים מ-Medium עם כמה תוספות קטנות ממני. הוא מכיל את תוצאות ה"חקירה" וסיפור על איך נפתרה הבעיה.

אנחנו בוחנים את החומר

במודל הקלאסי, הודעות דחיפה הופכות את שליחים לפגיעים להתקפות MITM (Man-in-the-middle). לדוגמה, עם גוגל, מיקרוסופט והגרסה הישנה של iMessage, האפליקציה שולחת מפתחות הצפנה לשרתי אפל - בשרת, משתמשים מאומתים וכותרת ההודעה (או התוכן שלה) מפוענחת.

כתוצאה מכך, יש סיכוי לקרוא את ההתכתבות על ידי קבלת גישה לשרת התראות הדחיפה. המשמעות היא שכל הצפנה של התכתבות היא חסרת תועלת: הודעות דחיפה עדיין ישאירו את האפשרות להיקרא על ידי צדדים שלישיים. מחברי המאמר דנו באפשרות זו ביתר פירוט. "הצפין נכון" באתר Xaker.ru, המוקדש לשיטות הצפנת הודעות.

אם אתה חושב שהשרתים של אפל וגוגל מאובטחים ב-100% מפני דליפת מפתחות הצפנה של משתמשים, קחו בחשבון את העובדה שלעובדים שלהם יש גישה אליהם. והעובדים הם אנשים.
למרות כל נקודות התורפה של הודעות דחיפה, הרבה מסרים מיידיים "מאובטחים", כולל Signal ו-Telegram, משתמשים בהם. אחרת, המשתמשים יצטרכו לנטר "ידנית" הודעות חדשות על ידי כניסה מתמדת לאפליקציה. וזה מאוד לא נוח, ושליחים מתחרים יקבלו יתרון.

פרנויה ושכל ישר

בפרויקט שלנו, התייחסנו לנושא זה מקרוב לפני מספר חודשים. היינו צריכים להוסיף אפשרות דחיפה כדי להיות תחרותיים. אך יחד עם זאת, אל תפתחו חור אבטחה, כי כל דליפת נתונים תערער את האמון בפרויקט.

עם זאת, יש לנו כבר יתרון חשוב: המסנג'ר שלנו מבוזר (הנתונים מאוחסנים בבלוקצ'יין), ולעובדים אין גישה לחשבונות. רק למשתמשים יש מפתחות הצפנה, ומפתחות ציבוריים של בני שיח זמינים בבלוקצ'יין כדי להגן מפני התקפות MITM.

בגרסה הראשונה של הודעות דחיפה, החלטנו לשחק אותה בטוחה ככל האפשר ולא להעביר את טקסט ההודעה כלל. שירות הדחיפה לא קיבל את הטקסט של ההודעה מהצומת, אלא רק אות לגבי עובדת קבלתה. לכן, המשתמש ראה את ההודעה "הודעה חדשה הגיעה". אפשר היה לקרוא אותו רק במסנג'ר.

איך זה עבד: וידאו.

לאחר מכן, למדנו שלגרסה העדכנית ביותר של אפל להתראות יש תכונות אבטחה חדשות. הֵם מְשׁוּחרָר UNNotificationServiceExtension, המאפשרת למפתחים לשלוח נתוני התראות מוצפנים במלואם דרך APNS. לאחר מכן, האפליקציה במכשיר של משתמש הקצה מבצעת את הפענוח (או מורידה נתונים נוספים) ומציגה הודעה. לקחנו את זה כבסיס לגרסה השנייה של הודעות דחיפה.

כעת פיתחנו את הגרסה השנייה של הודעות דחיפה עבור iOS, המאפשרת להציג את טקסט ההודעה ללא סיכון אבטחה. בקונספט החדש, ההיגיון נראה כך:

• שירות הדחיפה שולח הודעת דחיפה עם מספר העסקה (ההודעה המוצפנת יכולה להיות גדולה מאוד, וגודל ההודעות מוגבל מאוד)
• כאשר המכשיר מקבל התראה, הוא מפעיל את NotificationServiceExtension שלנו - מיקרו-אפליקציה המבקשת עסקה מהצומת לפי id, מפענחת אותה באמצעות ביטוי הסיסמה השמור, ושולחת התראה חדשה למערכת. ביטוי הסיסמה מאוחסן באחסון מאובטח.
• המערכת מציגה הודעה עם הודעה או תרגום מפוענחים.
• המפתחות לא הולכים לשום מקום, בדיוק כמו הודעת הטקסט הפשוטה. לשירות הדחיפה אין דרך לפענח את ההודעה.

קיבלנו גרסה זו כעובדת ויישמנו אותה בעדכון האחרון של אפליקציית iOS.
מי שמתעניין בצד הטכני יכול לראות את קוד המקור: github.com/Adamant-im/adamant-notificationService.

מקור: www.habr.com