Signal для Мас не удаляет «самоуничтожающиеся» сообщения

Исследователи в области кибербезопасности выявили недочет в macOS-версии популярного мессенджера Signal. Как оказалось, клиент не удаляет «самоуничтожающиеся» сообщения с системы получателя, что ставит под угрозу конфиденциальность контента сообщений.

По идее, исчезающие сообщения в Signal должны самоуничтожаться по прошествии определенного периода времени, установленного отправителем, не оставляя никаких следов ни на устройстве получателя, ни на серверах Signal. Однако исследователь Алек Маффетт (Alec Muffett) обнаружил , что такие сообщения можно просмотреть, даже если они были удалены из приложения.

Как пояснил специалист Патрик Уордл (Patrick Wardle), macOS создает копию (частичную, если речь идет о длинных сообщениях) исчезающих сообщений в базе данных Центра уведомлений системы, откуда они могут быть восстановлены в любой момент. По словам исследователя, при включении уведомлений для приложения Signal в macOS сервис будет отображать уведомления для исчезающих сообщений, в том числе в форме сокращенных сообщений (обычно это первые строчки сообщения).

Подобное поведение представляет несколько рисков потери конфиденциальности. В частности, исчезающие сообщения могут сохраняться в пользовательском интерфейсе Центра уведомлений macOS даже после удаления из мессенджера и отображаться на панели уведомлений, пока пользователь не закроет интерфейс. Кроме того, в БД SQLite Центра уведомлений также сохраняется копия сокращенного сообщения, доступ к которой может получить пользователь с обычными привилегиями или вредоносное приложение.

Для защиты контента сообщений специалисты рекомендуют отключить функцию уведомлений, пока Signal не исправит проблему.

Signal – бесплатное приложение с открытым кодом, доступное для телефонов на базе Android, iOS, а так же для персональных компьютеров. В приложении реализовано сквозное шифрование, что позволяет пользователям Signal отправлять зашифрованные групповые и индивидуальные текстовые сообщения, фотографии и видео-файлы, а также совершать зашифрованные телефонные и видео звонки.