Randshell

طبقت البرامج الثابتة لـ Meshtastic، بدءًا من الإصدار 2.5، التشفير غير المتماثل (PKI) للرسائل المباشرة. ومع ذلك، في حالة عدم وجود علامة `pki encrypted`، تعود البرامج الثابتة إلى تشفير القناة القديم AES-256-CTR دون إخطار المستخدم. ويؤدي ذلك إلى ظهور هجوم محتمل لخفض مستوى الأمان، حيث يمكن للمهاجم الذي لديه معرفة بمفتاح القناة المشترك إدخال رسائل مباشرة مزيفة تبدو وكأنها مشفرة باستخدام PKI. تفتقر تطبيقات المستخدمين، بما في ذلك تطبيق الويب وتطبيق iOS/Android والتطبيقات القائمة على SDK، إلى القدرة على التمييز بين الرسائل المباشرة المشفرة باستخدام PKI وتلك المشفرة بالطريقة القديمة، مما يقوض المزايا الأمنية لتطبيق PKI. علامة `pki encrypted` هي معلمة تُستخدم للإشارة إلى ما إذا كانت الرسالة المباشرة قد تم تشفيرها باستخدام PKI أم لا.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Meshtastic-Android الأقدم من 2.5.21 الوصف: تسمح هذه الثغرة للمهاجم بإرسال رسالة مباشرة غير مشفرة إلى الضحية، متنكراً في صورة أي عقدة أخرى في الشبكة. ستظهر هذه الرسالة في نفس نافذة الدردشة التي يتواصل من خلالها الضحية عادةً مع العقدة الأخرى، وستبدو وكأنها تستخدم تقنية PKC (تشفير المفتاح العام)، في حين أنها في الواقع لا تستخدمها. ونتيجةً لذلك، قد يشعر الضحية بأمان زائف بسبب القفل الأخضر الذي يظهر عند استخدام تقنية PKC، وسيعتبر رسالة المهاجم رسالةً شرعية. التوصيات: بالنسبة للإصدارات الأقدم من 2.5.21، قم بالتحديث إلى الإصدار 2.5.21 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تطبيق رقابة أكثر صرامة على ما إذا كانت الرسالة قد تم استلامها باستخدام PKC أو باستخدام مفتاح قناة Meshtastic المشترك. ضع في اعتبارك استخدام مؤشر صريح، مثل القفل الأصفر نصف المفتوح الذي يظهر عند التواجد في وضع HAM، بدلاً من عدم عرض أي رمز قفل أخضر في الدردشة التي لا تستخدم PKC.