یک اپلیکیشن تایپ زبان چینی که به طور گسترده در ویندوز و اندروید مورد استفاده قرار می‌گیرد، دارای یک آسیب‌پذیری جدی است که به یک عامل مخرب اجازه می‌دهد متن تایپ شده توسط کاربران را رمزگشایی کند.
محققان دانشگاه Toronto’s Citizen Lab این نقص را هنگامی که روی مکانیزم رمزنگاری اپلیکیشن
Sogou Input تحقیق می‌کردند کشف کردند. اپلیکیشن Sogou Input ماهیانه بیش از ۴۵۵ میلیون کاربر فعال روی سیستم‌عامل‌های ویندوز، اندروید و iOS دارد.
این آسیب‌پذیری ریشه در EncryptWall، سیستم رمزگذاری سفارشی این سرویس دارند و به عاملان مخرب شبکه (Mitm) اجازه می‌دهد محتوای متنی را استخراج و به داده‌های حساس کاربران دسترسی داشته باشند.
محققان گفتند «نسخه‌های ویندوز و اندروید Sogou Input Method حاوی این آسیب‌پذیری‌ها هستند، از جمله آسیب‌پذیری در برابر حمله اوراکل padding CBC، که به مرد میانی در شبکه اجازه می‌دهد متن ساده را بازیابی کنند و اطلاعات حساس از جمله آنچه کاربران تایپ کرده‌اند را بدست آورند.»
CBC، مخفف زنجیره block cipher، حالتی از عملیات رمزنگاری است که در آن هر بلوک متن ساده قبل از رمزگذاری با بلوک متن رمزنگاری شده قبلی XOR می شود.
با توجه به اینکه block cipher بر روی بلوک‌های متن ساده با اندازه ثابت کار می‌کند، می‌توان از حمله اوراکل padding برای افشای اطلاعات در مورد اینکه آیا متن رمز دریافت‌شده، هنگام رمزگشایی، دارای یک padding معتبر است یا خیر، استفاده کرد. در انجام این کار، یک عامل تهدید می‌تواند پیامی را بدون اینکه در واقع کلید رمزگذاری را بداند، رمزگشایی کند.
منبع: https://thehackernews.com/2023/08/encryption-flaws-in-popular-chinese.html
