0 Tıklamayla Anonimleştirme Saldırısı Telegram, Signal, Discord ve Diğer Uygulamalardan Yararlanıyor 250 mil yarıçapındaki bir hedefin konumunu potansiyel olarak ortaya çıkarabilen ve Signal gibi popüler mesajlaşma uygulamalarının kullanıcıları için önemli gizlilik riskleri oluşturan yeni bir sıfır tıklamayla anonimleştirme saldırısı keşfedildi , Discord ve Twitter/X.
Araştırmacıya göre, bu karmaşık saldırı, hedeften herhangi bir etkileşim olmadan kullanıcının konumunu belirlemek için anında bildirim sistemlerindeki ve içerik dağıtım ağlarındaki (CDN’ler) güvenlik açıklarından yararlanıyor.
Saldırı, birçok mesajlaşma uygulamasının performansı artırmak için kullandığı Cloudflare gibi CDN’lerin önbelleğe alma mekanizmalarından yararlanarak çalışıyor.
Hedef cihaza bir anında bildirim gönderildiğinde, uygulamanın CDN’sinden içeriği otomatik olarak indirir ve yakındaki bir veri merkezinde bir önbellek yanıtını tetikler.
Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free
0-Tıklamayla Anonimleştirme Saldırısı
Saldırgan, hangi veri merkezlerinin belirli içeriği önbelleğe aldığını analiz ederek hedefin coğrafi konumunu daraltabilir. Signal kullanıcıları için saldırı, uygulamanın varsayılan anlık bildirim ayarlarından yararlanıyor.
Kullanıcı bir görüşmeyi açmasa bile, ek içeren bir mesaj almak cihazın görüntüyü indirip önbelleğe almasına neden olur ve potansiyel olarak konumu açığa çıkar. Bu, güvenli iletişim için Signal’e güvenen gazeteciler, aktivistler ve ihbarcılar için özel bir risk oluşturuyor.
Discord da benzer şekilde savunmasızdır; Nitro abonelik özelliği, saldırganların saldırı için bir vektör olarak özel emojileri kullanmasına olanak tanır. Saldırgan, özel hazırlanmış bir avatarla arkadaşlık isteği göndererek, avatar görüntüsünü indirip önbelleğe alan ve hedefin yaklaşık konumunu ortaya çıkaran bir anında bildirimi tetikleyebilir.
Bu saldırıyı keşfeden araştırmacı, etkinliğini göstermek için “GeoGuesser” adında bir araç oluşturdu.
Bir testte araç, Discord’un CTO’sunu bir dakikadan kısa bir sürede 300 millik bir yarıçap içinde bulmayı başardı ve bu da yüksek profilli bireylerin takip ve takip potansiyelini ortaya çıkardı. Endişe verici bir şekilde, hem Signal hem de Discord başlangıçta güvenlik açığının ciddiyetini küçümsedi.
Signal, ağ katmanı anonimliğini sağlamanın kendilerinin sorumluluğu olmadığını iddia ederken Discord, sonunda sorunu Cloudflare’e bağladı.
Cloudflare, veri merkezi geçişiyle ilgili belirli bir hatayı düzeltti ancak hassas kaynaklar için önbelleğe almayı devre dışı bırakmanın müşterilerine bağlı olduğunu savunuyor.
Saldırının yaratıcısı, temel güvenlik açığının önbellekleme ve anlık bildirim sistemlerinin temel tasarımından kaynaklanması nedeniyle bu yanıtların yetersiz olduğunu savunuyor.
Cloudflare yamasından sonra bile araştırmacı, dünya çapındaki farklı veri merkezlerine erişmek için VPN hizmetlerini kullanarak saldırıyı kopyalamayı başardı.
Bu anonimleştirme tekniği, kullanıcı gizliliği ve gözetim potansiyeli konusunda ciddi endişelere yol açmaktadır. Uygulama performansını artırmak için tasarlanan altyapının invaziv izleme için nasıl kullanılabileceğini gösteriyor.
Saldırı özellikle endişe verici çünkü kullanıcı etkileşimi gerektirmiyor ve çok az iz bırakıyor ya da hiç iz bırakmıyor, bu da onu neredeyse tespit edilemez hale getiriyor.
Kullanıcılar kendilerini korumak için anlık bildirimleri etkinleştirme konusunda dikkatli olmalı ve VPN veya diğer anonimleştirme araçlarını kullanmayı düşünmelidir.
Ancak, daha sağlam gizlilik korumaları uygulama sorumluluğu sonuçta uygulama geliştiricilerine ve altyapı sağlayıcılarına aittir.
Bu güvenlik açığı birden fazla popüler platformu etkilediğinden, teknoloji endüstrisinin performans optimizasyonlarının kullanıcı gizliliğini nasıl tehlikeye atabileceğini yeniden değerlendirmesi için bir uyandırma çağrısı görevi görüyor.
Daha kapsamlı çözümler geliştirilene kadar, mesajlaşma uygulamalarının kullanıcıları, özellikle de hassas konumdakiler, dijital ayak izleri ve istenmeyen konum ifşası potansiyeli konusunda dikkatli olmalıdır.
Jenkins & Jira’yı Kullanarak Uygulama Güvenliğini CI/CD İş Akışlarınıza Entegre Etme -> Ücretsiz Web Semineri