ደረጃ01
ቪዲዮ ጥሪዎችየድምጽ መልዕክቶችE2E ምስጥረትያለ ሳንሱርቡድኖችና ቻናሎችፋይሎችና ሚዲያቦቶችና ሚኒ-መተግበሪያዎችውስጠ-DeFi
መልእክተኛ
ንቁ
UmbrellaX የግል የቅድመ-ይሁንታ ዝማኔ
በደህንነት ግምገማችን ወቅት ለማመስጠር እና ደህንነቱ የተጠበቀ ግንኙነት በሚውሉ በርካታ የክፍት ምንጭ ቤተ-መጻሕፍት ውስጥ ከባድ ጉዳዮችን አግኝተናል። የአካባቢ ጥገናዎች ዝግጁ ናቸው፣ ግን አሁንም ሙሉ ማረጋገጫ እና ገለልተኛ ግምገማ ያስፈልጋቸዋል። እነዚህ አደጋዎች እንደተዘጉ እርግጠኛ እስካልሆንኩ ድረስ ቤታውን አልለቅም።
ሙሉ ዝርዝር በቀላል ቋንቋ እነሆ። ስህተት ምን ሊሆን እንደሚችል፣ የዕለት ተዕለት ምሳሌ እና የ patch ማጣቀሻውን ለማየት ክፍል ይክፈቱ።
ዲክሪፕት የተደረጉ የቡድን ምስጢሮች ተጨማሪ ቅጂዎችን በማህደረ ትውስታ ወይም በምርመራ ውስጥ ሊተዉ ይችላሉ። መጥፎ ምስጢራዊ ጽሑፍ፣ የእንኳን ደህና መጣችሁ መልእክቶች፣ ሀሳቦች፣ መንገዶችን አዘምን፣ የጎደሉ የአካባቢ ቁልፎች፣ የዘፈቀደ ቁጥር ውድቀቶች፣ ያልተለመደ የስርዓት ጊዜ እና የኢፖክ ገደቦች ደህንነቱ የተጠበቀ ስህተት ከመመለስ ይልቅ መተግበሪያውን ሊዘጋው ይችላል። አንዳንድ የዛፍ ትክክለኛነት እና የመንገድ ርዝመት ፍተሻዎች በእያንዳንዱ የመልቀቂያ መንገድ ላይ ዋስትና አልነበራቸውም።
ለምሳሌ፣ ከአውታረ መረቡ የደረሰው የተሰበረ የቡድን ማሻሻያ መልእክተኛውን ሳይዘጋ፣ የታማኝነት ማረጋገጫ ሳይዘለል ወይም የብልሽት ሪፖርት ውስጥ የመልእክት ባይት ሳያጋልጥ ውድቅ መደረግ አለበት።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
የተሰረዙ ወይም የተተኩ የኤምኤልኤስ መዝገቦች ተከታታይ ቅጂዎችን ወይም የተደበቁ ፕሮፖዛል አካላትን በማህደረ ትውስታ ውስጥ ሊተዉ ይችላሉ። የቡድን ቅጽበተ-ፎቶዎች ሰፊ የሆነ የአቶሚክ ምትክ ያስፈልጋቸዋል፣ የስህተት መዳረሻ ማሻሻያ ያስፈልገዋል፣ እና አማራጭ የፅናት ሁነታ ከተረጋገጠ የተመሰጠረ ውሂብ ይልቅ የሚነበብ በኮድ የተደረገ ጽሑፍ ተከማችቷል።
ለምሳሌ፣ ቡድንን መሰረዝ የተደበቁትን በመጠባበቅ ላይ ያሉ ፕሮፖዛሎችን ማስወገድ አለበት፣ እና የማከማቻ አማራጭ መረጃን ወደ ተነባቢ ጽሁፍ ሲቀይር የተመሰጠረ መሆን የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
ጥቅም ላይ ያልዋለ የአማራጭ ጀርባ አሁንም የተጋለጠ ጥቅል ወደ ጥገኝነት ክምችት ጎትቷል። የHPKE የግል ቁሳቁስ ጠንካራ ማደስ እና የማስታወስ ጽዳት ያስፈልገዋል።
ለምሳሌ እኛ የማንጠቀምበት የጀርባ ማሰሪያ የታወቀ የተጋለጠ ጥቅል ወደ ልቀት ማምጣት የለበትም፣ እና የስህተት ህትመት የHPKE የግል ቁልፍ በጭራሽ መያዝ የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: hpke-rs 0.6.1 | RUSTSEC-2026-0124
የዘፈቀደ ጄነሬተር እና ጊዜያዊ የHPKE እሴቶች እውነተኛ ማጽጃ ያስፈልጋቸዋል። ያልተሳካ የተረጋገጠ ዲክሪፕት እንዲሁ በከፊል የተሻሻለ ግልጽ ጽሑፍ ቋት በማህደረ ትውስታ ውስጥ ሊተው ይችላል።
ለምሳሌ፣ መልእክት ማረጋገጥ ሲያቅተው፣ በግማሽ ሂደት የተከናወነው ግልጽ ጽሑፍ ቋት ወዲያውኑ መደምሰስ አለበት።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: hpke-rs-rust-crypto 0.6.1 | UMB-122
የዘፈቀደ ሁኔታ፣ የቁልፍ-መነሻ ውፅዓት፣ የግል-ቁልፍ ባይት እና ያልተሳኩ የምስጠራ ማቋረጫዎች ማጽዳት ያስፈልጋቸዋል። ልክ ያልሆኑ የዝውውር ርዝማኔዎች እና የማይደገፉ የቁልፍ ልውውጥ ጥያቄዎች ወደ ሂደት የሚያልቁ መንገዶች ሊደርሱ ይችላሉ።
ለምሳሌ፣ የተዛባ ኖንስ መልእክተኛውን ከመዝጋት ይልቅ መደበኛውን ስህተት መመለስ አለበት።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
ኖንስ፣ ማጋራቶች፣ ስካላር ባይት እና ጊዜያዊ ሊነበብ የሚችል ሚስጥራዊ ሕብረቁምፊ መፈረም በስኬት እና በስህተት መንገዶች ላይ ማጽዳት ያስፈልጋል። ጥቅም ላይ ያልዋለ ባህሪ እንዲሁ ያልተጠበቀ የጥገኝነት ሰንሰለት ጎትቷል።
ለምሳሌ፣ ለቡድን ፊርማ የሚያገለግሉ ጊዜያዊ እሴቶች ከፈረሙ በኋላ ወይም ካልተሳካ በኋላ በማህደረ ትውስታ ውስጥ ሊነበቡ አይችሉም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: frost-core 3.0.0 | local audited patch
የመጨረሻ ቁልፍ ከተሰራ በኋላ የተጣሉ የይስሙዶራንደም ቁልፎች እና መካከለኛ የቁልፍ ማስፋፊያ ብሎኮች በማህደረ ትውስታ ውስጥ ሊቆዩ ይችላሉ።
ለምሳሌ፣ የክፍለ-ጊዜ ቁልፍ ከተዘጋጀ በኋላ፣ እሱን ለማግኘት ጥቅም ላይ የሚውሉት ጊዜያዊ ንጥረ ነገሮች መደምሰስ አለባቸው።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: hkdf 0.12.4 | local compatibility backport
በተመጣጣኝ የኤችኤምኤሲ ቅርንጫፍ ውስጥ የተገኙ የቁልፍ ብሎኮች፣ ከመጠን በላይ የሆኑ ቁልፎች እና የውስጥ ሃሽ ውጤቶች በተለመደው ማህደረ ትውስታ ውስጥ ሊቆዩ ይችላሉ።
ለምሳሌ መልእክቱ ትክክለኛ መሆኑን ማረጋገጥ ዳግመኛ ጥቅም ላይ ሊውሉ የሚችሉ በቁልፍ የተገኙ ባይት መተው የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: hmac 0.12.1 | local compatibility backport
ያለው የማጽዳት አማራጭ በነባሪነት ጠፍቷል እና በጊዜያዊ እና በተከማቸ ቁልፍ የተገኘ ሁኔታ በከፊል ብቻ ተሸፍኗል።
ለምሳሌ፣ የማረጋገጫ ፍተሻን ማጠናቀቅ ጊዜያዊ እና የተከማቹ ቁልፍ የተገኙ ብሎኮችን ማጽዳት አለበት።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: hmac 0.13.0 | local audited patch
SHA-256 እና SHA-512 የስራ ሁኔታ እና የማገጃ ቆጣሪዎች በተመጣጣኝ ቅርንጫፍ ላይ የመቆያ ጊዜ ማፅዳት ያስፈልጋሉ።
ለምሳሌ፣ በቁልፍ መውጣት ወቅት ሚስጥሩን መደበቅ የሃሽ ሞተርን የስራ ሁኔታ እንደገና ጥቅም ላይ በሚውል ማህደረ ትውስታ ውስጥ መተው የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: sha2 0.10.9 | local compatibility backport
የተበላሸ ግብአት ትልቅ ድልድልን ሊጠይቅ፣ ከተገለጸው መስክ በላይ ማንበብ፣ መሻሻል ሳያስፈልግ ሉፕ፣ ወይም የትርፍ እና የድንጋጤ መንገዶችን ሊቀሰቅስ ይችላል። ሚስጥራዊ የቬክተር ምርመራዎች እና ከፊል ያልተሳካ ግብአት እንዲሁ ማጽዳት ያስፈልጋቸዋል።
ለምሳሌ፣ በሐሰት ትልቅ መስክ እንደያዘች የምትናገር ትንሽ መልእክት ትልቅ ማህደረ ትውስታን መብላት ወይም መተግበሪያውን ማለቂያ በሌለው ዑደት ውስጥ ማጥመድ የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: tls_codec 0.4.2 | local audited patch
የSTUN መልእክት-ንፅህና ቁልፉ በምርመራ ሊታተም ይችላል እና በጊዜያዊ የማረጋገጫ ጽሑፍ በግልፅ አልተሰረዘም።
ለምሳሌ የግንኙነት ስህተት ምዝግብ ማስታወሻ የማስተላለፊያ ጥያቄን ለማረጋገጥ የሚጠቅመውን ሚስጥር መግለጽ የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: stun 0.17.1 | audit patch 6e5cbb42
ረጅም ዕድሜ ያለው የ TURN ይለፍ ቃል እንደ ተራ ሕብረቁምፊ ተከማችቷል እና ደንበኛው ሲጠፋ ግልጽ የሆነ መደምሰስ ያስፈልገዋል።
ለምሳሌ፣ ጥሪን መጨረስ የማስተላለፊያ የይለፍ ቃሉን በአሮጌው ደንበኛ ነገር ማህደረ ትውስታ ውስጥ መተው የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: turn 0.17.1 | audit patch 6e5cbb42
TURN የተጠቃሚ ስሞች እና የይለፍ ቃሎች እንደ ተራ ሕብረቁምፊዎች ተከማችተው በ ICE ማረሚያ ውፅዓት ውስጥ በራስ-ሰር ታትመዋል።
ለምሳሌ፣ የጥሪ ግንኙነት ሪፖርት ምስክርነቶች አሉ ሊል ይችላል፣ ነገር ግን የተጠቃሚ ስም እና የይለፍ ቃል ማተም የለበትም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: webrtc-ice 0.17.1 | audit patch 6e5cbb42
የሚዲያ ቁልፍ-መነሻ ግብዓት፣ የተገኙ ቁልፎች፣ የተከማቹ SRTP/SRTCP ጨዎች፣ እና የምስጢር አሠራር ሁኔታ አስተማማኝ ጽዳት ያስፈልጋቸዋል።
ለምሳሌ፣ ኢንክሪፕትድ የተደረገ ጥሪ ካለቀ በኋላ፣ ጊዜያዊ የሚዲያ ቁልፎቹ እና ጨዎቹ በተለመደው ቋት ውስጥ መቆየት የለባቸውም።
የአካባቢ ጥገና ተዘጋጅቷል፣ ማረጋገጫ በሂደት ላይ።
ቴክኒካዊ ዝርዝሮች: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
የቤታ ማስታወሻዎችን እና የመዳረሻ ዜናዎችን ለመከታተል የግል X መለያዬን ይከተሉ።