ការអាប់ដេតបែតាឯកជនរបស់ UmbrellaX
ក្នុងអំឡុងពេលពិនិត្យសុវត្ថិភាពរបស់យើង យើងបានរកឃើញបញ្ហាធ្ងន់ធ្ងរនៅក្នុងបណ្ណាល័យប្រភពបើកចំហជាច្រើនដែលប្រើសម្រាប់ការអ៊ិនគ្រីប និងការទំនាក់ទំនងប្រកបដោយសុវត្ថិភាព។ ការជួសជុលក្នុងស្រុករួចរាល់ហើយ ប៉ុន្តែពួកគេនៅតែត្រូវការការផ្ទៀងផ្ទាត់ពេញលេញ និងការត្រួតពិនិត្យឯករាជ្យ។ ខ្ញុំនឹងមិនបញ្ចេញបេតាទេ រហូតទាល់តែខ្ញុំមានទំនុកចិត្តថាហានិភ័យទាំងនេះត្រូវបានបិទ។
នេះគឺជាបញ្ជីពេញលេញជាភាសាសាមញ្ញ។ បើកផ្នែកមួយដើម្បីមើលអ្វីដែលអាចខុស ជាឧទាហរណ៍ប្រចាំថ្ងៃ និងឯកសារយោងបំណះ។
អាថ៌កំបាំងក្រុមដែលបានឌិគ្រីបអាចទុកច្បាប់ចម្លងបន្ថែមនៅក្នុងអង្គចងចាំ ឬការវិភាគ។ អត្ថបទសម្ងាត់មិនល្អ សារស្វាគមន៍ សំណើ ផ្លូវអាប់ដេត បាត់សោក្នុងមូលដ្ឋាន ការបរាជ័យលេខចៃដន្យ ពេលវេលាប្រព័ន្ធមិនធម្មតា និងដែនកំណត់នៃសម័យអាចបិទកម្មវិធីជំនួសឱ្យការត្រលប់មកវិញនូវកំហុសសុវត្ថិភាព។ ការត្រួតពិនិត្យភាពត្រឹមត្រូវ និងប្រវែងផ្លូវរបស់មែកធាងមួយចំនួនក៏មិនត្រូវបានធានានៅក្នុងរាល់ផ្លូវចេញផ្សាយដែរ។
ឧទាហរណ៍ ការអាប់ដេតក្រុមដែលខូចដែលបានទទួលពីបណ្តាញត្រូវតែត្រូវបានបដិសេធដោយមិនចាំបាច់បិទកម្មវិធីផ្ញើសារ រំលងការត្រួតពិនិត្យភាពត្រឹមត្រូវ ឬបង្ហាញបៃសារនៅក្នុងរបាយការណ៍គាំង។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
កំណត់ត្រា MLS ដែលបានលុប ឬជំនួសអាចទុកច្បាប់ចម្លងជាសៀរៀល ឬឯកសារសំណើដែលបានលាក់នៅក្នុងសតិ។ ការថតរូបជាក្រុមត្រូវការការជំនួសអាតូមដែលមានវិសាលភាព ការចូលប្រើការបំបាត់កំហុសដែលត្រូវការការប្រតិកម្មឡើងវិញ និងរបៀបបន្តបន្ទាប់បន្សំដែលរក្សាទុកអត្ថបទដែលបានអ៊ិនកូដដែលអាចអានបាន ជំនួសឱ្យទិន្នន័យដែលបានអ៊ិនគ្រីបដែលបានផ្ទៀងផ្ទាត់។
ជាឧទាហរណ៍ ការលុបក្រុមក៏ត្រូវតែលុបសំណើដែលមិនទាន់បានលាក់របស់វាចេញដែរ ហើយជម្រើសផ្ទុកមិនត្រូវមើលទៅត្រូវបានអ៊ិនគ្រីបទេ នៅពេលដែលវាបំប្លែងទិន្នន័យទៅជាអត្ថបទដែលអាចអានបាន។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
កម្មវិធីខាងក្រោយជាជម្រើសដែលមិនបានប្រើនៅតែទាញកញ្ចប់ដែលងាយរងគ្រោះចូលទៅក្នុងសារពើភ័ណ្ឌភាពអាស្រ័យ។ សម្ភារៈឯកជន HPKE ក៏ត្រូវការការកែឡើងវិញ និងការសម្អាតអង្គចងចាំខ្លាំងជាងមុនផងដែរ។
ឧទាហរណ៍ កម្មវិធីខាងក្រោយដែលយើងមិនប្រើ មិនគួរនាំយកកញ្ចប់ដែលងាយរងគ្រោះដែលស្គាល់ចូលទៅក្នុងការចេញផ្សាយនោះទេ ហើយការបោះពុម្ពកំហុសមិនត្រូវមានសោឯកជន HPKE ឡើយ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: hpke-rs 0.6.1 | RUSTSEC-2026-0124
ម៉ាស៊ីនភ្លើងចៃដន្យ និងតម្លៃ HPKE បណ្តោះអាសន្នត្រូវការការសម្អាតពិតប្រាកដ។ ការឌិគ្រីបដែលបានផ្ទៀងផ្ទាត់បានបរាជ័យក៏អាចទុកសតិបណ្ដោះអាសន្នអត្ថបទធម្មតាដែលបានកែប្រែមួយផ្នែកនៅក្នុងអង្គចងចាំផងដែរ។
ឧទាហរណ៍ នៅពេលដែលសារបរាជ័យក្នុងការផ្ទៀងផ្ទាត់ សតិបណ្ដោះអាសន្នអត្ថបទធម្មតាពាក់កណ្តាលដែលបានដំណើរការគួរតែត្រូវបានលុបភ្លាមៗ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: hpke-rs-rust-crypto 0.6.1 | UMB-122
ស្ថានភាពចៃដន្យ លទ្ធផលដែលទទួលបានពីកូនសោ បៃបៃសោឯកជន និងសតិបណ្ដោះអាសន្នការអ៊ិនគ្រីបដែលបរាជ័យត្រូវការសម្អាត។ ប្រវែង nonce មិនត្រឹមត្រូវ និងសំណើផ្លាស់ប្តូរគន្លឹះដែលមិនគាំទ្រអាចឈានដល់ផ្លូវបញ្ចប់ដំណើរការ។
ឧទាហរណ៍ កំហុសមិនប្រក្រតីត្រូវតែត្រឡប់កំហុសធម្មតាជំនួសឱ្យការបិទកម្មវិធីផ្ញើសារ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
ការចុះហត្ថលេខាលើ nonces, shares, scalar bytes, និងខ្សែអក្សរសម្ងាត់ដែលអាចអានបានបណ្តោះអាសន្នត្រូវការការសម្អាតនៅលើផ្លូវជោគជ័យ និងកំហុស។ មុខងារដែលមិនប្រើក៏បានទាញខ្សែសង្វាក់ភាពអាស្រ័យដែលមិនបានថែរក្សាផងដែរ។
ជាឧទាហរណ៍ តម្លៃបណ្តោះអាសន្នដែលប្រើសម្រាប់ហត្ថលេខាក្រុមមិនគួរអាចអានបានក្នុងសតិឡើយ បន្ទាប់ពីចុះហត្ថលេខាបញ្ចប់ ឬបរាជ័យ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: frost-core 3.0.0 | local audited patch
គ្រាប់ចុចក្លែងបន្លំដែលបានបោះបង់ចោល និងប្លុកពង្រីកគ្រាប់ចុចកម្រិតមធ្យមអាចនៅតែមាននៅក្នុងសតិ បន្ទាប់ពីគ្រាប់ចុចចុងក្រោយត្រូវបានផលិត។
ជាឧទាហរណ៍ បន្ទាប់ពីសោសម័យរួចរាល់ ធាតុផ្សំបណ្ដោះអាសន្នដែលប្រើដើម្បីទាញយកវាគួរតែត្រូវបានលុប។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: hkdf 0.12.4 | local compatibility backport
ប្លុកគន្លឹះដែលបានទាញយក ការរំលាយគ្រាប់ចុចដែលមានទំហំធំ និងលទ្ធផលនៃសញ្ញាខាងក្នុងនៅក្នុងសាខា HMAC ដែលត្រូវគ្នាអាចនៅតែមាននៅក្នុងអង្គចងចាំធម្មតា។
ឧទាហរណ៍ ការផ្ទៀងផ្ទាត់ថាសារមួយគឺពិតប្រាកដមិនគួរទុកបៃដែលទាញយកសោដែលអាចប្រើឡើងវិញបាននៅពីក្រោយទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: hmac 0.12.1 | local compatibility backport
ជម្រើសសម្អាតដែលមានត្រូវបានបិទតាមលំនាំដើម ហើយគ្របដណ្តប់តែផ្នែកនៃស្ថានភាពដែលបានមកពីសោរបណ្តោះអាសន្ន និងរក្សាទុកប៉ុណ្ណោះ។
ឧទាហរណ៍ ការបំពេញការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់គួរតែសម្អាតទាំងបណ្តុំបណ្តោះ អាសន្ន និងដែលបានរក្សាទុក។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: hmac 0.13.0 | local audited patch
ស្ថានភាពដំណើរការ SHA-256 និង SHA-512 និងបញ្ជរប្លុកត្រូវការការសម្អាតពេលទម្លាក់នៅលើសាខាដែលត្រូវគ្នា។
ជាឧទាហរណ៍ ការបិទបាំងសម្ងាត់កំឡុងពេលទាញយកសោ មិនគួរទុកស្ថានភាពការងាររបស់ម៉ាស៊ីន hash នៅក្នុងអង្គចងចាំដែលអាចប្រើឡើងវិញបានទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: sha2 0.10.9 | local compatibility backport
ការបញ្ចូលដែលខូចអាចស្នើសុំការបែងចែកដ៏ធំ អានលើសពីវាលដែលបានប្រកាសរបស់វា រង្វិលជុំដោយគ្មានវឌ្ឍនភាព ឬបង្កឱ្យមានការហូរហៀរ និងការភ័យស្លន់ស្លោ។ ការវិនិច្ឆ័យវ៉ិចទ័រសម្ងាត់ និងការបញ្ចូលដែលបរាជ័យជាផ្នែកក៏ត្រូវការសម្អាតផងដែរ។
ជាឧទាហរណ៍ សារតូចមួយដែលអះអាងថាមានវាលដ៏ធំមួយ មិនត្រូវប្រើប្រាស់អង្គចងចាំដ៏ធំ ឬដាក់អន្ទាក់កម្មវិធីនៅក្នុងរង្វិលជុំគ្មានទីបញ្ចប់នោះទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: tls_codec 0.4.2 | local audited patch
សោភាពត្រឹមត្រូវនៃសារ STUN អាចត្រូវបានបោះពុម្ពនៅក្នុងការវិនិច្ឆ័យ ហើយមិនត្រូវបានលុបយ៉ាងច្បាស់ជាមួយនឹងអត្ថបទព័ត៌មានសម្ងាត់បណ្តោះអាសន្នទេ។
ឧទាហរណ៍ កំណត់ហេតុកំហុសក្នុងការតភ្ជាប់មិនត្រូវបង្ហាញអាថ៌កំបាំងដែលប្រើដើម្បីផ្ទៀងផ្ទាត់សំណើបញ្ជូនតនោះទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: stun 0.17.1 | audit patch 6e5cbb42
ពាក្យសម្ងាត់ TURN ដែលមានអាយុកាលយូរត្រូវបានរក្សាទុកជាខ្សែធម្មតា ហើយត្រូវការការលុបច្បាស់លាស់នៅពេលដែលម៉ាស៊ីនភ្ញៀវត្រូវបានបំផ្លាញ។
ឧទាហរណ៍ ការបញ្ចប់ការហៅទូរសព្ទមិនគួរទុកពាក្យសម្ងាត់បញ្ជូនតរបស់វានៅក្នុងអង្គចងចាំរបស់វត្ថុអតិថិជនចាស់នោះទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: turn 0.17.1 | audit patch 6e5cbb42
ឈ្មោះអ្នកប្រើ និងលេខសម្ងាត់ TURN ត្រូវបានរក្សាទុកជាខ្សែធម្មតា ហើយបោះពុម្ពដោយស្វ័យប្រវត្តិនៅក្នុងលទ្ធផលបំបាត់កំហុស ICE ។
ឧទាហរណ៍ របាយការណ៍ការតភ្ជាប់ការហៅទូរសព្ទអាចនិយាយថាមានព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ ប៉ុន្តែវាមិនត្រូវបោះពុម្ពឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់ទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: webrtc-ice 0.17.1 | audit patch 6e5cbb42
ការបញ្ចូលការទាញយកសារសំខាន់នៃប្រព័ន្ធផ្សព្វផ្សាយ សោដែលបានទាញយក អំបិល SRTP/SRTCP ដែលបានរក្សាទុក និងស្ថានភាពការងាររបស់ស៊ីបភឺរត្រូវការការសម្អាតដែលអាចទុកចិត្តបាន។
ជាឧទាហរណ៍ បន្ទាប់ពីការហៅទូរសព្ទដែលបានអ៊ិនគ្រីបបញ្ចប់ គ្រាប់ចុចមេឌៀបណ្តោះអាសន្ន និងអំបិលរបស់វាមិនគួរស្ថិតនៅក្នុងទ្រនាប់ធម្មតាទេ។
ការជួសជុលក្នុងស្រុកបានរៀបចំ ការផ្ទៀងផ្ទាត់កំពុងដំណើរការ។
ព័ត៌មានលម្អិតបច្ចេកទេស: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
សម្រាប់កំណត់ត្រា beta និងព័ត៌មាន access សូមតាមដានគណនី X ផ្ទាល់ខ្លួនរបស់ខ្ញុំ។