கட்டம்01
வீடியோ அழைப்புகள்குரல் செய்திகள்E2E குறியாக்கம்தணிக்கை இல்லைகுழுக்கள் மற்றும் சேனல்கள்கோப்புகள் மற்றும் ஊடகம்போட்கள் மற்றும் மினி பயன்பாடுகள்உள்ளமைந்த DeFi
மெசெஞ்சர்
செயலில்
UmbrellaX தனியார் பீட்டா புதுப்பிப்பு
எங்கள் பாதுகாப்பு மதிப்பாய்வின் போது, குறியாக்கம் மற்றும் பாதுகாப்பான தகவல் தொடர்புக்காகப் பயன்படுத்தப்படும் பல திறந்த மூல நூலகங்களில் கடுமையான சிக்கல்களைக் கண்டறிந்தோம். உள்ளூர் திருத்தங்கள் தயாராக உள்ளன, ஆனால் இன்னும் முழு சரிபார்ப்பு மற்றும் சுயாதீன மதிப்பாய்வு தேவை. இந்த அபாயங்கள் மூடப்படும் என்று நான் நம்பும் வரை பீட்டாவை வெளியிடமாட்டேன்.
எளிய மொழியில் முழுமையான பட்டியல் இதோ. என்ன தவறு நடக்கக்கூடும் என்பதைப் பார்க்க ஒரு பகுதியைத் திறக்கவும், அன்றாட உதாரணம் மற்றும் பேட்ச் குறிப்பு.
மறைகுறியாக்கப்பட்ட குழு ரகசியங்கள் நினைவகம் அல்லது கண்டறிதலில் கூடுதல் நகல்களை விடலாம். தவறான மறைக்குறியீடு, வரவேற்புச் செய்திகள், முன்மொழிவுகள், புதுப்பிப்பு பாதைகள், விடுபட்ட உள்ளூர் விசைகள், சீரற்ற-எண் தோல்விகள், வழக்கத்திற்கு மாறான கணினி நேரம் மற்றும் சகாப்த வரம்புகள் ஆகியவை பாதுகாப்பான பிழையை வழங்குவதற்குப் பதிலாக பயன்பாட்டை மூடலாம். ஒவ்வொரு வெளியீட்டு பாதையிலும் சில மரத்தின் ஒருமைப்பாடு மற்றும் பாதை-நீள காசோலைகள் உத்தரவாதமளிக்கப்படவில்லை.
எடுத்துக்காட்டாக, நெட்வொர்க்கிலிருந்து பெறப்பட்ட உடைந்த குழு புதுப்பிப்பு, தூதரை மூடாமல், ஒருமைப்பாடு சரிபார்ப்பைத் தவிர்க்காமல் அல்லது செயலிழப்பு அறிக்கையில் செய்தி பைட்டுகளை வெளிப்படுத்தாமல் நிராகரிக்கப்பட வேண்டும்.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: openmls 0.8.1 | UMB-117, UMB-118, UMB-120, UMB-121, UMB-125, UMB-128, UMB-129, UMB-130, UMB-131, UMB-132, UMB-133, UMB-134, UMB-135, UMB-136, UMB-137, UMB-138, UMB-139
நீக்கப்பட்ட அல்லது மாற்றப்பட்ட MLS பதிவுகள் வரிசைப்படுத்தப்பட்ட பிரதிகள் அல்லது மறைக்கப்பட்ட முன்மொழிவு உடல்களை நினைவகத்தில் விடலாம். குரூப் ஸ்னாப்ஷாட்களுக்கு ஸ்கோப்டு அணு மாற்று, பிழைத்திருத்த அணுகல் தேவை திருத்தம், மற்றும் அங்கீகரிக்கப்பட்ட மறைகுறியாக்கப்பட்ட தரவுகளுக்குப் பதிலாக படிக்கக்கூடிய குறியாக்கப்பட்ட உரையைச் சேமிக்கும் விருப்பமான நிலைத்தன்மை பயன்முறை தேவை.
எடுத்துக்காட்டாக, ஒரு குழுவை நீக்குவது அதன் மறைக்கப்பட்ட நிலுவையில் உள்ள முன்மொழிவுகளையும் அகற்ற வேண்டும், மேலும் ஒரு சேமிப்பக விருப்பமானது தரவை மட்டுமே படிக்கக்கூடிய உரையாக மாற்றும் போது குறியாக்கம் செய்யப்பட்டதாக இருக்கக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: openmls_memory_storage 0.5.0 | UMB-119, UMB-212, UMB-213, UMB-214
பயன்படுத்தப்படாத விருப்பப் பின்தளம் இன்னும் பாதிக்கப்படக்கூடிய தொகுப்பை சார்பு இருப்புப் பட்டியலில் இழுத்துள்ளது. HPKE தனியார் பொருளுக்கும் வலுவான குறைப்பு மற்றும் நினைவகத்தை சுத்தம் செய்ய வேண்டும்.
எடுத்துக்காட்டாக, நாம் பயன்படுத்தாத பின்தளத்தில் அறியப்பட்ட-பாதிக்கப்படக்கூடிய தொகுப்பை வெளியீட்டில் கொண்டு வரக்கூடாது, மேலும் ஒரு பிழை அச்சிடலில் HPKE தனிப்பட்ட விசை இருக்கக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: hpke-rs 0.6.1 | RUSTSEC-2026-0124
சீரற்ற ஜெனரேட்டர் மற்றும் தற்காலிக HPKE மதிப்புகள் உண்மையான சுத்தம் தேவை. தோல்வியுற்ற அங்கீகரிக்கப்பட்ட மறைகுறியாக்கம் நினைவகத்தில் ஓரளவு மாற்றியமைக்கப்பட்ட எளிய உரை இடையகத்தையும் விடக்கூடும்.
எடுத்துக்காட்டாக, ஒரு செய்தி அங்கீகரிப்பதில் தோல்வியுற்றால், பாதி செயலாக்கப்பட்ட எளிய உரை இடையகத்தை உடனடியாக அழிக்க வேண்டும்.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: hpke-rs-rust-crypto 0.6.1 | UMB-122
சீரற்ற நிலை, விசை வழித்தோன்றல் வெளியீடு, தனிப்பட்ட விசை பைட்டுகள் மற்றும் தோல்வியுற்ற என்க்ரிப்ஷன் பஃபர்களை சுத்தம் செய்ய வேண்டும். தவறான நீளம் மற்றும் ஆதரிக்கப்படாத விசைப் பரிமாற்றக் கோரிக்கைகள் செயல்முறை-முடிவுப் பாதைகளை அடையலாம்.
எடுத்துக்காட்டாக, தவறான வடிவில் இல்லாதது மெசஞ்சரை மூடுவதற்குப் பதிலாக ஒரு சாதாரண பிழையை வழங்க வேண்டும்.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: openmls_rust_crypto 0.5.1 | UMB-122, UMB-123, UMB-124
கையொப்பமிடாதவை, பங்குகள், ஸ்கேலர் பைட்டுகள் மற்றும் தற்காலிகமாக படிக்கக்கூடிய ரகசிய சரம் ஆகியவை வெற்றி மற்றும் பிழை பாதைகளில் சுத்தம் செய்யப்பட வேண்டும். பயன்படுத்தப்படாத அம்சம் பராமரிக்கப்படாத சார்புச் சங்கிலியையும் இழுத்தது.
எடுத்துக்காட்டாக, குழு கையொப்பத்திற்குப் பயன்படுத்தப்படும் தற்காலிக மதிப்புகள் கையொப்பமிடுதல் முடிந்ததும் அல்லது தோல்வியுற்ற பிறகும் நினைவகத்தில் படிக்கக்கூடியதாக இருக்கக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: frost-core 3.0.0 | local audited patch
நிராகரிக்கப்பட்ட சூடோராண்டம் விசைகள் மற்றும் இடைநிலை விசை-விரிவாக்கத் தொகுதிகள் இறுதி விசை தயாரிக்கப்பட்ட பிறகு நினைவகத்தில் இருக்கும்.
எடுத்துக்காட்டாக, அமர்வு விசை தயாரான பிறகு, அதைப் பெறுவதற்குப் பயன்படுத்தப்படும் தற்காலிக பொருட்கள் அழிக்கப்பட வேண்டும்.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: hkdf 0.12.4 | local compatibility backport
பெறப்பட்ட முக்கிய தொகுதிகள், பெரிதாக்கப்பட்ட-விசை செரிமானங்கள் மற்றும் இணக்கமான HMAC கிளையில் உள்ள உள் ஹாஷ் முடிவுகள் சாதாரண நினைவகத்தில் இருக்கும்.
எடுத்துக்காட்டாக, ஒரு செய்தி உண்மையானது என்பதைச் சரிபார்ப்பது, மீண்டும் பயன்படுத்தக்கூடிய விசையிலிருந்து பெறப்பட்ட பைட்டுகளை விட்டுவிடக் கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: hmac 0.12.1 | local compatibility backport
கிடைக்கக்கூடிய தூய்மைப்படுத்தல் விருப்பம் இயல்பாகவே முடக்கப்பட்டது மற்றும் தற்காலிக மற்றும் சேமிக்கப்பட்ட விசை-பெறப்பட்ட நிலையின் ஒரு பகுதியை மட்டுமே உள்ளடக்கியது.
எடுத்துக்காட்டாக, அங்கீகாரச் சரிபார்ப்பை முடிப்பது தற்காலிக மற்றும் சேமிக்கப்பட்ட விசையிலிருந்து பெறப்பட்ட தொகுதிகள் இரண்டையும் சுத்தம் செய்ய வேண்டும்.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: hmac 0.13.0 | local audited patch
SHA-256 மற்றும் SHA-512 வேலை செய்யும் நிலை மற்றும் பிளாக் கவுண்டர்களுக்கு இணக்கமான கிளையில் டிராப்-டைம் க்ளீனப் தேவை.
எடுத்துக்காட்டாக, முக்கிய வழித்தோன்றலின் போது ஒரு ரகசியத்தை ஹாஷ் செய்வது, ஹாஷ் இன்ஜினின் வேலை நிலையை மீண்டும் பயன்படுத்தக்கூடிய நினைவகத்தில் விடக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: sha2 0.10.9 | local compatibility backport
சேதமடைந்த உள்ளீடு ஒரு பெரிய ஒதுக்கீட்டைக் கோரலாம், அதன் அறிவிக்கப்பட்ட புலத்திற்கு அப்பால் படிக்கலாம், முன்னேற்றம் இல்லாமல் லூப் செய்யலாம் அல்லது வழிதல் மற்றும் பீதி பாதைகளைத் தூண்டலாம். இரகசிய திசையன் கண்டறிதல் மற்றும் பகுதியளவு தோல்வியுற்ற உள்ளீடு ஆகியவையும் சுத்தம் செய்யப்பட வேண்டும்.
எடுத்துக்காட்டாக, ஒரு பெரிய புலத்தைக் கொண்டிருப்பதாக பொய்யாகக் கூறும் ஒரு சிறிய செய்தியானது பெரிய நினைவகத்தை உட்கொள்ளக்கூடாது அல்லது முடிவில்லாத சுழற்சியில் பயன்பாட்டை சிக்க வைக்கக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: tls_codec 0.4.2 | local audited patch
STUN செய்தி-ஒருமைப்பாடு விசையை கண்டறிதலில் அச்சிடலாம் மற்றும் தற்காலிக நற்சான்றிதழ் உரையுடன் வெளிப்படையாக அழிக்கப்படவில்லை.
எடுத்துக்காட்டாக, ஒரு இணைப்புப் பிழை பதிவு, ரிலே கோரிக்கையை அங்கீகரிக்கப் பயன்படுத்தப்படும் ரகசியத்தை வெளிப்படுத்தக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: stun 0.17.1 | audit patch 6e5cbb42
நீண்ட கால டர்ன் கடவுச்சொல் ஒரு சாதாரண சரமாக சேமிக்கப்பட்டது மற்றும் கிளையன்ட் அழிக்கப்படும் போது வெளிப்படையான அழித்தல் தேவைப்பட்டது.
எடுத்துக்காட்டாக, அழைப்பை முடிப்பது அதன் ரிலே கடவுச்சொல்லை பழைய கிளையன்ட் பொருளின் நினைவகத்தில் விடக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: turn 0.17.1 | audit patch 6e5cbb42
TURN பயனர்பெயர்கள் மற்றும் கடவுச்சொற்கள் சாதாரண சரங்களாக சேமிக்கப்பட்டு தானாகவே ICE பிழைத்திருத்த வெளியீட்டில் அச்சிடப்படும்.
எடுத்துக்காட்டாக, அழைப்பு இணைப்பு அறிக்கை நற்சான்றிதழ்கள் இருப்பதாகக் கூறலாம், ஆனால் அது பயனர்பெயர் மற்றும் கடவுச்சொல்லை அச்சிடக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: webrtc-ice 0.17.1 | audit patch 6e5cbb42
மீடியா விசை-வழித்தோன்றல் உள்ளீடு, பெறப்பட்ட விசைகள், சேமிக்கப்பட்ட SRTP/SRTCP உப்புகள் மற்றும் சைபர் வேலை செய்யும் நிலை ஆகியவற்றிற்கு நம்பகமான சுத்தம் தேவை.
எடுத்துக்காட்டாக, மறைகுறியாக்கப்பட்ட அழைப்பு முடிந்ததும், அதன் தற்காலிக மீடியா விசைகள் மற்றும் உப்புகள் சாதாரண இடையகங்களில் இருக்கக்கூடாது.
உள்ளூர் சரிசெய்தல் தயார், சரிபார்ப்பு செயலில் உள்ளது.
தொழில்நுட்ப விவரங்கள்: webrtc-srtp 0.17.1 | audit patch 6e5cbb42
Beta notes மற்றும் access updates க்காக என் personal X account ஐ follow செய்யுங்கள்.