كشف فريق من المعهد الفدرالي للتكنولوجيا بزيورخ، عدد من المشكلات الأمنية في خدمة التخزين السحابي “ميجا” واللي بتساهم في تخطي تشفير الخدمة والوصول إلى بيانات المستخدمين.

وبيّن البحث اللي أصدره لفريق إن من ضمن نقاط الضعف الرئيسية: “هجوم استرداد مفتاح RSA“، واللي بيسمح لـ”ميجا” في حال قررت إنها تتصرف بشكل غير سليم أو لأي جهة قدرت تخترق أحد خوادم الشركة؛ من فك تشفير بيانات المستخدمين والاطلاع عليها، من خلال إجراء حساب المستخدم المستهدف من تسجيل عدد من عمليات تسجيل الدخول الناجح.. وبيتمدد استخدام الثغرة لإتاحة 4 هجمات:

  • Plaintext Recovery Attack: يسمح لميجا بفك تشفير مفاتيح العقد – مفتاح تشفير مرتبط بكل ملف تم تحميله ويتم تشفيره باستخدام المفتاح الرئيسي للمستخدم – واستخدامها لفك تشفير جميع اتصالات وملفات المستخدم.
  • Framing Attack: يسمح لـ MEGA إدراج ملفات عشوائية في تخزين ملفات المستخدم والتي لا يمكن تمييزها عن الملفات التي تم تحميلها.
  • Integrity Attack: وهو متغير يمكن استغلاله لتزوير ملف باسم الضحية ووضعه في التخزين السحابي.
  • Guess-and-Purge و Bleichenbacher: يمكن استغلالهما لفك تشفير النصوص المشفرة بنمط تشفير RSA.

وللتوضيح أكتر. لكل مستخدم مفتاح عام مشترك مع مستخدمين آخرين أو مع ميجا لتشفير بيانات المستخدم، ومفتاح خاص لكل مستخدم لفك تشفير البيانات المشتركة معهم، وباستخدام الهجوم رقم 4 في القائمة السابقة، تقدر تفك تشفير النصوص المشفرة بتقنية تشفير RSA. وحسب البحث ده بيتطلب عدد كبير من محاولات تسجيل الدخول.. باختصار ، ممكن القيام بالهجمات عن طريق MEGA أو أي كيان يتحكم في بنيتها التحتية الأساسية لتحميل ملفات شبيهة وفك تشفير جميع الملفات والمجلدات المملوكة للضحية أو المشتركة معها بالإضافة لرسائل الدردشة المتبادلة.

علمًا بأن “ميجا” أصدرت تحديثات لمعالجة المشكلات الثلاثة الأولى من المشكلات الخمسة. ومن المتوقع معالجة الثغرة الرابعة المتعلقة في الإصدار القادم. لكن بالنسبة للهجوم Bleichenbacher ضد آلية تشفير RSA الخاصة بـ MEGA ، قالت الشركة إلى أن الهجوم صعب جدًا من الناحية العملية لأنه بيتطلب حوالي 122 ألف تفاعل”.

وميجا هي خدمة تخزين سحابي وفي رأينا هي أفضل خدمات التخزين السحابي من حيث الخصوصية والحفاظ على البيانات، لاعتمادها على نمط تشفير مبيسمحش لأي شخص -بعيدًا عن الثغرات اللي تم إصلاحها طبعًا- غير صاحب الحساب بالاطلاع على البيانات، وبيتم حفظها بشكل مشفر تمامًا على خوادم الشركة حيث إن الشركة نفسها متقدرش تطلع عليها.