世界で利用されるチャットツール「Rocket.Chat」で複数の脆弱性を発見し改善へ

オンプレミス型チャットツール 「Rocket.Chat」 オンプレミス型チャットツール「Rocket.Chat」は、エンドツーエンド暗号化を採用している。オンプレミス型とは開発企業がサーバプログラムを配布し、ユーザ組織が運用するもので、SlackやMicrosoft Teamsに代表されるSaaS型チャットツールとは大きく異なる。また、エンドツーエンド暗号化はサーバを含む通信経路上の攻撃者による送受信メッセージの閲覧や改ざんを防止する技術である。オンプレミス型チャットツールがSaaS型の課題を補完するツールとして急速に普及する一方で、オンプレミス型チャットツールの代表例とも言える「Rocket.Chat」は、複数のプロトコル（鍵配布、メッセージ暗号化、鍵の暗号化バックアップ）を組み合わせて構築されているため、仕様間の不整合と仕様と実装の不整合が重大なセキュリティ上の欠陥に発展する可能性について十分に検証されていなかった。本研究は、これらの課題に起因する実用的な攻撃シナリオを明確化し、安全性を定量的に示すことを目的とした。 元の記事へ

エンドツーエンド暗号化 エンドツーエンド暗号化（E2EE）は、スマートフォンやPCなどの通信を行う端末間でデータを保護する暗号化通信方式であり、通信経路上のネットワーク機器やサービス事業者のサーバなどの第三者による盗聴や改ざん攻撃からメッセージを保護する。これにより、通信内容は送信者と意図された受信者のみが閲覧可能となる。エンドツーエンド暗号化は、メッセージングサービスやクラウドストレージサービスなどに広く実装されており、近年のデジタルコミュニケーションにおいて利用者のプライバシー保護と安全な通信を支える重要な役割を果たしている。その一方で、事業者ごとに異なる暗号化方式が採用されているため、その安全性や実装内容を個別に評価することが重要である。 元の記事へ

暗号化・復号の両方に使う鍵 暗号化と復号に同一の鍵を用いる共通鍵暗号方式における鍵を指し、「Rocket.Chat」のエンドツーエンド暗号化方式ではメッセージの暗号化に使用される。本研究では鍵の暗号化バックアップ機能の設計と実装の不備により攻撃者がこの鍵を入手し、通信内容の盗聴及び暗号文の偽造ができることを示した。 元の記事へ