درباره یک باگ بانتی داخلی

اینکه مدیر پیام رسان آی گپ، پیشقدم شده و بخشی از امنیت محصول خود را در معرض قضاوت و تحلیل عمومی قرار داده، فی نفسه و مستقلا قابل تقدیر و ارزشمند است. حرکت ایشان به خصوص در روزهایی که بحث بر سر پیام رسان ها در اوج قرار دارد، به گسترش فرهنگ باگ بانتی (Bug Bounty) یا جایزه باگ، و آشنا شدن عموم و به خصوص صاحبان محصولات نرم افزاری کمک می کند.

برنامه های جایزه باگ، در بسیاری از شرکت های مطرح دنیا و حتی توسط دولتها به طور معمول اجرا می شود. شرکتهایی مثل Hackerone و Bugcrowd هم به طور تخصصی این سرویس را ارائه می کنند. معمولا برگزار کننده به طور مشخص اعلام می کند که جایزه به چه حمله ها یا آسیب پذیری هایی تعلق نمی گیرد، تا افراد وقت خود را صرف آن حمله ها نکرده و بعداً مدعی نشوند.

نکته ای که در جایزه یک میلیارد تومانی هک پیام رسان آی گپ نیاز به شفاف سازی و توضیح بیشتر دارد، بحث استفاده از الگوریتم رمزنگاری AES جهت رمزنگاری پیام های تبادلی بین کلاینت و سرور است. با توجه به اینکه AES یک الگوریتم استاندارد و امن (تا به امروز) است، بدیهی است که هیچ فردی در ایران نمی تواند به نحوی که خواسته شده، پیام های رمز شده با AES را رمزگشایی و به وسیله ابزاری مثل وایرشارک آن را اثبات کند. حتی هیچ فردی در دنیا هم قادر به این کار نیست (اگر هم NSA یا دیگر سازمان های اطلاعاتی قادر به این کار باشند، برای حفظ این برتری استراتژیک، آن را اعلام نخواهد کرد).

اشتراک گذاری

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد.