Proton Authenticator Uygulamasında Tespit Edilen Güvenlik Açığı Giderildi

Proton, kısa süre önce iOS için kullanıma sunduğu yeni iki faktörlü kimlik doğrulama uygulamasında kritik bir hatayı düzeltti. Uygulamanın hata ayıklama günlüklerinde, kullanıcıların TOTP (Time-based One-Time Password) sırlarının açık metin hâlinde kaydedildiği belirlendi. Bu durum, hassas kimlik doğrulama verilerinin farkında olmadan üçüncü kişilerle paylaşılma riskini doğurdu.

iOS Sürümündeki Hata Kullanıcıları Tedirgin Etti

Proton’un geliştirdiği Authenticator uygulaması, çok faktörlü doğrulama sistemlerinde kullanılan geçici kodları üretmek için TOTP sırlarını depoluyor. Ancak bir kullanıcı, iOS sürümünde yaşadığı veri kaybı sonrası hata raporu hazırlarken uygulamanın kayıt dosyalarında bu sırların açıkça görülebildiğini fark etti.

Kullanıcı, TOTP etiketlerinden birini değiştirdikten sonra bazı girişlerin kaybolduğunu belirtti. Ardından log dosyasını incelediğinde Bitwarden hesabı da dahil olmak üzere tüm TOTP sırlarının düz metin olarak yer aldığını ifade etti. Paylaşılan arşivlerde de söz konusu veri sızıntısı açık şekilde görüldü.

Konuya dair yapılan teknik incelemeler, iOS uygulamasındaki bazı işlevlerin, TOTP verilerini params adlı bir değişkene ekleyip ardından bu bilgileri loglara da kaydettiğini ortaya koydu. Bu işlem, verilerin istem dışı şekilde cihazda yer alan hata kayıtlarında saklanmasına neden oldu.

Loglar sadece cihazda yer alıyor ve sunuculara gönderilmiyor. Ancak bir kullanıcı, destek talebinde bulunmak amacıyla bu logları geliştiricilere veya forumlara gönderirse, verilerini farkında olmadan üçüncü şahıslarla paylaşmış olabilir.

Proton, güvenlik açığını doğrulayarak iOS için 1.1.1 sürümünü yayınladı. Açıklamada, sırlara yönelik senkronizasyon işlemlerinin uçtan uca şifreleme ile sağlandığı belirtildi. Şirket, logların yalnızca yerel olarak tutulduğunu ve sunucuya gönderilmediğini vurguladı.

Yetkililer, bir saldırganın bu loglara erişmesi için doğrudan cihaz erişimine sahip olması gerektiğini belirtti. Böyle bir durumda da sadece loglar değil, tüm uygulama verileri tehlikeye girmiş olurdu. Proton, bu tür bir senaryonun kendi güvenlik modelinin dışında kaldığını ifade etti.

Her ne kadar açık doğrudan uzaktan sömürülemese de log dosyalarının internet ortamında paylaşılması, saldırganların TOTP sırlarına erişmesini kolaylaştırabilir. Bu sırlar başka bir uygulamaya aktarılarak aynı tek kullanımlık şifrelerin üretilmesi sağlanabilir. Özellikle parola yöneticileri ya da hassas hesaplar için kullanılan doğrulama verileri, bu yolla ele geçirilebilir.

Güvenlik uzmanları, güncellemenin yapılmasının yanı sıra kullanıcıların log dosyalarını kimseyle paylaşmaması gerektiğini hatırlatıyor. Proton ise yeni sürümde kayıt davranışını değiştirerek benzer sorunların önüne geçtiğini bildirdi.