Шифрование файлообменника Mega оказалось не таким стойким, как утверждали разработчики — файлы можно взломать и даже подменить

[Ippolitovich]

Почти 10 лет существует основанный Кимом Доткомом (Kim Dotcom) облачный сервис хранения данных Mega. По заявлениям авторов проекта, сервис использует сквозное шифрование данных пользователей, благодаря чему даже сотрудники компании не имеют доступа к ним. Однако недавнее исследование показало, что это не так. За время существования пользовательская база Mega выросла до 250 млн человек, а объём хранящейся информации составляет более 1000 петабайт. Ключевая особенность, способствовавшая росту площадки, заключается в том, что сервис шифрует данные пользователя, чего не делают другие файлообменники вроде Dropbox. «Пока вы следите за тем, чтобы ваш пароль был достаточно надёжным и уникальным, никто и никогда не сможет получить доступ к вашим данным на Mega даже в исключительном случае, если вся инфраструктура Mega будет захвачена», — говорится в сообщении сервиса.

 

 

На деле же оказалось, что данные пользователей не так хорошо защищены. Опубликованное на этой неделе исследование указывает на то, что Mega или организация, контролирующая инфраструктуру сервиса, может получить доступ к данным пользователей, хранящимся на серверах компании. В сообщении сказано, что архитектура, которую сервис использует для шифрования файлов, изобилует серьёзными криптографическими недостатками, эксплуатация которых позволяет провести атаку для полного восстановления ключа шифрования. Это означает, что при наличии доступа к инфраструктуре сервиса злоумышленник может расшифровать файлы пользователей или даже подменить их вредоносными копиями, которые внешне не будут отличаться от оригиналов.

 

 

«Мы показали, что система Mega не защищает пользователей от вредоносного воздействия на стороне сервера, и представили пять разных атак, используя которые вместе можно нарушить конфиденциальность пользовательских файлов. Кроме того, целостность пользовательских данных нарушается до такой степени, что злоумышленник может вставить вредоносные файлы, которые пройдут все проверки подлинности на стороне клиента», — говорится в сообщении исследователей. Согласно имеющимся данным, исследователи уведомили Mega о выявленных недостатках безопасности в марте этого года. На этой неделе сервис начал распространять обновление, чтобы закрыть уязвимости, но, по мнению авторов исследования, выпущенный компанией патч не способен решить всех проблем.