Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application / Messaging Application

Messaging Application

Beralih ke Signal? Aktifkan setelan ini sekarang untuk privasi dan keamanan yang lebih baik

by

Tahukah Anda bahwa Anda dapat membuat Signal lebih aman? Ada beberapa perbedaan tampilan antara Signal versi iOS dan Android, tetapi tip ini berlaku untuk kedua platform.

Tempat pertama yang harus Anda tuju adalah layar Pengaturan. Untuk membukanya, ketuk inisial Anda di pojok kiri atas layar (di Android Anda juga dapat mengetuk tiga titik di kiri atas lalu Pengaturan).

Ada tiga pengaturan di iOS dan empat di Android yang saya sarankan untuk dinyalakan, dan beberapa lainnya layak untuk dilihat.

  • Kunci Layar (iOS dan Android): Berarti Anda harus memasukkan biometrik Anda (ID Wajah, ID Sentuh, sidik jari atau kode sandi) untuk mengakses aplikasi
  • Aktifkan Keamanan Layar (iOS) atau Keamanan Layar (Android): Di iPhone, ini mencegah pratinjau data ditampilkan di pengalih aplikasi, sedangkan di Android mencegah pengambilan tangkapan layar
  • Kunci Pendaftaran (iOS dan Android): Memerlukan PIN Anda saat mendaftar dengan Signal (cara praktis untuk mencegah perangkat kedua ditambahkan)
  • Incognito Keyboard (hanya Android): Mencegah keyboard mengirimkan apa yang Anda ketikkan ke pihak ketiga, yang dapat memungkinkan kebocoran data sensitif

sumber : ZDNET

Brian Acton dari Signal berbicara tentang ledakan pertumbuhan, monetisasi, dan penyebaran data WhatsApp

by

Brian Acton “bertemu kembali” dengan Facebook. Selama lebih dari satu dekade membangun dan mengoperasikan WhatsApp, pendiri perusahaan pertama-tama bersaing dan kemudian menjual aplikasi perpesanan instannya ke raksasa sosial. Hanya beberapa tahun yang lalu dia berpisah dengan perusahaan yang membuatnya menjadi miliarder dalam perpecahan pahit karena perpesanan dan privasi.

Sekarang Acton mengatakan kemarahan yang sedang berlangsung atas apa yang telah dilakukan Facebook pada layanan perpesanan yang dia bantu bangun mendorong orang-orang ke proyek terbarunya – Signal. Acton, yang menjabat sebagai ketua eksekutif perusahaan induk aplikasi perpesanan yang sadar privasi, mengatakan kepada TechCrunch dalam sebuah wawancara bahwa basis pengguna Signal telah “meledak” dalam beberapa pekan terakhir.

Melalui peringatan dalam aplikasi, WhatsApp telah meminta pengguna dalam beberapa hari terakhir untuk menyetujui persyaratan ketentuan baru yang memberikan aplikasi izin untuk membagikan data pribadi mereka dengan Facebook. Pengguna harus menyetujui persyaratan ini sebelum 8 Februari jika mereka ingin terus menggunakan aplikasi, kata peringatan itu.

Acton mengatakan WhatsApp bergulat dengan menggabungkan fitur-fitur monetisasi sambil tetap melindungi privasi orang. Dan “kebijakan rumit” barunya telah memaksa WhatsApp dan media untuk mencari penjelasan dan “semua orang bingung”.

sumber : Techcrunch

Telegram mempublikasikan lokasi pengguna secara online

by

Beberapa tahun yang lalu, saat menggunakan aplikasi Line, saya melihat fitur yang disebut “Orang di sekitar”. Fitur ini memungkinkan Anda terhubung dengan pengguna Line lainnya di area yang sama. Fitur ini akan memberi Anda jarak yang tepat dari Anda ke pengguna lain. Jika seseorang memalsukan garis lintang, bujurnya, mereka dapat melakukan pelacakan pengguna dan menemukan lokasinya. Saya melaporkan masalah di aplikasi Line, dan Mereka membayar saya $ 1000 untuk itu. Mereka memperbaikinya dengan menambahkan nomor acak ke tujuan pengguna. Anda dapat menemukan nama saya di sini.

Beberapa hari yang lalu, saya menginstal Telegram, dan saya perhatikan bahwa mereka memiliki fitur yang sama. Saya mencoba untuk melihat apakah saya dapat membuka kedok lokasi pengguna lain, dan saya menemukan mereka memiliki masalah yang sama dengan yang saya temukan di aplikasi Line beberapa tahun yang lalu. Saya melaporkan masalah tersebut ke keamanan Telegram, dan mereka mengatakan itu bukan masalah. Jika Anda mengaktifkan fitur untuk membuat diri Anda terlihat di peta, Anda menerbitkan alamat rumah Anda secara online.

Saya bisa mendapatkan alamat rumah persis pengguna itu.

Telegram memberi tahu saya bahwa itu bukan masalah. Jika Anda menggunakan fitur ini, pastikan untuk menonaktifkannya. Kecuali jika Anda ingin lokasi Anda dapat diakses oleh semua orang.

Sayangnya, keamanan aplikasi Telegram yang buruk dapat tercermin dengan jumlah scammer yang mereka miliki dalam fitur itu. Telegram memungkinkan pengguna membuat grup lokal dalam suatu wilayah geografis. Banyak scammer memalsukan lokasi mereka dan mencoba menjual investasi bitcoin palsu, alat peretasan, SSN yang digunakan untuk penipuan pengangguran, dan sebagainya.

oleh Ahmed’s Notes

Bug Cisco 9.9/10-severity: Tambal kerentanan Jabber yang berbahaya ini pada Windows dan macOS

by

Cisco telah meluncurkan patch untuk beberapa kelemahan kritis yang memengaruhi klien Jabber untuk Windows, MacOS, dan aplikasi seluler untuk iOS dan Android.

Cacatnya buruk, dengan yang terburuk memiliki peringkat keparahan 9,9. Yang lebih buruk, cacat itu dimaksudkan untuk diperbaiki tiga bulan lalu dalam pembaruan untuk Jabber, tak lama setelah para peneliti merilis kode proof-of-concept eksploitasi untuk bug wormable, yang dapat dieksploitasi melalui pesan instan.

Jabber adalah platform enterprise chat dan pesan instan Cisco yang banyak digunakan, yang diakuisisi pada tahun 2008. Aplikasi ini didasarkan pada Chromium Embedded Framework (CEF), yang memungkinkan pengembang untuk menyematkan browser web berbasis Chromium dalam sandbox asli di aplikasi mereka.

Cisco mengatakan bahwa bug ini memungkinkan penyerang untuk “mengeksekusi program apapun pada sistem operasi yang mendasarinya dengan hak istimewa yang lebih tinggi atau mendapatkan akses ke informasi sensitif”.

Cisco mencatat bahwa kerentanan penanganan pesan baru dapat dieksploitasi jika penyerang dapat mengirim pesan Extensible Messaging and Presence Protocol (XMPP) ke sistem pengguna akhir yang menjalankan Cisco Jabber.

Tiga bug yang belum diperbaiki sepenuhnya dilacak sebagai CVE-2020-26085, CVE-2020-27127, dan CVE-2020-27132.

Watchcom melaporkan empat kerentanan ke Cisco awal tahun ini, dan itu diungkapkan oleh raksasa jaringan pada bulan September. Tetapi tiga di antaranya tidak diperbaiki dengan benar dalam pembaruan pada saat itu, menurut Watchcom.

Cisco juga menemukan dua bug tambahan di Jabber selama pengujian internal. Mereka dilacak sebagai CVE-2020-27133 dan CVE-2020-27134.

Sumber: ZDNet

Aplikasi Pesan Go SMS Pro Mengekspos File Media Pribadi Pengguna

by

Aplikasi Android yang populer menggunakan alamat Web yang mudah ditebak saat pengguna mengirim foto pribadi, video, dan pesan suara. Kerentanan keamanan di Go SMS Pro, aplikasi perpesanan Android populer, mengekspos foto pribadi, video, dan pesan suara dari jutaan pengguna, lapor peneliti. Peneliti dengan Trustwave SpiderLabs menemukan kelemahan Go SMS Pro versi 7.91, yang memiliki lebih dari 100 juta pengguna. Meskipun tidak jelas versi lain mana yang terpengaruh, diyakini versi sebelumnya dan versi yang akan datang rentan terhadap masalah yang sama, kata mereka.

Go SMS Pro, seperti banyak aplikasi messenger lainnya, memungkinkan orang mengirim media pribadi ke pengguna lain. Jika penerima memiliki aplikasi, media akan muncul di dalam aplikasi. Jika penerima tidak memiliki Go SMS Pro, file media dikirim sebagai alamat Web melalui SMS dan kemudian dibuka di dalam browser. Peneliti menemukan tautan ini dapat diakses tanpa otentikasi atau otorisasi apa pun, sehingga siapa pun yang memiliki tautan dapat melihat kontennya. Mereka juga mempelajari bahwa tautan URL berurutan (heksadesimal) dan dapat diprediksi, yang berarti penyerang dapat menaikkan nilai dalam URL tertentu untuk melihat atau mendengarkan pesan media pengguna lain tanpa otentikasi.

Trustwave menemukan kerentanan pada bulan Agustus dan berusaha menghubungi vendor aplikasi beberapa kali. Perusahaan tidak menanggapi, artinya kerentanan ini masih menimbulkan risiko bagi pengguna. Peneliti menyarankan agar tidak mengirim file media yang mungkin berisi data sensitif sampai Bug diperbaiki.

sumber : DarkReading

Bug Facebook Messenger bisa saja memungkinkan peretas untuk memata-matai pengguna

by

Facebook telah memperbaiki bug keamanan utama hari ini di aplikasi Messenger untuk Android yang memungkinkan penyerang untuk melakukan dan menghubungkan panggilan audio Messenger tanpa sepengetahuan atau interaksi penelepon.

Kerentanan tersebut, yang bisa saja disalahgunakan untuk memata-matai pengguna Facebook melalui ponsel Android mereka, ditemukan selama audit keamanan oleh Natalie Silvanovich, seorang peneliti yang bekerja untuk tim keamanan Project Zero Google.

Dalam laporan bug yang dipublikasikan hari ini, Silvanovich mengatakan bug tersebut berada di protokol WebRTC yang digunakan aplikasi Messenger untuk mendukung panggilan audio dan video.

Lebih khusus lagi, Silvanovich mengatakan bahwa masalahnya ada di Session Description Protocol (SDP), bagian dari WebRTC. Protokol ini menangani data sesi untuk koneksi WebRTC, dan Silvanovich menemukan bahwa pesan SDP dapat disalahgunakan untuk menyetujui koneksi WebRTC secara otomatis tanpa interaksi pengguna.

sumber : ZDNET

Ticketmaster Mendapat Denda Besar Selama Pelanggaran Data 2018

by

Raksasa acara menghadapi hukuman terkait GDPR di Inggris, dan lebih banyak lagi bisa mengikuti. Divisi Ticketmaster Inggris telah didenda $ 1,65 juta oleh Kantor Komisaris Informasi (ICO) di Inggris, atas pelanggaran data 2018 yang berdampak pada 9,4 juta pelanggan.

Denda (£ 1,25 juta) telah dikenakan setelah ICO menemukan bahwa perusahaan “gagal menerapkan langkah-langkah keamanan yang sesuai untuk mencegah serangan cyber pada bot-chat yang dipasang di halaman pembayaran online-nya” – kegagalan yang melanggar Peraturan Perlindungan Data Umum (GDPR) UE.

Pada Juni 2018, raksasa penjualan tiket itu mengatakan bahwa mereka menemukan malware dalam fungsi obrolan pelanggan untuk situs webnya, yang dihosting oleh Inbenta Technologies. Yang mengkhawatirkan, kode berbahaya tersebut ditemukan mengakses berbagai informasi, termasuk nama, alamat, alamat email, nomor telepon, detail pembayaran, dan detail login Ticketmaster. Belakangan diketahui bahwa serangan itu adalah pekerjaan geng Magecart, yang dikenal karena menyuntikkan skimmer pembayaran ke komponen situs web yang rentan.

sumber : ThreatPost

Para Ahli Memperingatkan Risiko Privasi yang Disebabkan oleh Pratinjau Tautan di Aplikasi Perpesanan

by

Peneliti keamanan siber selama akhir pekan mengungkapkan risiko keamanan baru yang terkait dengan pratinjau tautan di aplikasi perpesanan populer yang menyebabkan layanan membocorkan alamat IP, mengekspos tautan yang dikirim melalui obrolan terenkripsi end-to-end, dan bahkan mengunduh gigabyte data secara diam-diam di latar belakang.

“Tautan yang dibagikan dalam obrolan mungkin berisi informasi pribadi yang ditujukan hanya untuk penerima,” kata peneliti Talal Haj Bakry dan Tommy Mysk.

“Ini bisa berupa tagihan, kontrak, catatan medis, atau apa pun yang mungkin dirahasiakan.”

“Aplikasi yang mengandalkan server untuk menghasilkan pratinjau tautan mungkin melanggar privasi penggunanya dengan mengirimkan tautan yang dibagikan dalam obrolan pribadi ke server mereka.”

Pratinjau tautan yang dihasilkan di sisi penerima membuka pintu ke risiko baru yang memungkinkan pelaku kejahatan untuk mengukur perkiraan lokasi mereka tanpa tindakan apa pun yang diambil oleh penerima hanya dengan mengirimkan tautan ke server di bawah kendali mereka.

Ini terjadi karena aplikasi perpesanan, setelah menerima pesan dengan tautan, membuka URL secara otomatis untuk membuat pratinjau dengan mengungkapkan alamat IP ponsel dalam permintaan yang dikirim ke server.

Reddit Chat dan aplikasi yang dirahasiakan, yang “dalam proses memperbaiki masalah ini”, ditemukan mengikuti pendekatan ini, menurut para peneliti.

Penggunaan server eksternal untuk menghasilkan pratinjau, sambil mencegah masalah kebocoran alamat IP, menciptakan masalah baru: Apakah server yang digunakan untuk membuat pratinjau menyimpan salinan, dan jika demikian, untuk berapa lama, dan untuk apa mereka menggunakannya?

Beberapa aplikasi, termasuk Discord, Facebook Messenger, Google Hangouts, Instagram, LINE, LinkedIn, Slack, Twitter, dan Zoom, termasuk dalam kategori ini, tanpa ada indikasi bagi pengguna bahwa “server mengunduh apa pun yang mereka temukan di tautan”.

Pengujian aplikasi ini mengungkapkan bahwa kecuali untuk Facebook Messenger dan Instagram, yang lain memberlakukan batas 15-50 MB untuk file yang diunduh oleh server masing-masing. Slack, misalnya, menyimpan pratinjau tautan dalam cache selama sekitar 30 menit.

Meski begitu, para peneliti memperingatkan, ini bisa menjadi “mimpi buruk privasi” jika server menyimpan salinannya dan “pernah ada pelanggaran data dari server ini.”

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Hacker News