建站
咨詢
售后
建站咨詢
新聞中心
搜狗拼音輸入法加密系統(tǒng)爆安全漏洞可暴露用戶輸入。
創(chuàng)新互聯(lián)建站專注為客戶提供全方位的互聯(lián)網(wǎng)綜合服務，包含不限于網(wǎng)站設計制作、成都網(wǎng)站設計、余江網(wǎng)絡推廣、小程序設計、余江網(wǎng)絡營銷、余江企業(yè)策劃、余江品牌公關、搜索引擎seo、人物專訪、企業(yè)宣傳片、企業(yè)代運營等，從售前售中售后，我們都將竭誠為您服務，您的肯定，是我們最大的嘉獎；創(chuàng)新互聯(lián)建站為所有大學生創(chuàng)業(yè)者提供余江建站搭建服務，24小時服務熱線：028-86922220，官方網(wǎng)址：www.cdcxhl.com
搜狗輸入法是國內排名第一的輸入法，有超過4.55億月活用戶，支持Windows、安卓、iOS、Linux等系統(tǒng)。
搜狗拼音輸入法加密漏洞暴露用戶輸入
加拿大多倫多大學Citizen Lab研究人員發(fā)現(xiàn)搜狗輸入法使用的加密算法存在漏洞，惡意攻擊者可解密用戶的輸入信息。漏洞影響Windows、安卓和iOS平臺。
漏洞產(chǎn)生的根源是搜狗定制的加密系統(tǒng)——EncryptWall。該系統(tǒng)是敏感流量到未加密的搜狗HTTP API終端的安全通道，通過明文HTTP POST請求中的加密字段來實現(xiàn)。研究人員分析發(fā)現(xiàn)EncryptWall系統(tǒng)易受到CBC Padding oracle攻擊，這是一種選擇密文攻擊，影響使用CBC模式和PKCS#7 填充的分組加密。網(wǎng)絡監(jiān)聽者利用該攻擊可以在不知道加密密鑰的情況下恢復加密的網(wǎng)絡傳輸?shù)拿魑?，恢復包括用戶輸入在內的敏感信息明文?/p>
圖 恢復的明文輸入示例
該漏洞并不僅僅影響國內用戶，根據(jù)SimilarWeb網(wǎng)站的統(tǒng)計數(shù)據(jù)，shurufa.sogou[.]com的訪問用戶除中國大陸外，還包括中國臺灣、中國香港、美國、日本等地區(qū)。
研究人員稱修復方式非常簡單，只需要使用TLS這類加密實現(xiàn)即可。搜狗已于2023年7月20日修復了該漏洞，建議Windows、安卓和iOS用戶更新到Windows 13.7、安卓11.26和iOS 11.25及以上版本。
完整技術分析參見：https://citizenlab.ca/2023/08/vulnerabilities-in-sogou-keyboard-encryption/
本文翻譯自：https://thehackernews.com/2023/08/encryption-flaws-in-popular-chinese.html如若轉載，請注明原文地址
本文名稱：搜狗拼音輸入法加密漏洞暴露用戶輸入
網(wǎng)站路徑：http://www.5511xx.com/article/cohpgsh.html
