苏黎世Eth的网络安全研究人员在几个端到端加密（E2EE）云存储平台中发现了严重的加密漏洞。
这些漏洞可以使威胁行为者可以非法访问客户的敏感数据。
苏黎世Eth研究人员Jonas Hofmann和Kien Tuong Truong在一份新报告中表明，在恶意服务器的环境中，他们对五个主要的E2EE E2EE E2EE云存储提供商进行了深入的加密分析，Sync，pcloud，pcloud，pcloud，cicledrive，icedrive，iCedrive，seafile，seafile，seafile and tresorit在累积的索赔中累积了超过2200万个索赔，并在索赔上占据了索赔，以占有一致的索赔。
“遍布E2EE云存储的脆弱性突出了我们对该领域的关键盲点。我们的发现强烈表明，在当前阶段，E2EE云存储的生态系统在很大程度上被打破了，需要重大重新评估其基础。”
研究人员将他们的分析基于威胁模型，在该模型中，攻击者可以控制恶意服务器以及随意阅读，修改和注入数据的能力，这是民族国家参与者和高技能黑客的现实方法。
通过分析，研究人员发现了所有五个平台上的漏洞，这些平台允许在对手的控制下使用恶意服务器将文件轻松地注入用户的加密存储中，并随意篡改文件数据，甚至可以直接访问文件的内容。
这与平台的营销主张相矛盾，并使客户在数据安全性方面具有错误的安全感。
研究人员确定了所有五个云存储平台的十类攻击，它们分为四个类别：机密性，目标文件数据，元数据以及将任意文件注入用户的存储中。
让我们看一下攻击类别：
- 缺乏经过验证的关键材料，允许攻击者插入自己的加密密钥（Sync和Pcloud）
- 未经身份验证的公共钥匙（同步和Tresorit）
- 加密协议降级，该协议允许其尝试使用用户密码（Seafile）的蛮力
- 链接共享陷阱编码解密所需的密码（同步）
- CBC之类的未经身份验证的加密模式允许攻击者以半控制的方式篡改文件的内容（Icdrive和Seafile）
- 未经身份验证的文件块，使对手可以交换块并从文件中删除块（Seafile和Pcloud）
- 篡改文件名和位置（同步，pcloud，seafile和icedrive）
- 篡改文件元数据（影响所有五个提供商）
- 注入文件夹（同步）
- 注入Rogue文件键，以及用户存储中的Rogue File内容（PCLOUD）
“并非我们所有的攻击本质上都是复杂的，这意味着他们不一定能熟练加密。确实，我们的攻击是高度实用的，可以在没有大量资源的情况下进行。”研究人员补充说。
“此外，尽管从加密角度来看，其中一些攻击并不是新颖的，但他们强调，在实践中部署的E2EE云存储在琐碎的层面上失败，并且通常不需要更深刻的密码分析即可破坏。”
在发现漏洞时，霍夫曼和特鲁恩遵循道德披露惯例，并在2024年4月23日通知同步，pcloud，seafile和Icdrive，并带有标准的90天披露窗口。
尽管Seafile和Icedrive都承认了这个问题，但Icedrive团队选择不解决提出的问题。另一方面，Seafile已承诺通过将来的更新来修补协议降级问题。
此外，2024年9月27日，研究人员联系了Tresorit，讨论了其特定加密设计的潜在改进。
Pcloud尚未对研究人员的报告发表评论在同步时，在一份声明中易怒的计算机，说：“我们的安全团队上周意识到了这些问题，此后我们已经采取了迅速采取的行动来解决这些问题。我们还与研究团队联系以分享发现并在下一步。”
