Chamadas do Signal podem continuar depois que você desliga
Autoria: Better Stack · Assistir no YouTube
Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.
Idioma original: inglês
Vídeo original: Signal Calls Could Keep Going After You Hang Up #signal #security #programming · Canal: Better Stack · 01:03 · Assistir no YouTube
Tópicos: Cibersegurança e segurança de software, Engenharia de software com IA, Privacidade e proteção de dados
Uma falha crítica no RingRTC, biblioteca open source usada pelo Signal para chamadas de voz e vídeo, podia impedir que uma chamada fosse encerrada corretamente. Em certas situações, a outra pessoa na chamada ainda poderia ouvir e talvez ver quem tentou desligar. O Signal corrigiu o problema e distribuiu a atualização para Android, iPhone e desktop; não há evidências de exploração. O vídeo também relembra falhas semelhantes no FaceTime, no Signal para Android, no Google Duo e no Facebook Messenger.
Pontos-chave
Seção intitulada “Pontos-chave”- A falha no RingRTC recebeu classificação de gravidade 9,3, considerada crítica.
- Uma pessoa que já estivesse na chamada podia sobrecarregar uma fila interna e impedir o encerramento completo.
- O áudio e, possivelmente, o vídeo poderiam continuar após a pessoa tocar no botão de desligar.
- O Signal corrigiu o problema em 4 de setembro, mas a alteração não foi identificada como correção de segurança no changelog.
- A correção chegou ao Android, iPhone e desktop nas semanas seguintes; a CVE foi divulgada em 20 de outubro.
- A falha não permitia que um desconhecido escutasse alguém aleatoriamente, nem afetava mensagens, contas ou criptografia.
- O vídeo afirma que não há evidências de que alguém tenha explorado a vulnerabilidade.
- Falhas semelhantes afetaram FaceTime, Signal para Android, Google Duo e Facebook Messenger.
Capítulos
Seção intitulada “Capítulos”| Início | Capítulo | Resumo |
|---|---|---|
| 00:00 | A falha no encerramento das chamadas | Uma falha crítica no RingRTC podia impedir que uma chamada do Signal terminasse por completo. |
| 00:30 | Correção, divulgação e alcance do problema | O Signal corrigiu a falha e distribuiu a atualização, que só podia ser explorada por alguém já presente na chamada. |
| 00:47 | Falhas semelhantes em outros aplicativos | O vídeo cita problemas parecidos no FaceTime, no Signal para Android, no Google Duo e no Facebook Messenger. |
Citações
Seção intitulada “Citações”Desligar talvez não tenha realmente encerrado a chamada. — 00:00
É uma falha real, classificada como 9,3 — crítica. — 00:00
Garantir que as chamadas terminem completamente em casos extremos. — 00:30
A parte mais difícil de criar um aplicativo de chamadas talvez seja fazer a chamada terminar. — 00:47
Conceitos e entidades
Seção intitulada “Conceitos e entidades”- RingRTC (repo): Biblioteca open source usada pelo Signal para chamadas de voz e vídeo.
- Signal (ferramenta): Aplicativo de mensagens e chamadas cuja implementação de chamadas foi afetada pela falha.
- CVE (conceito): Identificador público de vulnerabilidade mencionado no vídeo como tendo sido divulgado em 20 de outubro.
- FaceTime (ferramenta): Aplicativo de chamadas da Apple que teve uma falha semelhante em 2019.
- Project Zero (empresa): Equipe do Google que encontrou em 2019 uma falha que podia forçar uma chamada do Signal a se conectar no Android.
- Google Duo (ferramenta): Aplicativo de chamadas em que o Project Zero também encontrou uma falha semelhante.
- Facebook Messenger (ferramenta): Aplicativo de mensagens em que o Project Zero também encontrou uma falha semelhante.
Tradução completa (pt-BR)
Seção intitulada “Tradução completa (pt-BR)”00:00 Se você estivesse em uma chamada do Signal com a pessoa errada, desligar talvez não tivesse realmente encerrado a chamada. Este é um bug real, classificado com nota 9,3, portanto crítico, e está no RingRTC, a biblioteca open source que o Signal usa para chamadas de voz e vídeo. A descrição oficial diz que alguém na chamada poderia inundar a fila interna da chamada, impedindo que desligar encerrasse a chamada junto com o áudio e, talvez, o vídeo. Então, você aperta aquele botão vermelho pensando que já saiu, mas a outra pessoa ainda consegue ouvir você e talvez até ver você. Na verdade, o Signal corrigiu isso em 4 de setembro.
00:30 A correção diz literalmente para garantir que as chamadas sejam encerradas por completo em casos extremos e, no registro de alterações, há apenas um item, sem nada dizendo que se trata de uma correção de segurança. A atualização foi distribuída para Android, iPhone e computadores nas semanas seguintes, e o CVE só foi divulgado publicamente em 20 de outubro. Vale observar que só alguém com quem você já estivesse em uma chamada poderia fazer isso, então não era um estranho aleatório escutando, e suas mensagens, sua conta e a criptografia não foram afetadas. Além disso, não há evidências de que alguém tenha explorado isso. O Signal também não é o único que já foi atingido por esse tipo de bug. Em 2019, o FaceTime teve um bug que permitia que a pessoa que ligava ouvisse você antes mesmo de você
01:03 atender, e a Apple teve que desativar as chamadas em grupo do FaceTime até que o problema fosse corrigido. Naquele mesmo ano, o Project Zero, do Google, descobriu que alguém que ligasse poderia forçar a conexão de uma chamada do Signal no Android. Ao investigar mais a fundo, encontraram o mesmo tipo de bug também no Google Duo e no Facebook Messenger. Então, parece que a parte mais difícil de criar um aplicativo de chamadas talvez seja, na verdade, fazer a chamada terminar. Enfim, atualize o Signal e inscreva-se para receber mais notícias sobre IA e desenvolvimento toda semana.
Transcrição original
[00:00] If you were on a signal call with the wrong person, hanging up might not have actually ended the call. This is a real bug and it’s rated 9.3, so critical, and it’s in RingRTC, which is the open source library that Signal uses for its voice and video calls. The official description says someone on the call could flood the call’s internal queue, which stops your hang up from tearing the call down along with the audio and perhaps the video. So, you press that red button thinking you’re gone, but the other person can still hear you and maybe even see you. Signal actually fixed this back on the 4th of September.
[00:30] The fix literally says ensure calls terminate completely in corner cases, and in the change log it’s just one bullet point with nothing saying it’s a security fix. This rolled out to Android, iPhone, and desktop over the next few weeks, and the CVE was only made public on the 20th of October. It is worth noting that only someone you’re already on call with could do this, so it’s not a random stranger listening in, and your messages, your account, and encryption weren’t touched, and there’s actually no evidence that anyone used this. Signal’s not the only one that’s been hit by this type of bug before as well. In 2019, FaceTime had a bug where a caller could hear you before you even
[01:03] picked up, and Apple had to switch group FaceTimes off until this issue was fixed. That same year, Google’s Project Zero found a caller could force a Signal call on Android to connect, and when they looked wider, they found the same kind of bug in Google Duo and Facebook Messenger, too. So, it turns out the hardest part of building a calling app might actually be making the call end. Anyway, update Signal and subscribe for more AI and dev news every week.