HKCert
保安博錄

對 PopVote 普及投票系統資訊保安問題的建議

發布日期: 09 / 02 / 2017
最後更新: 10 / 02 / 2017

 

HKCERT 留意到近日於2017年2月初展開的 PopVote 普及投票系統的保安問題。由於系統會對 Telegram 用戶構成資料外洩的安全風險,本中心建議市民,在該系統的不安全的設計 (要求過多的權限) 得到修正前,不要使用該系統; 或使用全新的 SIM 卡及 Telegram 賬戶進入系統。

 

PopVote 普及投票系統使用了廣受歡迎的即時通訊軟件 Telegram 來驗證用戶的裝置。若你不是 Telegram 的現有用戶,它會啟動登記程序為你建立一個賬戶,Telegram 及後會以短訊形式發送驗證碼。若你是 Telegram 用戶及已啟動「雙重認證」功能,系統會於投票前要求你提供你的 Telegram 雙重認證密碼以登入賬戶 - 這就是問題所在﹗

 

 

 

風險

  1. PopVote 普及投票系統的設計利用「會話」(session) 的概念來短暫使用你的 Telegram 賬戶。在該會話中,PopVote 理論上可以作出任何動作,比認證用戶和手機所需的更多。對於已輸入雙重認證密碼的用戶,倘若 PopVote 受到入侵或內部攻擊,可引致資料外洩。這是因為輸入雙重認證密碼就好像向其他裝置授權自己的登入階段,攻擊者可於該階段中瀏覽所有對話記錄、篡改訊息,甚至假扮用戶發送訊息。
  2. PopVote 於首日 (2月7日) 展開時,沒有在完成投票程序後立即終止連接。如果系統被入侵,會增加會話於網絡攻擊中被盜用的風險。(註: PopVote 團隊已在2月8日更新系統,糾正了這個問題。)
  3. 如果你輸入的雙重認證密碼,也在其他線上賬戶使用,外洩的資料或能令攻擊者登入那些賬戶。

 

建議

未進行投票的人士:

  1. 盡可能避免使用 PopVote 普及投票系統。
  2. 若你決定要使用系統,本中心建議你使用全新的 SIM 卡及登記全新的 Telegram 賬戶進行投票。確保清楚了解整個機制 (https://cast.popvote.hk/#/howthisworks) 和有關條款及細則。

已進行投票的人士:

  1. 若你不是 Telegram 用戶,可以透過 Telegram 提供的步驟刪除你的 Telegram 賬戶 (https://telegram.org/faq#q-how-do-i-delete-my-account)。
  2. 若你是 Telegram 用戶,檢查有沒有仍在連接的會話。如果你在有效會話清單中找到有PopVote 字樣的,可使用「Terminate all other sessions」將之終止。以下是 Telegram 應用程式內該清單的所在位罝:
  3.  

  4. 更改 Telegram 雙重認證密碼;若有其他線上賬戶使用相同的密碼,也要更改。

 

最後,小心以 PopVote 為名的釣魚連結。在輸入敏感資料前,要時常檢查網址,並且不要隨便點擊從電郵或文子訊息收到的連結。