搜索

[11804] 2017-09-20_你的终端是安全的吗？iTerm2中可能通过DNS请求泄漏隐私信息

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2017-09-20_你的终端是安全的吗？iTerm2中可能通过DNS请求泄漏隐私信息 你 的 终 端 是 安 全 的 吗 ？ i T e r m 2   中 可 能 通 过   D N S   请 求 泄 漏 隐 私 信 息 E l a i n e _ z   F r e e B u f   2 0 1 7 - 0 9 - 2 0 M a c   上 的 开 发 者 可 能 非 常 熟 悉 上 的 开 发 者 可 能 非 常 熟 悉   i T e r m 2   这 款 终 端 应 用 程 序 ， 甚 至 已 经 用 它 取 代 了 这 款 终 端 应 用 程 序 ， 甚 至 已 经 用 它 取 代 了   A p p l e   官 方 终 端 应 用 的 地 位 。 官 方 终 端 应 用 的 地 位 。 但 就 在 今 天 之 前 ， 但 就 在 今 天 之 前 ， i T e r m 2 中 还 存 在 一 个 严 重 级 别 的 安 全 问 题 中 还 存 在 一 个 严 重 级 别 的 安 全 问 题 — — 这 个 问 题 出 现 在 自 动 检 查 功 能 上 的 这 个 问 题 出 现 在 自 动 检 查 功 能 上 的 D N S 请 求 请 求 中 ， 可 能 泄 露 终 端 内 部 分 内 容 。 相 关 的 用 户 请 务 必 及 时 升 级 版 本 至 最 新 的 中 ， 可 能 泄 露 终 端 内 部 分 内 容 。 相 关 的 用 户 请 务 必 及 时 升 级 版 本 至 最 新 的   3 . 0 . 1 3   版 本 版 本 ， 并 关 闭 某 些 设 置 。 ， 并 关 闭 某 些 设 置 。 这 个 功 能 能 够 查 询 鼠 标 悬 停 在   i T e r m 2   终 端 内 的 文 本 内 容 ， 在   i T e r m   3 . 0 . 0   版 中 首 次 引 入 。 也 就 是 说 ， 用 户 悬 停 在 某 个 “ 词 汇 内 容 ” 上 的 的 时 候 ， i T e r m 2   会 自 动 调 查 这 个 “ 内 容 ” 是 不 是 一 个 有 效 的 U R L 并 自 动 添 加 高 亮 。 为 了 避 免 通 过 使 用 不 准 确 的 字 符 串 模 式 匹 配 算 法 创 建 死 链 接 ， 该 功 使 用 了   D N S   请 求 来 确 定 这 个 域 名 是 否 真 实 存 在 。 意 外 出 现 ： 用 户 密 码 以 及 意 外 出 现 ： 用 户 密 码 以 及   A P I   k e y   被 发 至 被 发 至   D N S   服 务 器 上 服 务 器 上 现 在 的 问 题 在 于 — — 应 用 这 个 功 能 的 时 候 ， 如 果 用 户 将 鼠 标 悬 停 在 密 码 ， A P I 密 钥 ， 用 户 名 或 其 他 敏 感 内 容 的 时 候 ， 这 些 内 容 也 会 不 经 意 地 通 过 D N S 请 求 泄 漏 。 而 我 们 知 道 ， D N S 请 求 是 明 文 通 信 ， 意 味 着 任 何 能 够 拦 截 这 些 请 求 的 用 户 都 可 以 访 问   i T e r m 终 端 中 经 过 鼠 标 悬 停 的 敏 感 数 据 。 而 如 果 查 看 这 个 版 本 的 发 布 信 息 ， 我 们 看 到   i T e r m 2   的   3 . 0 . 0   版 本 是 在 2 0 1 6 年 7 月 4 日 发 布 ， 这 意 味 着 在 过 去 一 年 中 ， 在 不 知 情 的 情 况 下 ， 也 许 许 多 用 户 都 将 敏 感 内 容 泄 露 给 了   D N S   服 务 器 。 i T e r m 2   开 发 者 致 歉 开 发 者 致 歉 i T e r m 2   此 次 信 息 泄 漏 事 件 在 1 0 个 月 之 前 首 次 发 现 。 i T e r m 2 的 开 发 者 立 即 在 i T e r m 3 . 0 . 1 3 版 本 中 增 加 了 一 个 选 项 ， 让 用 户 可 以 关 闭 这 个 “ D N S 查 询 功 能 ” 。 但 新 版 本 中 仍 然 默 认 将 该 功 能 打 开 。 P o w e r D N S   的 软 件 工 程 师   P e t e r   v a n   D i j k   指 出 除 了 之 前 的 问 题 ， i T e r m 2   中 还 有 其 他 隐 私 泄 露 没 有 得 到 足 够 的 重 视 。 i T e r m 2   以 普 通 文 本 的 形 式 发 送 了 很 多 信 息 （ 包 括 密 码 ） 到 我 的 I S P   D N S 服 务 器 上 。 今 天 他 也 发 布 了 相 关 的   漏 洞 报 告   来 向 大 家 阐 述 这 个 问 题 的 严 重 性 。 目 前 开 发 者 也 意 识 到 了 这 个 问 题 可 能 导 致 的 后 果 ， 并 立 即 发 布 了   i T e r m 3 . 1 . 1 版 本 进 行 修 复 。 他 对 于 自 己 未 经 深 思 熟 虑 、 默 认 启 用 此 功 能 ， 向 开 发 者 们 表 示 歉 意 。 没 有 什 么 借 口 ， 我 没 有 足 够 重 视 安 全 问 题 。 我 为 我 的 过 失 道 歉 ， 并 且 今 后 一 定 更 加 谨 慎 。 你 们 的 隐 私 安 全 会 是 我 之 后 最 优 先 考 虑 的 问 题 。
目 前 能 够 提 供 的 建 议 是 ： 使 用 3 . 0 . 0 和 3 . 0 . 1 2 之 间   i T e r m 2   版 本 的 用 户 请 至 少 更 新 至 3 . 0 . 1 3 版 ， 然 后 可 以 通 过     “ P r e f e r e n c e s   ⋙ ⋙   A d v a n c e d   ⋙ ⋙   S e m a n t i c   H i s t o r y ” 中 将 中 将 “ P e r f o r m   D N S   l o o k u p s   t o   c h e c k   i f   U R L s   a r e   v a l i d ? ”   这 这 个 选 项 改 为 个 选 项 改 为 “ N O ” 。 。 本 文 作 者 本 文 作 者 E l a i n e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理