搜狗拼音輸入法加密系統爆安全漏洞可暴露用戶輸入。

搜狗輸入法是國內排名第一的輸入法，有超過4.55億月活用戶，支持Windows、安卓、iOS、Linux等系統。

搜狗拼音輸入法加密漏洞暴露用戶輸入

加拿大多倫多大學Citizen Lab研究人員發現搜狗輸入法使用的加密算法存在漏洞，惡意攻擊者可解密用戶的輸入信息。漏洞影響Windows、安卓和iOS平臺。

漏洞產生的根源是搜狗定制的加密系統——EncryptWall。該系統是敏感流量到未加密的搜狗HTTP API終端的安全通道，通過明文HTTP POST請求中的加密字段來實現。研究人員分析發現EncryptWall系統易受到CBC Padding oracle攻擊，這是一種選擇密文攻擊，影響使用CBC模式和PKCS#7 填充的分組加密。網絡監聽者利用該攻擊可以在不知道加密密鑰的情況下恢復加密的網絡傳輸的明文，恢復包括用戶輸入在內的敏感信息明文。

圖 恢復的明文輸入示例

該漏洞并不僅僅影響國內用戶，根據SimilarWeb網站的統計數據，shurufa.sogou[.]com的訪問用戶除中國大陸外，還包括中國臺灣、中國香港、美國、日本等地區。

研究人員稱修復方式非常簡單，只需要使用TLS這類加密實現即可。搜狗已于2023年7月20日修復了該漏洞，建議Windows、安卓和iOS用戶更新到Windows 13.7、安卓11.26和iOS 11.25及以上版本。

完整技術分析參見：https://citizenlab.ca/2023/08/vulnerabilities-in-sogou-keyboard-encryption/

本文翻譯自：https://thehackernews.com/2023/08/encryption-flaws-in-popular-chinese.html如若轉載，請注明原文地址