⬇ Scarica il santino: ·
San FortiClient, che firmava la chiave col proprio nome
Patrono delle chiavi scritte nel codice, delle password che somigliano al nome dell'azienda e delle app che custodiscono segreti sotto lo zerbino.
Vita
Il 2 febbraio 2015 la CVE-2015-1453, nata da un advisory di Security-Assessment.com pubblicato a fine gennaio, rese ufficiale una piccola ingenuità di FortiClient 5.2.3 per Android. Per cifrare le password e gli altri dati salvati nelle preferenze, l'app usava una chiave fissa, identica su ogni telefono: il nome del produttore, a maiuscole e minuscole alterne, con un punto esclamativo e la parola «Android». Chi trovava la chiave nel codice poteva decifrare i dati di tutti.
Preghiera
O San FortiClient, che nascondesti la chiave dove tutti potevano leggerla, insegnaci a custodire i segreti nel portachiavi del sistema e non nel codice. Amen.
Come si festeggia
Si festeggia aggiornando FortiClient e lasciando la cifratura al Keystore di Android, che una chiave diversa per ogni telefono la sa generare da solo.