سرویس Internxt که خود را به عنوان یک ارائه‌دهنده ذخیره‌سازی ابری رمزنگاری‌شده با امنیت Post-Quantum (پساکوانتوم) معرفی کرده و مدعی متن‌باز بودن و گذراندن چندین حسابرسی (Audit) مستقل است، با انتقادات شدیدی در زمینه امنیت معماری خود مواجه شده است.
آسیب‌پذیری‌های بحرانی در اپلیکیشن دسکتاپ
بررسی‌های فنی نشان می‌دهد که این سرویس دچار ضعف‌های امنیتی جدی است که می‌تواند منجر به موارد زیر شود:
- اجرای کد از راه دور (RCE): تنها با کلیک بر روی یک لینک در مرورگر، امکان اجرای کد از راه دور بر روی اپلیکیشن دسکتاپ کاربر فراهم می‌شود.
- نشت کلیدهای رمزنگاری: احتمال افشای کلیدهای رمزنگاری بلندمدت کاربر به یک URL تحت کنترل مهاجم وجود دارد.
ضعف در معماری رمزنگاری (Cryptographic Architecture)
تحلیل‌های صورت گرفته حاکی از آن است که زیرساخت رمزنگاری این سرویس بسیار متزلزل است. برخی از نقاط ضعف کلیدی عبارتند از:
- عدم تایید (Verify) کلیدهای عمومی در فرآیند تبادل.
- طراحی سیستم به گونه‌ای که در برخی موارد اجازه حملات Man-in-the-Middle (MitM) را می‌دهد.
- استفاده از یک سلسله‌مراتب کلید تخت (Flat Key Hierarchy).
- به‌کارگیری تابع مشتق‌ساز کلید (KDF) بسیار ضعیف که تنها از 3 تکرار الگوریتم MD5 استفاده می‌کند.
این گزارش تاکید می‌کند که اگرچه نیاز به رمزنگاری مقاوم در برابر کوانتوم (PQC) ضروری است، اما افزودن یک لایه PQC ترکیبی (که به صورت دستی یا Self-rolled پیاده‌سازی شده باشد) بر روی یک پروتکل ضعیف، امنیت سیستم را افزایش نمی‌دهد و تنها یک لایه پوششی ایجاد می‌کند.
