Hacker News 의견

• TLS 인증서와 도메인 이름 조합에만 의존하는 것은 위험하며, 인터넷에서 다운로드한 아티팩트를 실행할 때는 항상 특정 버전에 고정하고 해시를 검증해야 함

  • qBittorrent의 DownloadManager 클래스는 14년 이상 모든 플랫폼에서 SSL 인증서 검증 오류를 무시해 왔음
  • 이 문제로 실제로 얼마나 많은 사람들이 영향을 받았는지 알게 된다면 놀라울 것임
  • 많은 것들이 주목받지 못해 그냥 작동하고 있으며, 이제 이슈가 주목받으면서 자동 업데이트를 하지 않는 사람들에게는 문제가 될 것임
  • SSL 오류를 무시하지 않는 버그 수정이 필요하며, 보안 공지가 있어야 한다고 생각함

• 최신 버전을 컴파일하고 실행하기 위해 Docker를 사용하는 스크립트가 유용하며, libtorrent 1.2를 사용하는 5.0.0 버전을 실행하는 데 가장 쉬운 방법으로 발견함

  • 이 문제는 과장된 면이 있으며, 특히 후반부의 포인트들이 그러함
  • 악성 실행 파일 로더는 MITM과 사용자 상호작용이 필요하여 명백한 취약점 경로가 없음
  • 브라우저 하이재킹과 실행 파일 다운로드는 사용자가 "업데이트"를 클릭해야 하며, 그 결과 웹 페이지를 보여주는 것에 불과함
  • RSS 피드의 임의 URL 삽입은 RSS 클라이언트의 예상 동작에 대한 혼란으로 보임
  • 압축 해제 라이브러리 공격 표면은 zlib의 취약점을 찾는다면 더 심각한 문제를 일으킬 수 있음

• 가장 안전한 Bittorrent 앱은 무엇인지 궁금함

  • 이 클라이언트의 문제들이 다른 옵션들보다 성능이 1000배 뛰어난 것에 비해 충격적으로 낮은 품질임
  • MITM 공격이 가능하다면 문제가 될 수 있음
  • deluge를 오랫동안 사용해왔으며, 그들의 기록에 만족하고 있음. 다른 클라이언트들이 큰 취약점이 발견될 때 특정 버전을 금지하는 경우가 많았음