Clubhouse tenía un error que hacía posible que un usuario permaneciera invisible en una sala de voz. Sin embargo, para hacer esto, era necesario que cualquier persona interesada en explotar la falla tuviera dos dispositivos iOS. La compañía, como sabemos, todavía está desarrollando su versión para Android, cuyo lanzamiento está previsto. un futuro cercano,

Usar la vulnerabilidad fue relativamente fácil: en el primer iPhone, el usuario iniciaba sesión en Clubhouse y luego ingresaba a un chat. Luego, en el segundo dispositivo, inicié sesión, lo que provocó una desconexión falsa en el primer celular. Después de eso, al ingresar nuevamente a la misma sala y dejarla en el segundo dispositivo, su avatar desapareció, sin embargo, aún era posible comunicarse con los participantes y escucharlos. Esto creó problemas de moderación, ya que el sistema entendió que el “usuario fantasma” no estaba en la sala. Para solucionar el problema de la presencia incómoda, simplemente cierre y vuelva a abrir la habitación.

Quien descubrió este defecto fue la investigadora Katie Moussouris. El error del participante invisible en Clubhouse ahora se está revelando, ya que la plataforma informa que ya ha solucionado este defecto. Es común que, por razones éticas, los analistas de seguridad informen primero al servicio sobre las vulnerabilidades y den una fecha límite para su resolución, antes de que se realice la divulgación pública. Esto es una forma de evitar la explotación por parte de personas malintencionadas.

Cambios y otros problemas de seguridad.

Según Clubhouse, se realizaron cambios que eliminan los permisos de hablar y escuchar de un participante invisible, lo que habría solucionado el error. Y además, para evitar errores similares, la plataforma cambió el sistema de caché para que un nuevo inicio de sesión requiera una reconexión completa en otros dispositivos previamente sincronizados.

Vale recordar que esta no es la primera vez que Clubhouse se involucra en temas de privacidad: en abril, información de 1,3 millones de usuarios se filtraron. Los datos incluían nombre de usuario, foto, perfiles en otras redes. Además, en marzo la aplicación fue acusada de retener un número de personas que ni siquiera estaban en la plataforma. Esto se debe a que el servicio requiere acceso a las guías telefónicas de los miembros actuales.

Vía Ars Technica

Imagen: Ekaterina Bolovtsova/Pexels