在苏黎世联邦理工学院研究人员进行审计之前，瑞士政府和军队首选的一款据称最安全的消息应用程序存在多个漏洞——而且可能持续了很长时间。
该大学的应用密码学小组本周发布了研究报告[PDF]，详细介绍了Threema公司自行开发的密码协议中的七个漏洞。这些漏洞如果被利用，可能会让不法分子克隆账户和阅读他们的信息，以及窃取私人密钥和联系人，甚至为勒索目的制造危害材料。
虽然这款总部位于瑞士的应用程序——自称是WhatsApp的更安全和非美国的替代品——并没有像Signal或Telegram那样广泛使用，但它的数据中心位于阿尔卑斯山地区。这使得它成为深受用户欢迎的流行消息应用程序——比如瑞士军队——他们希望避免来自海外政府的潜在窥探。它拥有超过1000万用户和7000个内部客户，包括德国总理奥拉夫舒尔茨。
Threema在有关该研究报告的博客文章中淡化了这些漏洞。文章称，这些漏洞是在Threema不再使用的协议中发现的，虽然这些漏洞“从理论上讲可能很有趣，但它们都没有对现实世界产生任何重大影响”。
以下是这家瑞士公司声明的更多内容：
去年，苏黎世联邦理工学院计算机科学系的一名学生撰写了关于Threema通信协议的硕士论文。该大学现已将他的工作作为论文/预印本发表。但是，该论文基于一个已经不再使用的旧协议。提出的调查结果不适用于Threema当前的通信协议“Ibex”，或者已经得到解决。他们都没有对现实世界产生过任何重大影响。”
三位研究人员——计算机科学教授Kenneth Paterson和博士生Matteo Scarlata和Kien Tuong Truong——在一个关于Threema安全漏洞的网站上指出，他们最初是在2022年10月向该公司披露了他们的发现，后来同意在1月9日公开披露日期。
Threema于11月下旬发布了其Ibex协议，“以进一步减轻我们的攻击”，研究人员指出，他们尚未审核这一在调查后发布的新协议。然而，研究人员写道，他们确实“相信我们发现的所有漏洞都已通过Threema最近的补丁得到缓解”。
Paterson指出，旧协议“是因为我们的研究更新为‘新’版本。”
他补充说，Threema的声明“极具误导性”。“他们以这种极具误导性的方式描述当前情况，这令人非常失望。”
虽然研究人员承认这些特定错误不再对Threema客户构成威胁，但他们的发现仍然凸显了评估“依赖定制加密协议的应用程序的开发者所做的安全声明”的困难。
“理想情况下，任何使用新型加密协议的应用程序都应该有自己的正式安全分析（以安全证明的形式），以提供强大的安全保证，”他们补充道，“这样的分析可以帮助减少Threema是否仍然存在进一步的严重加密漏洞的不确定性。”