📱Engadget•較早收集於 64m
法國政府 Tchap 通訊平台遭安全漏洞攻擊
💡主權加密通訊平台發生重大安全故障；網路安全從業人員必讀。
⚡ 30-Second TL;DR
有什麼變化
Tchap 通訊平台遭到威脅行為者入侵
為什麼重要
此次入侵引發了對主權通訊平台安全性的擔憂。這可能會導致對政府使用的加密通訊工具進行更嚴格的審計。
下一步行動
審查貴組織的內部通訊安全協議，並考慮實施多因素身份驗證或零信任架構。
誰應關注：Enterprise & Security Teams
關鍵要點
- •Tchap 通訊平台遭到威脅行為者入侵
- •該服務用於法國政府內部通訊
- •此次安全漏洞凸顯了政府加密基礎設施的脆弱性
🧠 深度解析
Web-grounded analysis with 8 cited sources.
🔑 增強重點摘要
- •此次Tchap安全漏洞並非源於平台核心加密或基礎設施的破解，而是透過劫持一個合法的用戶帳戶所致，攻擊者很可能利用了社會工程手段。
- •威脅行為者聲稱已竊取大量數據，包括硬編碼的LDAP憑證、近14GB的文件和資料、電子郵件地址、會議連結以及約73,000個政府帳戶和643,000條訊息的組織數據。
- •法國政府數字事務總署（DINUM）證實，Tchap上的公開聊天室並未進行端對端加密，並提醒用戶不應在其中分享敏感資訊；而私人對話則具備端對端加密保護。
- •Tchap平台基於開放、去中心化的Matrix協議構建，其私人對話的端對端加密採用了Double Ratchet演算法，並經過NCC Group的密碼學審查。
- •此次事件發生之際，法國正積極推動「數位主權」戰略，旨在減少對外國軟體的依賴，包括計劃在2027年前以Linux取代Windows作業系統，並用本土方案取代Zoom和Microsoft Teams等視訊會議工具。
🛠️ 技術深入
- 協議基礎：Tchap基於開放且去中心化的Matrix協議。
- 加密技術：私人對話支援真正的端對端加密，採用Double Ratchet演算法。該加密方案已通過NCC Group的密碼學審查。
- 公開聊天室加密：公開聊天室的內容不進行加密。
- 開發單位：由法國政府數字事務總署（DINUM）與法國國家信息系統安全局（ANSSI）合作內部開發。
- 架構特性：去中心化架構允許法國公共部門內的各組織自行託管對話，從而實現數據主權和控制。
- 互操作性：作為基於Matrix的系統，Tchap能夠在法國公共部門的各組織間無縫聯邦，並可橋接至其他開放協議（如IRC）或專有系統（如Slack）。
- 開源性質：Tchap是一個開源的加密通訊工具，其開發基於開源通訊軟體Riot（現為Element）。
🔮 前景展望AI analysis grounded in cited sources
法國政府將進一步加強其本土數位主權策略，加速淘汰外國軟體。
此次Tchap漏洞凸顯了即使是本土開發的加密平台也面臨挑戰，這可能會促使政府更加堅定地推動「數位主權」議程，減少對任何外部技術的依賴，並可能加速其用Linux取代Windows、用本土方案取代Zoom/Teams的計畫。
政府級安全通訊平台將更注重用戶安全教育和多層次防禦，以應對社會工程攻擊。
此次攻擊是透過劫持用戶帳戶而非系統漏洞，表明技術防禦需與用戶行為安全教育並重，未來政府通訊平台將加強對社會工程攻擊的防範措施和用戶意識培訓。
開源加密通訊協議（如Matrix）在政府應用中的審查和實施將更加嚴格。
儘管Tchap基於開源的Matrix協議，此次漏洞仍引發對其實施細節和配置的質疑，可能導致未來政府在採用開源協議時，對其安全審查和部署標準提出更高要求。
⏳ 時間線
2018
Tchap由法國政府數字事務總署（DINUM）與法國國家信息系統安全局（ANSSI）聯合開發。
2019-04
Tchap正式推出，並在數小時後被發現一個允許非政府郵箱註冊的漏洞，隨後被修復。
2019-04
Tchap Agent上線並推廣至所有法國部委。
2025-08
法國總理弗朗索瓦·巴魯安發布通告，強制所有公務員在公務通訊中使用Tchap，並禁止使用外國應用程式。
2026-06-07
法國國家網路安全局（ANSSI）檢測到Tchap平台被入侵。
2026-06-09
法國政府數字事務總署（DINUM）發布安全通報，確認Tchap遭入侵，並有威脅行為者聲稱負責。
📎 來源 (8)
Factual claims are grounded in the sources below. Forward-looking analysis is AI-generated interpretation.
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： Engadget ↗