‏آسیب‌پذیری Proton Pass: دور زدن رمز دوم با Emergency Access

Proton Pass یه قابلیت جالب داره: می‌تونی یه رمز دوم فقط برای vault پسوردت تنظیم کنی، مستقل از رمز اصلی حساب Proton. ایده پشتش اینه که حتی اگه کسی به حساب اصلیت دسترسی پیدا کنه، بدون این رمز دوم نتونه به پسوردهات برسه. یه لایه‌ی امنیتی اضافه که خیلی‌ها بهش تکیه می‌کنن.

ماجرا از اینجا شروع شد که یه عضو خانواده‌ی نویسنده رمز دوم Passش رو فراموش کرد. وقتی دنبال راه‌حل می‌گشتن، نویسنده متوجه قابلیت Emergency Access شد؛ یه فیچر نسبتاً جدید که بهت اجازه می‌ده یه نفر دیگه رو به‌عنوان مخاطب اضطراری اضافه کنی تا در شرایط بحرانی به حسابت دسترسی داشته باشه. وقتی فیلد «زمان انتظار» روی None بود، نویسنده خودش رو اضافه کرد و بلافاصله وارد Proton Pass شد. رمز دوم؟ هرگز پرسیده نشد.

آسیب‌پذیری اینجاست: اگه یه مهاجم به حساب اصلی قربانی دسترسی پیدا کنه (مثلاً از طریق فیشینگ یا لیک شدن رمز)، می‌تونه این مراحل رو طی کنه:

• یه حساب Proton جدید می‌سازه (ثبت‌نام Proton به اطلاعات شخصی نیاز نداره)
• وارد تنظیمات Recovery قربانی می‌شه: `
• اون حساب جدید رو با Wait time: None به‌عنوان Emergency Contact اضافه می‌کنه
• فوراً روی Access Account کلیک می‌کنه و داخل Proton Pass می‌شه

درسته که قربانی یه ایمیل اطلاع‌رسانی می‌گیره، ولی چون مهاجم به ایمیل هم دسترسی داره، می‌تونه یه فیلتر بسازه که اون ایمیل‌ها مستقیم بره توی trash. مثلاً قانونی که همه‌ی ایمیل‌های با موضوع Emergency access granted رو حذف کنه.

نتیجه؟ از یه رمز لیک‌شده تا export کامل vault، بدون هیچ تأخیر، تأیید دو مرحله‌ای، یا نیاز به رمز دوم. مهاجم می‌تونه همه چیز رو یه‌جا بکشه بیرون.

نویسنده این باگ رو به Proton گزارش داده، ولی پاسخ Proton این بود: «این رفتار by design هست و تیم ما از آن آگاهه.» نویسنده با این دیدگاه موافق نیست؛ چون فلسفه‌ی وجودی رمز دوم اینه که حتی اگه حساب اصلی لو بره، vault هنوز امن باشه. وقتی Emergency Access می‌تونه این لایه رو دور بزنه، اون رمز دوم عملاً یه توهم امنیت می‌شه.

نکات کلیدی:

• رمز دوم Proton Pass در برابر Emergency Access محافظتی نداره
• گزینه‌ی «Wait time: None» در Emergency Access، دسترسی فوری و بدون تأخیر می‌ده
• مهاجم با دسترسی به ایمیل می‌تونه نوتیفیکیشن‌های اضطراری رو پنهان کنه
• Proton این رفتار رو «by design» می‌دونه و فعلاً تغییری نمی‌ده
• اگه از MFA روی حساب Proton استفاده نمی‌کنی، این آسیب‌پذیری خطر بیشتری داره