收藏
回答

安全测试问题

框架类型 问题类型 操作系统 操作系统版本 手机型号 微信版本
小程序 Bug Android Android 64位 华为

我这边是华为亿商的开发者,我们在安全整改中扫描出您这边的com/tencent/mm/opensdk/channel/a/a.java类存在Cipher安全漏洞:使用不安全的加密方式,会造成无法满足加密保护需求,攻击者可通过特定方式获取被加密的明文。

可以澄清一下该位置是否存在漏洞吗?

回答关注问题邀请回答
收藏

1 个回答

  • 社区技术运营专员-Jahozheng
    社区技术运营专员-Jahozheng
    2022-05-24

    请具体描述问题出现的流程

    2022-05-24
    有用
    回复 2
    • 曾宪武
      曾宪武
      2022-05-24
      我们发现微信分享SDK“com.tencent.mm.opensdk:wechat-sdk-android-without-mta:6.8.0”版本中, com/tencent/mm/opensdk/channel/a/a.java类存在使用MD5加密算法的问题。<br /><br /><br />实际上MD5算法已经于2004年由山东大学王小云教授的团队予以破解(人为构造出两个具有相同MD5值的信息),并且在2008年由国际密码学专家Lenstra利用该破解成果成功伪造出CA数字证书,其安全性已非常低下,因此, MD5不应用于所有密码学安全用途,包括用于数字签名,HMAC,口令单向保护、密钥派生、RNG等。但是,对于校验线路错误、校验介质损坏引起的比特跳变等非密码学安全用途,使用MD5不受约束。<br /><br /><br />所以想请教一下,您这边该类中的a.a(String, int, String) : byte[]方法里的代码:<br />MessageDigest instance = MessageDigest.getInstance("MD5");<br />            instance.update(bytes);<br /><br /><br />所使用的MD5算法具体的用途是什么?
      2022-05-24
      回复
    • 社区技术运营专员-Jahozheng
      社区技术运营专员-Jahozheng
      2022-05-25回复曾宪武
      这个只是微信openSDK的一个校验值而已,没有实际的数据意义,其他app拿了也没用
      2022-05-25
      回复
登录 后发表内容