V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
2le
V2EX  ›  信息安全

后续: ToDesk 存在安全漏洞,可无密码远程控制设备,请谨慎使用

  •  
  •   2le · 2021-07-10 16:11:00 +08:00 · 9704 次点击
    这是一个创建于 992 天前的主题,其中的信息可能已经有所发展或是发生改变。

    原帖地址: https://v2ex.com/t/788413

    通过论坛和 ToDesk 团队负责人取得联系后,我们进行了深度测试和本地验证,发现的确是一次乌龙事件。具体事实如下:

    • ToDesk 使用 chacha20 and Poly 1305 端到端加密,不存在无密码就可以连接的情况
    • ToDesk 连接设备时,会优先查找保存的历史连接记录
    • ToDesk 早期版本的“记住历史连接密码”密码是默认勾选的
    • ToDesk 新版本去掉了这个默认选项
    • ToDesk 新版本无法在 UI 下拉菜单列表中显示老版本的数据库连接记录

    本次产生乌龙的原因是:我使用了 ToDesk 旧版本(默认配置),在升级新版本后,软件 UI 并没有把老版本的连接记录显示在下拉菜单中,因此产生了误会。

    第 1 条附言  ·  2021-07-10 16:47:51 +08:00
    我是 ToDesk 团队 CEO,首先对 2le 表示抱歉,对不起.
    事情的起因是公司程序员在 V2EX 划水时看到了这个帖子标题,一时没有控制好个人情绪,擅自发布了带有个人负面情绪的回帖
    并且以帮助用户网络调优为由,向运维查询并公开了 2le 的设备连接的时间.来辩证自己的安全可靠性.
    不理性使用了 律师函警告 之类的偏激词汇.非常抱歉.经此事件后,我们会加强内部对数据保护.

    我了解到整个事情的前因后果时已经比较晚了,但是依然希望能够第一时间消除大家对此事件的误会.

    同时也非常感谢 2le 摒弃前嫌, 花了好几个小时的时间进行友好沟通以及多次实验和论证.体现了 2le 的大度和认真严谨.
    同时也侧面的证明了 网络安全的重要性以及体现了建立良好交流渠道的必要性.
    借 V2EX 论坛向大家承诺, 我们不会上传用户的连接密码, 我们对网络安全非常重视.
    同时我们会不断的优化和提升产品质量, 为用户提供一个更好的产品.

    同时解答下大家关心的问题
    1.macOS 后台服务进程常驻的问题:
    开机自启动功能, 以及在刚开机状态下能正常呈现系统登录界面,包括客户端的异常崩溃守护需要常驻在后台
    其他同类软件也是这样子去做的.

    2.文件传输一直都是免费的,不存在必须收费才可以使用.免费的是在共享通道, 文件传输功能有时因繁忙无法使用
    我们已经部署更多免费通道.
    2021/07/10
    www.ToDesk.com
    47 条回复    2021-07-12 14:00:42 +08:00
    zxCoder
        1
    zxCoder  
       2021-07-10 16:15:20 +08:00
    啊这
    xingshu1990
        2
    xingshu1990  
       2021-07-10 16:16:06 +08:00
    坐等一群人,过来阴阳怪气。
    wunonglin
        3
    wunonglin  
       2021-07-10 16:20:50 +08:00   ❤️ 4
    这也是 ui 的一个 bug
    Pogbag
        4
    Pogbag  
       2021-07-10 16:23:16 +08:00 via iPhone
    尴尬了😅
    burning
        5
    burning  
       2021-07-10 16:24:23 +08:00
    😓
    wangyuanguang
        6
    wangyuanguang  
       2021-07-10 16:35:12 +08:00   ❤️ 13
    不过这个软件官方对待问题的态度也是蛮有大厂风范的,深得精髓
    cdlnls
        7
    cdlnls  
       2021-07-10 16:41:03 +08:00
    建议也在原帖上贴一下后续
    well775397252
        8
    well775397252  
       2021-07-10 16:48:43 +08:00
    东西还没做好,就开始学 teamview 。早就不用了
    opentrade
        9
    opentrade  
       2021-07-10 16:49:11 +08:00 via Android
    总算尘埃落定
    billlee
        10
    billlee  
       2021-07-10 16:50:55 +08:00   ❤️ 11
    这也不算是乌龙吧,保存了 credential 却没有显示,也是安全漏洞了
    coderluan
        11
    coderluan  
       2021-07-10 16:59:06 +08:00   ❤️ 11
    "事情的起因是公司程序员在 V2EX 划水时看到了这个帖子标题,一时没有控制好个人情绪,擅自发布了带有个人负面情绪的回帖"

    所以是程序员说给人律师函, 所以也是程序员假装路人反串? 所以也是一个程序员让人骚扰站长删帖? 贵公司程序员这么牛逼吗? 建议把你把 CEO 职务让给这个程序员好了.
    labulaka521
        12
    labulaka521  
       2021-07-10 16:59:54 +08:00
    谁还敢用?,今天可以查看用户连接记录并曝光😅,明天就敢直接查看你连接画面😅
    interim
        13
    interim  
       2021-07-10 17:06:26 +08:00   ❤️ 3
    @labulaka521 不给你连接记录又无法自证清白,给了你又可以用你现在的角度喷。键盘真是怎么敲都有理。
    tsukino
        14
    tsukino  
       2021-07-10 17:09:50 +08:00
    态度有问题(反正就是你错了)
    reiji
        15
    reiji  
       2021-07-10 17:18:22 +08:00   ❤️ 7
    我代入了一下自己,如果自己写的东西被人误会估计也会憋不住,毕竟是个理工直男,所以还是得用公关流程和内部条例来限制啊
    yanzhiling2001
        16
    yanzhiling2001  
       2021-07-10 17:24:30 +08:00   ❤️ 2
    cxxxxx
        17
    cxxxxx  
       2021-07-10 17:26:42 +08:00
    蚌埠住了
    B4a1n
        18
    B4a1n  
       2021-07-10 17:35:05 +08:00   ❤️ 12
    你们最大的问题是还遗留着小作坊的态度,做加速器的时候有人喷你们,你们技术人员跟人撕,ToDesk 刚收费时,你们客服跟客户撕,98K 作为产品负责人,觉得一个不存在的东西影响到了自己辛辛苦苦做出来的产品,控制不住情绪开撕,这可以理解,但是你们现在的用户量跟之前做加速器时的用户量可不是一个等级的。早点把客服、公关这两个部门搞一搞,从 3.0 开始到现在付费用户也不少了。
    oneisall8955
        19
    oneisall8955  
       2021-07-10 17:36:04 +08:00 via Android
    完结撒花~
    B4a1n
        20
    B4a1n  
       2021-07-10 17:39:18 +08:00   ❤️ 2
    @PUBG98k 另外建议在 todesk 的软件主界面增加 BUG 反馈、客服联系的接口,上次跟你们讨论过产品后后续有些问题想找你们反馈找了半天都没找到反馈的地方,BUG 反馈邮件写了一半觉得麻烦放弃了,你们客服跟机器人一样只会说我们的功能就是这样呢、我们的软件的设计就是这样呢、我们收费方式就这样呢、您可以买企业版呢这种屁话
    v2tudnew
        21
    v2tudnew  
       2021-07-10 17:40:01 +08:00   ❤️ 2
    Trim21
        22
    Trim21  
       2021-07-10 17:45:30 +08:00
    @chnyuwen #13 可拉倒吧,本来证明清白也不用公布用户的访问纪录,只需要解释保存的密码不会正确显示就好了。
    yanzhiling2001
        23
    yanzhiling2001  
       2021-07-10 17:49:39 +08:00
    @v2tudnew 这个页面也不是所有人能打开的,多留几个。
    ingram22mb30
        24
    ingram22mb30  
       2021-07-10 17:49:47 +08:00 via Android
    楼主一字一句需谨言。
    mcone
        25
    mcone  
       2021-07-10 17:52:02 +08:00
    这个公关水平明显跟不上大厂的风范水平,web archive 见
    opentrade
        26
    opentrade  
       2021-07-10 20:03:29 +08:00   ❤️ 2
    收藏之,以此为鉴
    sobigfish
        27
    sobigfish  
       2021-07-11 00:33:39 +08:00
    附加 1 的内容 由 lz 发出来很奇怪
    miaomiao888
        28
    miaomiao888  
       2021-07-11 00:34:00 +08:00   ❤️ 2
    解释那么多干嘛,有人就是要搞死你,web archive 都出来了,太可怕了。。。
    这帮人有搞小作坊的精力不去搞搞 BAT ?
    哦,欺软怕硬啊,那没事了。
    Greatshu
        29
    Greatshu  
       2021-07-11 01:00:12 +08:00   ❤️ 2
    标准的维权路线,隔壁论坛见得多了
    楼主维权成功,收到了经费,发布澄清说明,删帖(不过怕 V2EX 还不能自己删帖),v2ex 用户再次成为工具人。
    Routeros
        30
    Routeros  
       2021-07-11 02:41:10 +08:00   ❤️ 3
    一帮人阴阳怪气我真的服气。就我看一切都是正常。无论是用户的质疑,工程师从技术角度的个人回应,还是公司重视,用户摈弃前嫌帮忙测试都没问题。昨天一般人唧唧歪歪的时候我就在心里想“让子弹飞一会”。我刚开了会员,不为啥。我用了这么久免费的,我个人欠的一个会员。
    catror
        31
    catror  
       2021-07-11 02:47:00 +08:00 via Android   ❤️ 1
    升级要么完全兼容,要么清除旧数据,现在这样对于早期用户安全风险还是存在的。
    liliangzhi
        32
    liliangzhi  
       2021-07-11 06:59:28 +08:00
    复制粘贴形式的 文件传输一直都是免费的 只是我服务器要钱 限制了一丢丢而已 XD
    wofave
        33
    wofave  
       2021-07-11 08:38:04 +08:00 via iPhone
    终于把事情搞清楚了,不容易。点进原贴看到 88 楼站长的回复后,还是决定以后不用 Todesk 了,我不配。
    wofave
        34
    wofave  
       2021-07-11 08:38:53 +08:00 via iPhone
    Rheinmetal
        35
    Rheinmetal  
       2021-07-11 10:02:02 +08:00   ❤️ 1
    支持仅邮箱注册 挺良心的 懒得自建 zerotier 白嫖了几个月
    看到帖子 冲了一年
    长期支持 10 年 768 这个选项很有趣
    用户中心 里面用户信息->帮助中心按钮点进去是
    https://docs.todesk.com/#/introduction
    怎么是一个 react 库的教程
    应该是
    https://docs.todesk.com/quickstart
    Rrrrrr
        36
    Rrrrrr  
       2021-07-11 10:25:51 +08:00
    还过来沾一下热度?大家都不会用了
    learningman
        37
    learningman  
       2021-07-11 13:40:36 +08:00
    @miaomiao888 #28 “web archive 都出来了,太可怕了”
    有什么好可怕的?人本身就应当为自己发表的言论负责
    falcon05
        38
    falcon05  
       2021-07-11 14:50:01 +08:00 via iPhone
    其实,就他“要拿出武器,好自为之”那一刻起已经宣告了这个软件的社区性死亡,后续竟然还有水军回复,频繁发邮件要求站长删帖禁评。这套流程怎么这么熟悉呢?
    yujiang
        39
    yujiang  
       2021-07-11 15:04:20 +08:00 via Android
    至少现在 todesk 的态度是对的,希望贵司加强日志查询的权限管控
    Cielsky
        40
    Cielsky  
       2021-07-11 15:07:39 +08:00 via Android
    早这样干虽然不完美但问题也解决了。
    非不这样做,还骚扰站长,笑死了。真的是官方一步一步导致事态升级,神操作。
    yitingbai
        41
    yitingbai  
       2021-07-11 15:09:01 +08:00
    这不就是 bug 么, 新版本不显示历史记录, 却使用了历史记录, 虽然影响不大, 但是确实是 bug
    Cielsky
        42
    Cielsky  
       2021-07-11 15:09:06 +08:00 via Android
    #40
    @Cielsky 另外这个附加由楼主一个人发也很奇怪啊。
    正常来说不应该是官方和楼主都发,或者由官方发吗
    docx
        43
    docx  
       2021-07-11 15:42:16 +08:00 via Android
    @miaomiao888 #28 你眼里的 webarchive 就是惊天动地的大事么,有点太小题大做了
    zbinlin
        44
    zbinlin  
       2021-07-11 16:27:07 +08:00   ❤️ 1
    如果不看原贴标题,这个标题就让人觉得 ToDesk 真有问题 😹
    Saxton
        45
    Saxton  
       2021-07-12 09:19:37 +08:00
    我上次使用 toDesk 被锁机了 查了 toDesk 发现了爆破日志
    FireKey
        46
    FireKey  
       2021-07-12 09:49:39 +08:00
    我前几天还在用,不看着帖子都不知道这事.这些远程工具老是爆出各种负面信息真是让人不放心.
    darknoll
        47
    darknoll  
       2021-07-12 14:00:42 +08:00
    去他妈的,向日葵都比它好用
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   981 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 44ms · UTC 20:09 · PVG 04:09 · LAX 13:09 · JFK 16:09
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.