در دهه‌ای که شخصیت بزرگ‌تر کیم داتکام مگا را تأسیس کرد، سرویس ذخیره‌سازی ابری ۲۵۰ میلیون کاربر ثبت‌شده جمع‌آوری کرده است و ۱۲۰ میلیارد فایل را ذخیره می‌کند. بیش از 1000 پتابایت ذخیره سازی یک نقطه فروش کلیدی که به تقویت رشد کمک کرده است، قول فوق‌العاده‌ای است که هیچ رقیب رده بالای مگا نمی‌دهد: حتی مگا هم نمی‌تواند داده‌هایی را که ذخیره می‌کند رمزگشایی کند.
به عنوان مثال، در صفحه اصلی شرکت، مگا تصویری را نمایش می دهد که پیشنهادات خود را با Dropbox و Google Drive مقایسه می کند. علاوه بر اشاره به قیمت‌های پایین‌تر مگا، این مقایسه تاکید می‌کند که مگا رمزگذاری سرتاسری را ارائه می‌کند، در حالی که دو مورد دیگر این کار را نمی‌کنند.
در طول سال ها، این شرکت بارها این را به جهانیان یادآوری کرده است فرض می شود فرق – تمیز – تشخیص، که شاید به بهترین وجه در این پست وبلاگ خلاصه می شود، که در آن شرکت ادعا می کند، “تا زمانی که مطمئن شوید رمز عبور خود به اندازه کافی قوی و منحصر به فرد است، هیچ کس هرگز نمی تواند به داده های شما در MEGA دسترسی داشته باشد. حتی در یک رویداد استثنایی غیرممکن، کل زیرساخت MEGA مصادره می شود!” (تأکید اضافه شده است).
بازبینان شخص ثالث از موافقت و استناد به ادعای مگا در هنگام توصیه سرویس بسیار خوشحال بوده اند.
یک دهه تضمین نفی شد
تحقیقات منتشر شده در روز سه‌شنبه نشان می‌دهد که این ادعا که مگا یا نهادی که بر زیرساخت‌های مگا کنترل دارد، نمی‌تواند به داده‌های ذخیره‌شده در این سرویس دسترسی پیدا کند، صحت ندارد. نویسندگان می‌گویند که معماری مگا برای رمزگذاری فایل‌ها مملو از ایرادات اساسی رمزنگاری است که باعث می‌شود هر کسی که کنترل پلتفرم را در اختیار دارد، پس از بارها وارد شدن به سیستم، حمله بازیابی کامل کلید را به کاربران انجام دهد. با این کار، طرف مخرب می‌تواند فایل‌های ذخیره‌شده را رمزگشایی کند یا حتی فایل‌های مجرمانه یا مخرب دیگری را در یک حساب کاربری آپلود کند. این فایل ها از داده های بارگذاری شده واقعی قابل تشخیص نیستند.
محققان در وب‌سایتی نوشتند: «ما نشان می‌دهیم که سیستم MEGA از کاربران خود در برابر یک سرور مخرب محافظت نمی‌کند و پنج حمله متمایز را ارائه می‌کند که مجموعاً امکان به خطر افتادن کامل محرمانه بودن فایل‌های کاربر را فراهم می‌کند. علاوه بر این، یکپارچگی داده‌های کاربر تا حدی آسیب می‌بیند که مهاجم می‌تواند فایل‌های مخرب دلخواه خود را وارد کند که تمام بررسی‌های اصالت کلاینت را انجام می‌دهند. ما نسخه‌های اثبات‌مفهومی از تمام حملات ساختیم و کاربردی بودن و قابلیت بهره‌برداری از آنها را به نمایش گذاشتیم.»
پس از دریافت گزارش پژوهشگران به صورت خصوصی در ماه مارس، مگا در روز سه‌شنبه شروع به انتشار به‌روزرسانی کرد که انجام حملات را دشوارتر می‌کند. اما محققان هشدار می‌دهند که این وصله تنها یک ابزار «تعدادی» برای خنثی کردن حمله بازیابی کلید آنها ارائه می‌کند و مشکل استفاده مجدد کلید، عدم بررسی یکپارچگی و سایر مشکلات سیستمی که شناسایی کرده‌اند را برطرف نمی‌کند. از آنجایی که دیگر حمله بازیابی کلید دقیق محققین امکان پذیر نیست، سایر اکسپلویت های شرح داده شده در تحقیق نیز دیگر امکان پذیر نیستند، اما فقدان یک اصلاح جامع برای آنها منبع نگرانی است.
محققان در ایمیلی نوشتند: «این بدان معناست که اگر پیش‌شرط‌های سایر حملات به روشی متفاوت برآورده شوند، همچنان می‌توان از آنها سوءاستفاده کرد.» بنابراین ما این وصله را تایید نمی کنیم، اما سیستم دیگر در برابر زنجیره دقیق حملاتی که ما پیشنهاد کرده ایم آسیب پذیر نخواهد بود.
مگا یک توصیه در اینجا منتشر کرده است. با این حال، رئیس این سرویس می‌گوید که برنامه‌ای برای تجدیدنظر در وعده‌هایی که شرکت قادر به دسترسی به اطلاعات مشتریان نیست، ندارد.
استفان هال، رئیس هیئت مدیره، در ایمیلی نوشت: «برای مدت کوتاهی، در شرایط بسیار محدود و برای تعداد کمی از کاربران، پتانسیل یک مهاجم برای نفی تعهد ما وجود داشت، اما اکنون این مشکل برطرف شده است.