Bylo publikováno šetření, které tvrdí, že Telega, alternativní klient Telegramu, obsahuje změny, které umožňují provést MITM útok a deaktivují klíčové prvky šifrování Telegramu. Klient Telega využívá kód originálního Android klienta Telegram, šířeného pod licencí GPLv2, ale nezveřejňuje provedené změny, v rozporu s požadavky této licence.
Závěr o možnosti odposlechu provozu uživatelů je založen na několika technických zjištěních, která byla odhalena po dekompilaci APK balíčku, analýze knihoven a studiu síťových volání:
- Klient Telega přesměrovává provoz přes vlastní infrastrukturu: při spuštění se obrací na adresu api.telega.info/v1/dc‑proxy a získává JSON seznam „datových center“, které jsou používány místo oficiálních adres Telegramu. Ve skutečnosti to nutí klienta vytvářet spojení ne s originálními, servery, ale přes proxy Telega. Takové chování lze vysvětlit snahou obejít blokace přímého přístupu k serverům Telegramu. Při používání oficiálních otevřených klíčů Telegramu mohou proxy pouze přesměrovávat šifrovaný provoz na servery Telegram, ale nemohou získat přístup k obsahu, aniž by měly uzavřené klíče používané na oficiálních serverech Telegramu.
- Ve verzi byl nalezen další otevřený RSA klíč, který není v oficiálních klientech Telegramu. Při úpravě šifrovaných sezení se svými servery může Telega použít vlastní otevřený klíč, pro který je znám příslušný uzavřený klíč.
- Nahrazení adres v kombinaci s použitím vlastního otevřeného klíče umožňuje provést MITM útok, který umožňuje číst všechny příchozí a odchozí zprávy v chatu a procházet historii konverzací, měnit obsah zpráv a provádět jakékoli akce s uživatelským účtem bez jeho účasti.
- Mechanismy PFS (Perfect Forward Secrecy) a podpora tajných E2E chatů v klientovi jsou buď ve výchozím nastavení deaktivovány, nebo řízeny vzdálenou konfigurací, která je dostupná přes stejný dc‑proxy (klient ignoruje tajné chaty a skrývá UI prvky pro jejich vytvoření).
- V kódu byly odhaleny vzdálené filtry/černé seznamy (dotazy na api.telega.info/v1/api/blacklist/filter), které umožňují skrývat kanály, profily a chaty na straně klienta podle rozhodnutí. serveru.
Telega se prezentuje jako „Telegram klient vytvořený na základě otevřeného kódu messengera“, který lze používat bez VPN, a na stránce projektu je uvedeno, že „veškeré informace jsou spolehlivě chráněny end-to-end šifrováním Telegramu. Dříve byl kanál Telegram Telega s více než 5 miliony odběratelů ověřen, avšak v době psaní článku tato značka chybí. Autentizační bot Telega má více než 6 milionů uživatelů měsíčně.
Zdroj: opennet.ru
