En undersøgelse er offentliggjort, der hævder, at Telega, den alternative Telegram-klient, indeholder ændringer, der muliggør en MITM-attack og deaktiverer nøgleelementer i Telegrams kryptografi. Telega-klienten bruger koden fra den officielle Android-klient for Telegram, der distribueres under GPLv2-licensen, men afslører ikke de ændringer, der er foretaget, i strid med licenskravene.
Konklusionen om muligheden for at opsnappe brugernes trafik er baseret på flere tekniske fund, der er blevet identificeret efter dekompilering af APK-pakken, analyse af biblioteker og undersøgelse af netværksopkald:
- Telega-klienten omdirigerer trafik gennem sin egen infrastruktur: ved opstart henvender den sig til adressen api.telega.info/v1/dc-proxy og modtager en JSON-liste over "datacentre", som indsættes i stedet for de officielle Telegram-adresser. Dette tvinger faktisk klienten til at etablere forbindelser ikke med de originale servere, men gennem Telega-proxyen. En sådan adfærd kan forklares med et forsøg på at omgå blokeringer for direkte adgang til Telegram-serverne. Når de officielle åbne nøgler fra Telegram anvendes, kan proxyen kun omdirigere den krypterede trafik til servere Telegram, men de kan ikke få adgang til indholdet uden de lukkede nøgler, der anvendes på de officielle Telegram-servere.
- I samlingen blev der opdaget en ekstra offentlig RSA-nøgle, som ikke findes i de officielle Telegram-klienter. Ved oprettelse af krypterede sessioner med sine egne servere kan Telega bruge sin egen offentlige nøgle, for hvilken den pågældende lukkede nøgle er kendt.
- Adresseforfalskning kombinert med brugen af den egen offentlige nøgle giver mulighed for at udføre en MITM-attack, der gør det muligt at læse alle indkommende og udgående beskeder i chatten og se chat-historik, ændre indholdet af beskeder og udføre enhver handling med brugerens konto uden deres deltagelse.
- PFS (Perfect Forward Secrecy) mekanismerne og understøttelse af hemmelige E2E-chats i klienten er enten deaktiveret som standard eller styres gennem en fjernkonfiguration, der er tilgængelig via den samme dc-proxy (klienten ignorerer hemmelige chats og skjuler UI-elementer til deres oprettelse).
- Koden afslørede fjernede filtre/sorte lister (anmodninger til api.telega.info/v1/api/blacklist/filter), der muliggør skjul af kanaler, profiler og chats på klientsiden ifølge beslutning. server.
Telega præsenteres som "Telegram-klienten, skabt på baggrund af den åbne kildekode af messenger", som kan bruges uden VPN, og på projektets side er der en formulering, der siger, at "al information er sikkert beskyttet med Telgrams ende-til-ende kryptering. Tidligere blev Telegram-kanalen Telega med over 5 millioner abonnenter verificeret, men på tidspunktet for denne artikel vises markeringen ikke. Telega’s autorisationsbot har over 6 millioner månedlige brugere.
Kilde: opennet.ru
