Telega, alternatiivses Telegrami kliendis, tuvastati võimalus teostada MITM-rünnak.

Avaldatud uuring, milles väidetakse, et Telega, alternatiivne Telegrami klient, sisaldab muudatusi, mis võimaldavad teostada MITM-rünnakut ja keelavad Telegrami krüpteerimise põhielemendid. Telega klient kasutab originaali Androidi Telegrami kliendi koodi, mis on levitatud GPLv2 litsentsi alusel, kuid ei avalikusta tehtud muudatusi, vastupidiselt litsentsi nõuetele.

Järeldus, et kasutajate liiklust on võimalik pealt kuulata, põhineb mitmel tehnilisel leidmisel, mis tuvastati pärast APK-paketi dekodeerimist, raamatukogude analüüsi ja võrgupäringute uurimist:

• Telega klient suunab liiklust läbi oma infrastruktuuri: käivitamisel pöördub ta aadressi api.telega.info/v1/dc-proxy poole ja saab JSON-loendi „andmekeskustest“, mis asendavad ametlikud Telegrami aadressid. Tegelikult sunnib see klienti looma ühendusi mitte originaali, serveritega, vaid Telega proxy kaudu. Sellist käitumist võib seletada katsetega mööda hiilida Telegrami serverite otseühenduste blokeerimisest. Ametlike avatud Telegrami võtmete kasutamisel saavad proxy-d ainult suunata krüpteeritud liiklust serverid Telegrami, kuid ei pääse sisule juurde, ilma et neil oleks juurdepääsutavad salajased võtmed, mida kasutatakse ametlikes Telegrami serverites.
• Kogumistsüklis leiti täiendav avatud RSA-võti, mida ametlikes Telegrami klientides ei ole. Kui Telega seob krüpteeritud sessioone oma serveritega, võib see kasutada enda avatud võtit, mille paaritud salajane võti on teada.
• Aadresside asendamine koos enda avatud võtme kasutamisega annab võimaluse teostada MITM-rünnakut, mis võimaldab lugeda kõiki sisenevaid ja väljuvaid teateid vestluses ning vaadata vestluse ajalugu, asendada sõnumite sisu ja teostada mingeid toiminguid kasutaja konto nimel ilma tema osaluseta.
• PFS (Perfect Forward Secrecy) mehhanismid ja end-to-end krüpteeritud vestluste tugi kliendis on kas vaikimisi keelatud või juhitavad kaugkonfiguratsiooni kaudu, mis on saadaval sama dc-proxy kaudu (klient ignoreerib salajasi vestlusi ja varjab nende loomiseks UI-elemente).
• Koodist leiti eemalduvad filtrid/ Musta nimekirja (päringud api.telega.info/v1/api/blacklist/filter), mis võimaldavad kliendi poolt kanaleid, profiile ja vestlusi varjata. serverilt.

Telega positsioneerib ennast kui "Telegrami klient, mis on loodud avatud koodiga messenger'i baasil", mida saab kasutada ilma VPN, ja projekti lehel on sõnastus, et "kogu teave on usaldusväärselt kaitstud Telegrami lõpp-kuni-lõpp krüptimisega. Varasemalt oli Telega Telegrami kanalil, millel oli enam kui 5 miljonit jälgijat, kinnitatud, kuid artikli kirjutamise ajal puudus see märk. Telega autoriseerimisrobotil on üle 6 miljoni aktiivse kasutaja igakuiselt.

Allikas: opennet.ru