Objavljeno je istraživanje koje tvrdi da Telega, alternativni klijent za Telegram, sadrži izmjene koje omogućuju MITM napad i onemogućuju ključne elemente enkripcije Telegrama. Klijent Telega koristi kod originalnog Android klijenta Telegram, distribuiran pod GPLv2 licencom, ali ne otkriva promjene koje su napravljene, suprotno zahtjevima licence.
Zaključak o mogućnosti presretanja prometa korisnika donesen je na temelju nekoliko tehničkih nalaza, identificiranih nakon dekompilacije APK paketa, analize biblioteka i proučavanja mrežnih poziva:
- Klijent Telega preusmjerava promet kroz vlastitu infrastrukturu: pri pokretanju obraća se adresi api.telega.info/v1/dc-proxy i dobiva JSON popis "data centara" koji se koriste umjesto službenih adresa Telegrama. U stvari, to prisiljava klijent da uspostavi veze ne s originalnim poslužiteljima, nego preko proxyja Telega. Ovo ponašanje može se objasniti kao pokušaj zaobilaženja blokada izravnog pristupa serverima Telegrama. Kada se koriste službeni javni ključevi Telegrama, proxyji mogu samo preusmjeriti šifrirani promet na servere Telegram, ali ne mogu pristupiti sadržaju, nemajući privatne ključeve koji se koriste na službenim serverima Telegrama.
- U izgradnji je otkriven dodatni javni RSA ključ, kojeg nema u službenim klijentima Telegrama. Prilikom uspostavljanja šifriranih sesija sa svojim serverima, Telega može koristiti vlastiti javni ključ, za kojeg je poznat odgovarajući privatni ključ.
- Zamjena adresa u kombinaciji s korištenjem vlastitog javnog ključa omogućava MITM napad, koji omogućava čitanje svih dolaznih i odlaznih poruka u chatu, pregledavanje povijesti razgovora, izmjenu sadržaja poruka i izvođenje bilo kojih radnji s korisničkim računom bez sudjelovanja korisnika.
- Mehanizmi PFS (Perfect Forward Secrecy) i podrška za tajne E2E chatove u klijentu su ili onemogućeni prema zadanim postavkama, ili se upravlja udaljenom konfiguracijom, koja je dostupna preko istog dc-proxyja (klijent ignorira tajne chatove i skriva UI elemente za njihovo stvaranje).
- U kodu su otkriveni udaljeni filteri/crne liste (upiti ka api.telega.info/v1/api/blacklist/filter), koji omogućuju skrivanje kanala, profila i chatova na strani klijenta prema odluci poslužitelja.
Telega se pozicionira kao «Telegram-klijent izgrađen na bazi otvorenog koda messengera», koji se može koristiti bez VPN, a na stranici projekta prisutna je formulacija da «sve informacije su sigurno zaštićene end-to-end enkripcijom Telegrama. Ranije je Telegram-kanal Telega s više od 5 milijuna pretplatnika bio verificiran, međutim u trenutku pisanja članka oznaka je bila nepostojeća. Bot za autorizaciju Telega ima više od 6 milijuna mjesečnih korisnika.
Izvor: opennet.ru
