È stata pubblicata una ricerca che afferma che Telega, un client alternativo di Telegram, contiene modifiche che consentono di realizzare un attacco MITM e disattivano elementi chiave della crittografia di Telegram. Il client Telega utilizza il codice dell'originale client Android di Telegram, distribuito sotto licenza GPLv2, ma non rivela le modifiche apportate, contravvenendo ai requisiti della licenza.
La conclusione sulla possibilità di intercettare il traffico degli utenti si basa su alcune scoperte tecniche, emerse dopo la decompilazione del pacchetto APK, l'analisi delle librerie e lo studio delle chiamate di rete:
- Il client Telega reindirizza il traffico attraverso la propria infrastruttura: all'avvio si collega all'indirizzo api.telega.info/v1/dc-proxy e riceve un elenco JSON di "data center" che vengono sostituiti agli indirizzi ufficiali di Telegram. In effetti, ciò costringe il client a stabilire connessioni non con gli originali server, ma attraverso il proxy Telega. Comportamenti simili possono essere spiegati come tentativi di eludere le blokkade sull'accesso diretto ai server di Telegram. Utilizzando le chiavi pubbliche ufficiali di Telegram, i proxy possono solo reindirizzare il traffico crittografato su server Telegram, ma non possono accedere ai contenuti senza le chiavi private impiegate sui server ufficiali di Telegram.
- Nella build è stata trovata una chiave RSA pubblica aggiuntiva che non è presente nei client ufficiali di Telegram. Installando sessioni crittografate con i propri server, Telega può utilizzare la propria chiave pubblica, per la quale è nota la corrispondente chiave privata.
- La sostituzione degli indirizzi insieme all'uso della propria chiave pubblica consente di effettuare un attacco MITM, permettendo di leggere tutti i messaggi in entrata e in uscita nella chat, visualizzare la cronologia delle conversazioni, alterare il contenuto dei messaggi e compiere qualsiasi azione con l'account dell'utente senza il suo coinvolgimento.
- I meccanismi PFS (Perfect Forward Secrecy) e il supporto per le chat segrete E2E nel client sono disabilitati per impostazione predefinita, oppure sono gestiti da una configurazione remota accessibile tramite lo stesso dc-proxy (il client ignora le chat segrete e nasconde gli elementi UI per la loro creazione).
- Nel codice sono stati individuati filtri/orari remoti (richieste a api.telega.info/v1/api/blacklist/filter) che permettono di nascondere canali, profili e chat dal lato client su decisione. server.
Telega si posiziona come «client Telegram sviluppato sulla base del codice sorgente open-source del messenger», che può essere utilizzato senza VPN, e nella pagina del progetto si afferma che «tutte le informazioni sono protette da una crittografia end-to-end di Telegram. In precedenza, il canale Telegram Telega con oltre 5 milioni di iscritti era stato verificato, ma al momento della scrittura dell'articolo tale indicazione è assente. Il bot di autorizzazione di Telega ha oltre 6 milioni di utenti mensili.
Fonte: opennet.ru
