È stato pubblicato uno studio che afferma che Telega, un client alternativo di Telegram, contiene modifiche che consentono di eseguire attacchi MITM e disattivano elementi chiave della crittografia di Telegram. Il client Telega utilizza il codice del client Android originale di Telegram, distribuito con licenza GPLv2, ma non rivela le modifiche apportate, in violazione dei requisiti della licenza.
La conclusione sulla possibilità di intercettare il traffico degli utenti si basa su diverse scoperte tecniche, emerse a seguito della decompilazione del pacchetto APK, dell'analisi delle librerie e dello studio delle chiamate di rete:
- Il client Telega reindirizza il traffico attraverso la propria infrastruttura: all'avvio, si connette all'indirizzo api.telega.info/v1/dc‑proxy e riceve un elenco JSON di "data center" che vengono utilizzati al posto degli indirizzi ufficiali di Telegram. Di fatto, questo costringe il client a stabilire connessioni non con i server originali server, ma attraverso il proxy Telega. Questo comportamento può essere spiegato come un tentativo di aggirare le restrizioni sull'accesso diretto ai server di Telegram. Utilizzando le chiavi pubbliche ufficiali di Telegram, i proxy possono solo reindirizzare il traffico crittografato a servers Telegram, ma non possono accedere al contenuto senza possedere le chiavi private utilizzate sui server ufficiali di Telegram.
- Nel pacchetto è stata trovata una chiave RSA pubblica aggiuntiva, che non è presente nei client ufficiali di Telegram. Durante l'instaurazione di sessioni crittografate con i propri server, Telega può utilizzare la propria chiave pubblica, per la quale è nota la chiave privata abbinata.
- La sostituzione degli indirizzi insieme all'uso della propria chiave pubblica consente di eseguire un attacco MITM, permettendo di leggere tutti i messaggi in entrata e in uscita nella chat e di visualizzare la cronologia delle conversazioni, sostituire il contenuto dei messaggi e compiere qualsiasi azione con l'account dell'utente senza la sua partecipazione.
- I meccanismi PFS (Perfect Forward Secrecy) e il supporto per le chat E2E segrete nel client sono disattivati per impostazione predefinita oppure gestiti tramite configurazioni remote disponibili tramite lo stesso dc‑proxy (il client ignora le chat segrete e nasconde gli elementi dell'interfaccia utente per la loro creazione).
- Nel codice sono stati rilevati filtri/blacklist remoti (richieste a api.telega.info/v1/api/blacklist/filter) che consentono di nascondere canali, profili e chat dal lato client a seguito di una decisione server.
Telega è posizionato come «client di Telegram, creato sulla base del codice aperto del messenger», che può essere utilizzato senza VPN, e nella pagina del progetto è presente la formulazione che «tutte le informazioni sono protette in modo sicuro dalla crittografia end-to-end di Telegram. In precedenza, il canale Telegram Telega con oltre 5 milioni di iscritti era stato verificato, ma al momento della scrittura dell'articolo tale indicazione è assente. Il bot di autorizzazione Telega conta oltre 6 milioni di utenti mensili.
Fonte: opennet.ru
