Publikovaná štúdia tvrdí, že Telega, alternatívny klient Telegramu, obsahuje zmeny, ktoré umožňujú realizáciu MITM-útoku a deaktivujú kľúčové prvky šifrovania Telegramu. Klient Telega využíva kód pôvodného Android klienta Telegramu, distribuovaný pod licenciou GPLv2, avšak nezverejňuje vykonané zmeny, čo je v rozpore s požiadavkami licencie.
Záver o možnosti zachytenia prevádzky používateľov je založený na niekoľkých technických zisteniach, ktoré boli odhalené po dekompilácii APK balíka, analýze knižníc a štúdiu sieťových volaní:
- Klient Telega presmerováva prevádzku cez vlastnú infraštruktúru: pri spustení sa obracia na adresu api.telega.info/v1/dc-proxy a dostáva JSON zoznam "datových centier", ktoré sa používajú namiesto oficiálnych adries Telegramu. V skutočnosti to núti klienta nadväzovať spojenia nie s originálnymi servermi, ale cez proxy Telega. Takéto správanie môžeme vysvetliť snahou obísť blokácie prístupu k serverom Telegramu. Pri použití oficiálnych otvorených kľúčov Telegramu môžu proxy len presmerovať zašifrovanú prevádzku na servery Telegram, ale nemôžu získať prístup k obsahu bez súkromných kľúčov, ktoré sú aplikované na oficiálnych serveroch Telegramu.
- Vo verzii bol nájdený dodatočný otvorený RSA kľúč, ktorý nie je v oficiálnych klientoch Telegramu. Pri nadväzovaní šifrovaných relácií so svojimi servermi môže Telega používať vlastný otvorený kľúč, pre ktorý je známy zodpovedajúci súkromný kľúč.
- Zmeny adries v kombinácii s používaním vlastného otvoreného kľúča umožňujú realizáciu MITM-útoku, ktorý umožňuje čítať všetky prichádzajúce a odchádzajúce správy v chate, prezerať históriu konverzácie, zamieňať obsah správ a vykonávať akékoľvek činnosti s používateľským účtom bez jeho účasti.
- Mechanizmy PFS (Perfect Forward Secrecy) a podpora tajných E2E chatov v klientovi sú buď vypnuté predvolene, alebo sú riadené vzdialenou konfiguráciou dostupnou cez rovnaký dc-proxy (klient ignoruje tajné chaty a skrýva UI prvky pre ich vytvorenie).
- V kóde boli identifikované vzdialené filtre/čierne zoznamy (žiadosti na api.telega.info/v1/api/blacklist/filter), ktoré umožňujú skrývať kanály, profily a chaty na strane klienta na základe rozhodnutia. servera.
Telega je prezentovan ako „Telegram-klient vytvorený na základe otvoreného kódu messengera“, ktorý je možné používať bez VPN, pričom na stránke projektu je uvedené, že „všetky informácie sú bezpečne chránené end-to-end šifrovaním Telegramu. Predtým bol Telegram kanál Telega s viac ako 5 miliónmi sledovateľov overený, avšak v čase písania článku nie je označenie prítomné. Bot na autorizáciu Telega má viac ako 6 miliónov aktívnych používateľov mesačne.
Zdroj: opennet.ru
