I Telega, en alternativ klient för Telegram, har en möjlighet till MITM-attack identifierats.

En studie har publicerats som hävdar att Telega, en alternativ klient för Telegram, innehåller förändringar som möjliggör MITM-attacker och inaktiverar viktiga kryptografiska element i Telegram. Telega-klienten använder koden från den ursprungliga Android-klienten för Telegram, som distribueras under GPLv2-licensen, men avslöjar inte de gjorda ändringarna, i strid med licensens krav.

Slutsatsen om möjligheten att avlyssna användartrafik görs baserat på flera tekniska upptäckter som identifierats efter dekompilering av APK-paketet, analys av bibliotek och granskning av nätverksanrop:

• Telega-klienten omdirigerar trafiken genom sin egen infrastruktur: vid start anropar den adressen api.telega.info/v1/dc-proxy och får en JSON-lista över "datacenter" som ersätter de officiella adresserna för Telegram. Faktum är att detta tvingar klienten att upprätta anslutningar inte med de ursprungliga servrar, utan via Telegas proxy. Detta beteende kan förklaras med ett försök att kringgå blockerar direkt åtkomst till Telegram-servrar. Med användning av de officiella öppna nycklarna för Telegram kan proxyer bara omdirigera den krypterade trafiken till servrar Telegram, men kan inte få tillgång till innehållet utan de slutna nycklar som används på de officiella Telegram-servrarna.
• I byggnaden har en extra öppen RSA-nyckel upptäckts, som inte finns i de officiella Telegram-klienterna. Vid installation av krypterade sessioner med sina servrar kan Telega använda sin egen öppna nyckel, för vilken den parande slutna nyckeln är känd.
• Ändring av adresser i kombination med användning av den egna öppna nyckeln ger möjlighet att utföra en MITM-attack som gör det möjligt att läsa alla inkommande och utgående meddelanden i chatten samt granska chattens historik, ändra innehållet i meddelandena och utföra alla åtgärder med användarens konto utan dennes deltagande.
• Mekanismerna för PFS (Perfect Forward Secrecy) och stöd för hemliga E2E-chattar i klienten är antingen inaktiverade som standard eller styrs av en fjärrkonfiguration som är tillgänglig via samma dc-proxy (klienten ignorerar hemliga chattar och döljer UI-element för deras skapande).
• I koden har borttagna filter/svartlistor identifierats (förfrågningar till api.telega.info/v1/api/blacklist/filter) som gör det möjligt att dölja kanaler, profiler och chattar på klientsidan enligt beslut. servern.

Telega marknadsförs som "Telegram-klient baserad på öppen källkod av meddelandetjänsten", som kan användas utan VPN, och på projektets sida finns det en formulering som säger att "all information är säkert skyddad av end-to-end-kryptering från Telegram. Tidigare var Telegram-kanalen Telega med över 5 miljoner följare verifierad, men vid tidpunkten för denna artikel saknas verifieringen. Telega-auth-boten har över 6 miljoner användare varje månad.

Källa: opennet.ru