टेलीग्राम में नया बग

अपने आप को पोस्ट और एक अन्य पोस्ट से परिचित करने के बाद।
मैं टेलीग्राम के बारे में और जानना चाहता था।
ट्विटर पर टेलीग्राम हैशटैग चलाते हुए, मैं एक कंपनी की सूचना सुरक्षा के एक ब्लॉग पर ठोकर खाई ...

कैसे अपने आवेदन को विकसित करने के लिए नहीं।

कुछ दिनों पहले, Pavel Durov ने टेलीग्राम डिक्रिप्शन प्रोटोकॉल के लिए बग फिक्स अभियान की घोषणा की। इसके बाद, यह दिखाया जाएगा कि कैसे एक गुप्त चैट से व्यक्तिगत डेटा को बिना "डिजाइन विफलता" के कारण किसी भी डिक्रिप्शन विधियों के बिना कैप्चर किया जा सकता है।

आटा उपकरण

वर्चुअल बॉक्स में एंड्रॉइड 4.3
स्थानीय मशीन पर चल रहा विरेशक।
Android के साथ एचटीसी वन
टेलीग्राम 1.3.800 (वर्चुअल बॉक्स में)

तकनीक

आरंभ करने के लिए, आइए टेलीग्राम और उपयोगकर्ताओं को स्थापित करें, उदाहरण के लिए, ऐलिस और बॉब को कॉल करें। उसके बाद, टेलीग्राम खाते बनाएं और एक दूसरे को दोस्तों के रूप में जोड़ें:


अब एक गुप्त चैट बनाएं:



हम एक परीक्षण संदेश भेजते हैं:



जैसा कि हम Wireshark में देख सकते हैं, सारा डेटा SSL के माध्यम से जाता है और एन्क्रिप्टेड दिखता है।

लेकिन ...

अगर हम कुछ लगाव भेजने की कोशिश करें तो क्या होगा? उदाहरण के लिए, जियोलोकेशन?





अहा! एक अनएन्क्रिप्टेड टीसीपी सत्र खुला है। आइए करीब से देखें:



डिफ़ॉल्ट रूप से, नक्शे के टुकड़े को डाउनलोड करने के लिए, टेलीग्राम Google-मैप्स एपीआई का उपयोग अनएन्क्रिप्टेड रूप में करता है।
सुरक्षा और गुमनामी के मामले में, यह पूरी तरह से विफल है ...

जो व्यक्ति चैनल को नियंत्रित करता है वह दो पक्षों से गुप्त चैट को दरकिनार करते हुए सभी जियोलोकेशन अटैचमेंट को रोक सकता है।

व्यवहार में, अगर स्नोडेन किसी व्यक्ति को भेजते हैं जो एनएसए के तहत टेलीग्राम के माध्यम से अपनी भौगोलिक स्थिति को तार-तार कर रहा है ... तो जनरल अलेक्जेंडर को संतुष्ट करने के लिए टॉमहॉक पर्याप्त होगा।

बग ठीक करना।

सुरक्षा परिषद ने इस घटना पर अपेक्षाकृत प्रतिक्रिया व्यक्त की और शुल्क के लिए उन्हें मेल द्वारा सदस्यता समाप्त करने के लिए कहा।

अगर मैं गलत नहीं हूं, तो फिक्स इस तरह दिखता है।

यह उत्सुक है कि लेखक पाया बग के लिए कितना भुगतान करेंगे।

स्रोत।