Алгоритм Telegram: Быстрый анализ (MTProto)

[echelon]

Мессенджер Telegram - это кроссплатформенное приложение для обмена мгновенными сообщениями с шифрованием, доступное по модели freemium и размещаемое в облаке. Telegram, базирующийся в Дубае, насчитывает более 900 миллионов пользователей.

Но... Достаточно ли этого?

Конечно, 75 % из них довольны сервисом, но это не аргумент.

Я объясню вам, как это работает.

Прежде чем спрашивать о безопасности той или иной платформы, не спрашивайте их самих, потому что они сделают все, чтобы рационализировать вас и обеспечить "лучшее".

Telegram использует свой собственный протокол шифрования под названием "MTProto", MTProto использует алгоритм AES (Advanced Encryption Standard) для симметричного шифрования.

Для обеспечения целостности данных -> MTProto использует алгоритм хэширования SHA-256. Этот алгоритм создает 256-битный дайджест сообщения, что позволяет проверить, не были ли данные изменены.

Для безопасного обмена ключами -> MTProto использует RSA (Rivest-Shamir-Adleman). RSA - это асимметричный алгоритм шифрования, который использует пару ключей (открытый и закрытый) для защиты обмена симметричными ключами между сторонами.

Протоколы безопасности связи -> MTProto также интегрирует механизмы защиты от распространенных атак, таких как атаки повторного воспроизведения или атаки "человек посередине". Это включает в себя использование временных ключей и протоколов генерации ключей.

Если мы теперь посмотрим на эти методы шифрования, то увидим, что в прошлом и в настоящем были найдены многочисленные уязвимости:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Вот чуть более подробный источник: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Опубликовано : 2023-10-10 21:15

Как следует из кода уязвимости, эта конкретная уязвимость является недавней.

-> CWE-94
Этот код CWE означает "Неправильный контроль генерации кода ('Code Injection')".
И это часть уязвимости серьезного уровня.

Telegram выпускает множество обновлений для своего протокола, но этого недостаточно, потому что то, что зашифровано, можно расшифровать, и уязвимость будет существовать всегда.

На этом я остановлюсь, потому что иначе мне пришлось бы написать несколько абзацев об алгоритме шифрования Telegram.

Если вы хотите использовать лучший шифрованный обмен сообщениями для чего-либо еще, используйте keybase или, если вы точно хотите использовать telegram, шифруйте свой контент сами.

 

[miner21]

Спасибо за статью. Если вы собираетесь использовать Telegram, поможет ли вам шифрование сообщений с конфиденциальной информацией самостоятельно в третьем приложении? Telegram всегда вызывал у меня нехорошие предчувствия.

 

[echelon]

Конечно, вы вполне можете использовать telegram для шифрования своих сообщений, таких как изображения, видео и т. д.

Расшифровка сообщений на самом деле не является проблемой, за исключением случаев, когда это очень чувствительные сообщения, которые могут вызвать у вас проблемы, в этом случае я советую вам использовать XOR-шифратор или, если вы действительно хотите, чтобы никто не мог получить доступ, тогда шифруйте в AES-256 или XChaCha20 (предпочтительнее).

 

[echelon]

XChaCha20 предпочтительнее с точки зрения скорости, но лучше всего использовать AES-256, если вам нужно стойкое шифрование, но это займет больше времени.

 

[hermano]

Telegram небезопасен
используйте что-то вроде appetize.io для регистрации аккаунтов в Telegram на 3-х сторонних номерах телефонов из сервисов смс-активации.
Затем запустите и работайте с ним на эмуляторах, которые могут быть оптимизированы под разные ОС

 

[hermano]

Также разогрейте его, сделайте так, чтобы казалось, что вы реальный пользователь, иначе ваш аккаунт будет заблокирован в ближайшее время

 

[hermano]

Используйте для этого европейский e-sim или physical sim, они лучше

 

[echelon]

Чтобы исправить ситуацию, электронный симулятор может содержать вашу информацию.
Еще хуже - физический сим. Даже если она временная.
Это не идеальный вариант, если вам нужна серьезная ситуация.
Вместо этого воспользуйтесь для начала телефонным сервисом, например, Onoff.

 

[echelon]

Не стоит усложнять ситуацию, используя эмулятор, просто перестрахуйтесь.

 

[KurtV989]

Огромное спасибо за статью, я искал именно такую информацию. Готовился начать рассылку холодных сообщений легальным продавцам, за которыми я следил в течение нескольких месяцев на Tele, с просьбой прийти на наш рынок. У меня уже готово сообщение, но я опасаюсь его отправлять по понятным причинам.
Как я могу зашифровать сообщение таким образом, чтобы оно было безопасным и достаточно простым для доступа?

 

[echelon]

Привет, вам не нужно шифровать сообщение, потому что они, вероятно, не захотят его расшифровывать только ради рекламы.

Полезность шифрования = предотвращение доступа к конфиденциальным данным.
Это могут быть конфиденциальные данные, которые вредят вашей анонимности.

Если это для рекламы, то проблем нет, конфигурации OpenVPN должно быть достаточно, чтобы скрыть ваш IP на компьютере.

Однако если речь идет о чем-то более рискованном, подумайте об использовании нескольких уровней безопасности.

Если вы считаете свое сообщение конфиденциальным, зашифруйте его с помощью открытого ключа PGP получателя.

 

[KurtV989]

Благодарю за быстрый ответ, сэр, я перечитаю его, чтобы проверить перед отправкой, еще раз спасибо.

 

[miner21]

Вы можете зашифровать сообщение в третьем приложении, таком как GNU Privacy assistant, а затем вставить его в Telegram, я думаю. Вам придется обмениваться открытыми ключами и т. п., чтобы читать сообщения друг друга.