telegram

    Telegram: безопасность или миф?

    Содержание:


    Telegram — приложение, позиционирующее себя, как достаточно безопасное. При чём оно защищает пользователей как от злоумышленников, так и государственных структур типа АНБ. С этой целью мессенджер применяет свою разработку — протокол MTProto. Однако, то что он обеспечивает надежность, многие сомневаются.

    Суть собственного шифрования

    Некоторые эксперты считают большой ошибкой выбор собственного алгоритма шифрования в Телеграмм, не предпочтя открытые подобные аналоги. Почему? По их мнению, для создания своего алгоритма шифровки, не достаточно быть превосходным математиком, каковые имеются у компании. Поэтому утверждают, что если пользователи хотят обеспеченную 100% защищенность, пусть обратятся к Signal, Viber, WhatsApp либо iMessage. Такой вывод сделала Gizmodo. Порассуждаем на тему, на сколько безопасен Telegram.

    Уровень безопасности

    Безопасен ли Телеграмм, как информационный портал на случай MITM-атаки? Обратимся к api протоколу. Здесь надёжность защиты значительно высокая: в процессе первого запускания клиента происходит создание ключа авторизации, непосредственно на девайсе пользователя при участии протокола обмена секретными ключами, так называемыми Диффи-Хелмана для использования, незащищённого от прослушок, канала связи. Однако здесь следует отметить некое различие — открытый ключ мессенджера Телеграмм уже прошит в клиентском коде. Это обеспечивает исключение его замены третьим лицом.

    end-to-end

    Приложение продолжает свой крестовый ход на защиту конфиденциальной информации в сети интернет. Теперь Телеграмм внедрил защищённую голосовую интернет-связь. Бесспорно, голосовые звонки давно являются стандартной фичей в доброй половине мессенджеров, однако Telegram — первый среди конкурирующих компаний, которые ввели end-to-end шифр подобных звонков.

    Для уверенности в полной защищённости разговора, абонентам следует сравнить 4 иконки после процесса соединения, отображённые на экране. При случае наблюдения одинаковых иконок у обоих пользователей, звонок защищён. (рис 1)

    По возможности, голосовая связь будет проходить по пиринговому (p2p) соединению. В ином случае мессенджер использует самую ближайшую базовую станцию к пользователю.

    Вначале мессенджер запустил такой функционал в западноевропейских странах. Но при случае, когда вам позвонят от туда, то функционал запустится и у вас (если на вашем девайсе установлена последняя версия мессенджера).

    В дополнение можно отметить анонсирование первого масштабного обновления бот-платформы (Bot Platform 2.0.) Эта опция может быть применена для авторизации в банковских ботах и прочих сервисах, требующих высокой верификации человека.

    Авторизация

    Базовый метод процесса авторизации — это получение одноразового кодового числа по смс. Иными словами, единственным секретом, которым владеет пользователь, а также обеспечивающим безопасность, являющуюся гарантом доступа конкретного абонента к аккаунту, это сим-карта. А ведь больший процент зарегистрированных сим-карт принадлежит владельцу аккаунта. То есть при случае возможности у постороннего узнать ваш телефонный номер, его угадывать не понадобится. Достаточно лишь перехватить сообщение с кодовым числом для авторизации.

    То что это сложный процесс — миф. Спецслужбы любого государства не только имеют такую возможность, а и не редко ей пользуются. В этих целях не требуются особенные усилия.

    К примеру, известен случай, когда немецкими правоохранительными органами было зарегистрировано иное устройство для имеющегося аккаунта Телеграмма путём перехвата смс с активационным кодом. После этого им стала доступна информация аккаунта, в том числе и переписка.

    При чём, многие специалисты считают, что для перехвата такого смс не нужно быть спецслужбой. По их мнению, применять единоразовые коды для авторизации, отсылаемые в смс на номер, являющимся логином учётной записи, это опасный и ненадёжный ход разработчиков мессенджера.

    Совсем недавно ими добавлена возможность устанавливать для своих аккаунтов 2-х-факторную аутентификацию. Иными словами, нужно ввести обычный пароль кроме одноразового смс-кода. Только эта идея неудачно реализована. Когда атакующий имеет возможность перехватить смс, он сумеет угнать аккаунт пользователя и получит всю информацию о его контактах, переписке, которую содержит не секретный чат. Ваш адресат об этом даже не догадается и злоумышленник будет общаться с ним от вашего имени.

    Информативность о метаданных

    В прессе появлялась информация о том, как представителем по безопасности было обнаружено, что правонарушители могут узнать время нахождения пользователя онлайн либо оффлайн, с кем он общается и в какое время использует мессенджер.

    Ола Флисбек, занимающийся исследованиями по безопасности, в 2015 году нашла метод определения участников беседы в Телеграмм на основе метаданных, каковые удалось с легкостью извлечь из приложения при помощи командной опции.

    При условии, когда у атакующего и пользователя, выбранного на роль жертвы, существует сколько-нибудь общих контактов, этой информации будет достаточно для выяснения личностей собеседников. Фактически, хакер имеет возможность оформить подписку на метаданные этого пользователя, добавив его в список своих контактов на Андроид. Тем более, что требования о взаимном согласии на это в приложении нет, а также об этом не придёт уведомление жертве, а хакер не отразится в перечне контактов Телеграмм.

    Ответ Павла Дурова Роскомнадзору

    Глава Роскомнадзора обвинил Павла Дурова в его нейтральности в отношении террористов, а также преступников, пользующихся приложением, и игнорировании безопасности рядовых пользователей мессенджера.

    В ответ на это Дуров привёл статистику произведённых блокировок аккаунтов террористов. К примеру, только в июне этого года, благодаря тому, что разработчиками внедрена опция, с помощью которой может отслеживаться подозрительная активность, было заблокировано больше 5 000 общественных каналов, а также групп, ведущих пропаганду терроризма.

    Дуровым было отмечено, что любой мессенджер типа Telegram либо WhatsApp, не есть небезопасный лишь для потенциальных злоумышленников и преступников. Принцип, предполагающий требование зашифровать сообщения, либо одинаково обеспечивает безопасность любого пользователя, либо каждого ставит под удар.

    Пакет Яровой

    Основатель мессенджера назвал этот закон технически невыполнимым. Дуров подчеркнул, что будет работать с регулятором РФ при совместном сотрудничестве по ликвидации общественных материалов, сопряжённых с популяризацией наркотиков, пропагандой терроризма, а также детской порнографии либо насилия, и по пресечению массовой рассылки ненужной информации (спама).

    Вопросы прослушивания

    На вопрос, правда ли что Телеграмм не отслеживается, и насколько он безопасен можно дать ответ, привлекая отзывы о безопасности самих пользователей. Среди юзеров приложения есть бизнесмены, а также известные политики, спецслужбы и даже секретные группы. Согласно статистике, обзорам блогеров ни один отзыв не свидетельствовал о плохой безопасности Телеграмм.

    Криптографический договор, который установлен разработчиками, обеспечивает дополнительную степень защиты. Создатели мессенджера настаивают на невозможности прослушивания.

    Рекомендации по безопасности от создателей

    Невзирая на высокую безопасность, не нужно пренебрегать пренебрегающими мерами. Мессенджер имеет высокую степень добавочной защиты:

    • ни под какими предлогами не давать своё устройство постороннему человеку;
    • установить на девайсе пароль, не сообщая его никому; (рис 2)
    • подключить двойное кодирование доступа (в разделе настроек в опции «Приватность и безопасность»); (рис 3)
    • скрыть номер своего мобильного устройства на главной страничке профиля;
    • каждый раз завершать свои сеансы после чего выходить из профиля; (рис 4)
    • пользоваться самоуничтожающимися и секретными чатами;
    • включить ограничение на разрешение доступа к личным данным после последнего посещения сети. (рис 5)

    Если сервис фиксирует попытку взлома,то код для подтверждения доступа автоматически отсылается пользователю.

     

     

     

    Похожие статьи