Telegramos algoritmas: Greita analizė (MTProto)

[echelon]

Telegram Messenger yra daugiaplatformė šifruotų trumpųjų žinučių siuntimo programa, prieinama pagal nemokamą modelį ir talpinama debesyje. Dubajuje įsikūrusi "Telegram" turi daugiau kaip 900 mln. naudotojų.

Bet ar to pakanka?

Žinoma, 75 proc. jų yra patenkinti jų paslaugomis, tačiau tai nėra argumentas.

Paaiškinsiu jums, kaip tai veikia.

Prieš teiraudamiesi apie platformos saugumą, neklauskite jų pačių, nes jie padarys viską, kad jus racionaliai įtikintų ir užtikrintų "geriausią".

Telegram naudoja savo šifravimo protokolą, vadinamą "MTProto", MTProto naudoja AES (Advanced Encryption Standard) algoritmą simetriniam šifravimui.

Duomenų vientisumui užtikrinti -> "MTProto" naudoja SHA-256 šifravimo algoritmą. Pagal šį algoritmą sukuriamas 256 bitų pranešimo šifras, kuris leidžia patikrinti, ar duomenys nebuvo pakeisti.

Saugiam keitimuisi raktais -> "MTProto" naudoja RSA (Rivest-Shamir-Adleman). RSA yra asimetrinis šifravimo algoritmas, kuris naudoja raktų porą (viešąjį ir privatųjį), kad užtikrintų šalių apsikeitimą simetriniais raktais.

Ryšio saugumo protokolai -> MTProto taip pat integruoti apsaugos mechanizmai nuo įprastų atakų, pavyzdžiui, atkartojimo atakų arba "man-in-the-middle" atakų. Tai apima laikinųjų raktų ir raktų generavimo protokolų naudojimą.

Jei dabar pažvelgsime į šiuos šifravimo būdus, pamatysime, kad archyvuotoje praeityje ir dabar yra rasta daug pažeidžiamumų:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312.

Štai šiek tiek išsamesnis šaltinis: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Paskelbta : 2023-10-10 21:15

Kaip rodo pažeidžiamumo kodas, šis konkretus pažeidžiamumas yra nesenas.

-> CWE-94
Šis CWE kodas reiškia "Netinkama kodo generavimo kontrolė ("Code Injection")".
Ir tai yra sunkaus lygio pažeidžiamumo dalis.

Telegram" atlieka daugybę savo protokolo atnaujinimų, tačiau to nepakanka, nes tai, kas užšifruota, galima iššifruoti, ir pažeidžiamumas visada išliks.

Tuo ir baigsiu, nes kitaip turėčiau parašyti kelias pastraipas apie "Telegram" šifravimo algoritmą.

Jei norite naudoti geresnį šifruotų žinučių siuntimo būdą kam nors kitam, naudokite keybase arba, jei būtinai norite naudoti telegram, šifruokite savo turinį patys.

 

[miner21]

Ačiū už parašytą tekstą. Jei ketinate naudoti telegramą, ar padėtų užšifruoti žinutes su slapta informacija pačiam trečiojoje programoje? Telegram man visada kėlė blogą įspūdį

 

[echelon]

Žinoma, labai gerai galite naudoti telegramą šifruoti savo importą apie save, pavyzdžiui, vaizdus, vaizdo įrašus ir pan.

Iššifruoti pranešimus iš tikrųjų nėra problema, išskyrus atvejus, kai tai yra labai jautrūs pranešimai, dėl kurių jums gali kilti problemų, tokiu atveju patariu naudoti XOR šifravimo priemonę arba, jei tikrai norite, kad niekas negalėtų prieiti, šifruoti AES-256 arba XChaCha20 (pageidautina)

 

[echelon]

XChaCha20 tinkamiausias dėl spartos, tačiau geriausias yra AES-256, jei norite stipraus šifravimo, tačiau jis užims daugiau laiko.

 

[hermano]

Telegramos nėra saugios
naudokite ką nors panašaus į appetize.io, kad užregistruotumėte telegramo paskyras 3-iosios šalies telefono numeriu iš sms aktyvavimo paslaugų.
tada paleiskite ir naudokite ją emuliatoriuose, kurie gali būti optimizuoti skirtingose OS

 

[hermano]

Taip pat jį sušildykite, kad jis atrodytų, jog esate tikras naudotojas, kitaip jūsų paskyra netrukus bus užblokuota

 

[hermano]

Ir tam naudokite Europos e. sim arba fizikinį sim, jie yra geresni

 

[echelon]

Norint pataisyti, e. simuliacijoje gali būti pateikta jūsų informacija.
Dar blogiau - fizinė SIM... Net jei ji laikina.
Tai nėra idealu, jei esate ieškomas dėl rimtos situacijos.
Vietoj to pradžiai naudokitės telefono paslauga, pavyzdžiui, "onoff".

 

[echelon]

Nereikia apsunkinti situacijos naudojant emuliatorių, tiesiog būkite saugūs.

 

[KurtV989]

Labai ačiū už rašinį, ieškojau būtent tokios informacijos. Ruošiausi pradėti rašyti šaltąsias žinutes įteisintiems pardavėjams, kuriuos kelis mėnesius sekiau Tele, prašydamas jų atvykti į mūsų rinką. Turiu paruoštą pranešimą, bet dėl akivaizdžių priežasčių esu atsargus siųsti.
Kaip galėčiau užšifruoti taip, kad būtų saugu ir pakankamai paprasta jiems pasiekti?

 

[echelon]

Sveiki, jums nereikia šifruoti pranešimo, nes jie tikriausiai nenorės jo iššifruoti vien dėl skelbimo.

Šifravimo naudingumas = užkirsti kelią prieigai prie konfidencialių duomenų.
Tai gali būti konfidencialūs duomenys, kurie kenkia jūsų anonimiškumui.

Jei tai skirta skelbimui, tuomet nėra jokių problemų, jūsų IP kompiuteryje turėtų pakakti OpenVPN konfigūracijos, kad būtų uždengtas jūsų IP.

Tačiau jei tai skirta kažkam rizikingesniam, apsvarstykite galimybę naudoti kelių lygių apsaugą.

Jei manote, kad jūsų pranešimas konfidencialus, užšifruokite jį gavėjo PGP viešuoju raktu.

 

[KurtV989]

Dėkoju už greitą atsakymą, pone, prieš išsiųsdamas dar kartą perskaitysiu, kad dar kartą pasitikrinčiau, dar kartą ačiū

 

[miner21]

Spėju, kad galėtumėte užšifruoti pranešimą 3-iojoje programoje, pavyzdžiui, GNU privatumo asistentas, tada įklijuoti pranešimą į telegramą. Norėdami perskaityti vienas kito žinutes, turėsite apsikeisti viešaisiais raktais ir pan.