Telegram algoritme: Snelle analyse (MTProto)

[echelon]

Telegram Messenger is een cross-platform versleutelde instant messaging applicatie, beschikbaar in een freemium model en gehost in een cloud. Telegram is gevestigd in Dubai en heeft meer dan 900 miljoen gebruikers.

Maar... is dat genoeg?

Natuurlijk is 75% van hen tevreden met hun diensten, maar dat is geen argument.

Ik zal je uitleggen hoe het werkt.

Voordat je informeert naar de veiligheid van een platform, vraag het ze niet zelf want ze zullen er alles aan doen om je te rationaliseren en het "beste" te garanderen.

Telegram gebruikt hun eigen encryptieprotocol genaamd "MTProto", MTProto gebruikt het AES-algoritme (Advanced Encryption Standard) voor symmetrische encryptie.

Om de integriteit van gegevens te waarborgen -> MTProto gebruikt het SHA-256 hashing-algoritme. Dit algoritme produceert een 256-bits digest van het bericht, waarmee kan worden gecontroleerd of de gegevens zijn gewijzigd.

Voor veilige sleuteluitwisseling -> MTProto gebruikt RSA (Rivest-Shamir-Adleman). RSA is een asymmetrisch encryptie-algoritme dat gebruik maakt van een sleutelpaar (publiek en privé) om de uitwisseling van symmetrische sleutels tussen de partijen te beveiligen.

Protocollen voor communicatiebeveiliging -> MTProto integreert ook beschermingsmechanismen tegen veelvoorkomende aanvallen, zoals replay-aanvallen of man-in-the-middle-aanvallen. Dit omvat het gebruik van tijdelijke sleutels en sleutelgeneratieprotocollen.

Als we nu naar deze versleutelingstechnieken kijken, zien we dat er meerdere kwetsbaarheden zijn gevonden in het gearchiveerde verleden en in het heden:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Hier is een iets gedetailleerdere bron: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Gepubliceerd : 2023-10-10 21:15

Zoals de kwetsbaarheidscode aangeeft is deze specifieke kwetsbaarheid recent.

-> CWE-94
Deze CWE-code betekent "Ongepaste controle op het genereren van code ('Code Injection')".
En dit is onderdeel van een ernstige kwetsbaarheid.

Telegram maakt meerdere updates voor zijn protocol, maar dit is niet genoeg omdat wat versleuteld is, ontsleuteld kan worden en er altijd een kwetsbaarheid zal zijn.

Ik zal het hierbij laten omdat ik anders meerdere alinea's zou moeten schrijven over het versleutelingsalgoritme van Telegram.

Als je een beter versleuteld bericht wilt gebruiken voor iets anders, gebruik dan keybase of als je absoluut telegram wilt gebruiken, versleutel je inhoud dan zelf.

 

[miner21]

Bedankt voor het schrijven. Als je Telegram gaat gebruiken, zou het dan helpen om berichten met gevoelige informatie zelf te versleutelen op een derde app? Telegram heeft me altijd een slecht gevoel gegeven...

 

[echelon]

Natuurlijk kun je telegram heel goed gebruiken om je invoer van jezelf te versleutelen, zoals afbeeldingen, video's, enzovoort.

Het ontsleutelen van berichten is eigenlijk geen probleem, behalve als het erg gevoelige berichten zijn die je in de problemen kunnen brengen. In dat geval raad ik je aan om een XOR-encryptor te gebruiken of als je echt wilt dat niemand toegang heeft, versleutel dan in AES-256 of XChaCha20 (voorkeur).

 

[echelon]

XChaCha20 heeft de voorkeur vanwege de snelheid, maar het beste is AES-256 als je sterke encryptie wilt, maar dat kost meer tijd.

 

[hermano]

Telegram is niet veilig
gebruik iets als appetize.io voor de registratie van telegramaccounts op een telefoonnummer van derden via sms activate services.
Voer het vervolgens uit en gebruik het op emulators die kunnen worden geoptimaliseerd op verschillende OS'en.

 

[hermano]

Warm het ook op, zorg dat het lijkt alsof je een echte gebruiker bent, anders wordt je account binnenkort geblokkeerd.

 

[hermano]

En gebruik daarvoor European e-sim of physical sim, die zijn beter

 

[echelon]

Om dit te corrigeren, kan een e-sim uw informatie bevatten.
Nog erger, een fysieke SIM... Zelfs als het tijdelijk is.
Dit is niet ideaal als je op zoek bent naar een serieuze situatie.
Gebruik in plaats daarvan een telefoondienst om mee te beginnen, zoals onoff bijvoorbeeld.

 

[echelon]

Je hoeft de dingen niet ingewikkelder te maken door een emulator te gebruiken.

 

[KurtV989]

Heel erg bedankt voor dit artikel, ik was op zoek naar precies dit soort informatie. Ik stond op het punt om cold messaging te starten naar legitieme verkopers die ik al maanden volg op Tele en hen te vragen om naar onze markt te komen. Ik heb het bericht klaar voor verzending, maar ik ben om voor de hand liggende redenen op mijn hoede.
Hoe kan ik versleutelen op een manier die veilig en eenvoudig genoeg is voor hen om toegang te krijgen?

 

[echelon]

Hallo, je hoeft het bericht niet te versleutelen omdat ze het waarschijnlijk niet willen ontsleutelen voor een advertentie.

Het nut van encryptie = het voorkomen van toegang tot vertrouwelijke gegevens.
Dit kunnen vertrouwelijke gegevens zijn die schadelijk zijn voor je anonimiteit.

Als het voor een advertentie is, dan is er geen probleem, een OpenVPN configuratie zou voldoende moeten zijn om je IP op een computer te bedekken.

Als het echter om iets riskanters gaat, overweeg dan om meerdere beveiligingslagen te gebruiken.

Als je je bericht als vertrouwelijk beschouwt, versleutel het dan met de PGP publieke sleutel van de ontvanger.

 

[KurtV989]

Ik waardeer uw snelle antwoord meneer, ik zal het nog eens nalezen voor een dubbele controle voordat ik het verstuur, nogmaals bedankt.

 

[miner21]

Je zou een bericht kunnen versleutelen in een 3e app zoals GNU Privacy assistant en het bericht dan in telegram kunnen plakken. Jullie zullen publieke sleutels en dergelijke moeten uitwisselen om elkaars berichten te kunnen lezen.