Algoritmo de telegrama: Análise rápida (MTProto)

[echelon]

O Telegram Messenger é um aplicativo de mensagens instantâneas criptografadas de plataforma cruzada, disponível em um modelo freemium e hospedado em uma nuvem. Com sede em Dubai, o Telegram tem mais de 900 milhões de usuários.

Mas será que isso é suficiente?

Claro, 75% deles estão satisfeitos com seus serviços, mas isso não é argumento.

Vou lhe explicar como ele funciona.

Antes de perguntar sobre a segurança de uma plataforma, não pergunte a eles mesmos, pois eles farão de tudo para racionalizá-lo e garantir o "melhor".

O Telegram usa seu próprio protocolo de criptografia chamado "MTProto", o MTProto usa o algoritmo AES (Advanced Encryption Standard) para criptografia simétrica.

Para garantir a integridade dos dados -> o MTProto usa o algoritmo de hash SHA-256. Esse algoritmo produz um resumo de 256 bits da mensagem, o que permite verificar se os dados foram modificados.

Para troca segura de chaves -> o MTProto usa o RSA (Rivest-Shamir-Adleman). O RSA é um algoritmo de criptografia assimétrica que usa um par de chaves (pública e privada) para proteger a troca de chaves simétricas entre as partes.

Protocolos de segurança de comunicação -> O MTProto também integra mecanismos de proteção contra ataques comuns, como ataques de repetição ou ataques man-in-the-middle. Isso inclui o uso de chaves temporárias e protocolos de geração de chaves.

Se analisarmos agora essas técnicas de criptografia, veremos que várias vulnerabilidades foram encontradas no passado arquivado e no presente:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Aqui está uma fonte um pouco mais detalhada: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Publicado : 2023-10-10 21:15

Como o código da vulnerabilidade indica, essa vulnerabilidade específica é recente.

-> CWE-94
Esse código CWE significa "Controle inadequado da geração de código ('Injeção de código')"
E isso faz parte de uma vulnerabilidade de nível grave.

O Telegram faz várias atualizações em seu protocolo, mas isso não é suficiente porque o que é criptografado pode ser descriptografado e sempre haverá uma vulnerabilidade.

Vou parar por aqui porque, caso contrário, eu teria que escrever vários parágrafos sobre o algoritmo de criptografia do Telegram.

Se quiser usar um sistema de mensagens criptografadas melhor para qualquer outra coisa, use o keybase ou, se quiser mesmo usar o telegram, criptografe seu conteúdo você mesmo.

 

[miner21]

Obrigado pelo artigo. Se você for usar o Telegram, criptografar mensagens com informações confidenciais em um terceiro aplicativo ajudaria? O Telegram sempre me deu uma sensação ruim

 

[echelon]

Claro, você pode muito bem usar o telegrama para criptografar suas importações, como imagens, vídeos etc.

A descriptografia de mensagens não é realmente um problema, exceto se forem mensagens muito confidenciais que possam causar problemas. Nesse caso, aconselho usar um criptografador XOR ou, se realmente não quiser que ninguém acesse, criptografar em AES-256 ou XChaCha20 (preferível)

 

[echelon]

O XChaCha20 é preferível pela velocidade, mas o melhor é o AES-256 se você quiser uma criptografia forte, mas isso levará mais tempo.

 

[hermano]

O Telegram não é seguro
use algo como o appetize.io para registrar contas do telegram em números de telefone de terceiros a partir de serviços de ativação de sms.
em seguida, execute-o e opere-o em emuladores que podem ser otimizados em diferentes sistemas operacionais

 

[hermano]

Além disso, aqueça-o, faça com que pareça que você é um usuário real ou sua conta será bloqueada em breve

 

[hermano]

E use o e-sim europeu ou o physical sim para isso, pois eles são melhores

 

[echelon]

Para corrigir, um e-sim pode conter suas informações.
Pior ainda, um SIM físico... Mesmo que seja temporário.
Isso não é ideal se você for procurado para uma situação séria.
Em vez disso, use um serviço telefônico para começar, como o onoff, por exemplo.

 

[echelon]

Não é necessário complicar as coisas usando um emulador, basta ter cuidado.

 

[KurtV989]

Muito obrigado pelo artigo, eu estava procurando exatamente esse tipo de informação. Estava me preparando para começar a enviar mensagens frias aos vendedores legítimos que venho seguindo há meses no Tele, pedindo que eles venham ao nosso mercado. Tenho a mensagem pronta, mas estou com receio de enviá-la por motivos óbvios.
Como posso criptografar de uma forma segura e simples o suficiente para que eles tenham acesso?

 

[echelon]

Olá, você não precisa criptografar a mensagem porque eles provavelmente não vão querer descriptografá-la apenas por causa de um anúncio.

Utilidade da criptografia = impedir o acesso a dados confidenciais.
Esses dados podem ser confidenciais e prejudiciais ao seu anonimato.

Se for para um anúncio, não há problema, uma configuração OpenVPN deve ser suficiente para cobrir seu IP em um computador.

Entretanto, se for para algo mais arriscado, considere o uso de várias camadas de segurança.

Se considerar sua mensagem confidencial, criptografe-a com a chave pública PGP do destinatário.

 

[KurtV989]

Agradeço sua pronta resposta, senhor. Vou reler o texto apenas para verificar antes de enviá-lo. Mais uma vez, obrigado

 

[miner21]

Você poderia criptografar uma mensagem em um terceiro aplicativo, como o GNU Privacy Assistant, e depois colar a mensagem no Telegram, eu acho. Vocês terão que trocar chaves públicas e coisas do gênero para ler as mensagens uns dos outros