Algoritmul telegramei: Analiză rapidă (MTProto)

[echelon]

Telegram Messenger este o aplicație de mesagerie instantanee criptată cross-platform, disponibilă într-un model freemium și găzduită într-un cloud. Cu sediul în Dubai, Telegram are peste 900 de milioane de utilizatori.

Dar... este suficient?

Sigur, 75% dintre ei sunt mulțumiți de serviciile lor, dar asta nu este argumentat.

Am să vă explic cum funcționează.

Înainte de a vă interesa de securitatea unei platforme, nu-i întrebați chiar pe ei pentru că vor face totul pentru a vă raționaliza și a vă asigura "cel mai bun".

Telegram utilizează propriul protocol de criptare numit "MTProto", MTProto utilizează algoritmul AES (Advanced Encryption Standard) pentru criptarea simetrică.

Pentru a asigura integritatea datelor -> MTProto utilizează algoritmul de hashing SHA-256. Acest algoritm produce un digest de 256 de biți al mesajului, ceea ce face posibilă verificarea dacă datele au fost modificate.

Pentru schimbul sigur de chei -> MTProto utilizează RSA (Rivest-Shamir-Adleman). RSA este un algoritm de criptare asimetrică care utilizează o pereche de chei (publică și privată) pentru a securiza schimbul de chei simetrice între părți.

Protocoale de securitate a comunicațiilor -> MTProto integrează, de asemenea, mecanisme de protecție împotriva atacurilor comune, cum ar fi atacurile de tip replay sau atacurile de tip man-in-the-middle. Acestea includ utilizarea de chei temporare și protocoale de generare a cheilor.

Dacă ne uităm acum la aceste tehnici de criptare, putem observa că au fost găsite vulnerabilități multiple în trecutul arhivat și în prezent:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Iată o sursă puțin mai detaliată: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Publicat : 2023-10-10 21:15

După cum indică codul vulnerabilității, această vulnerabilitate specifică este recentă.

-> CWE-94
Acest cod CWE înseamnă "Improper Control of Generation of Code ('Code Injection')"
Și aceasta face parte dintr-o vulnerabilitate de nivel sever.

Telegram face mai multe actualizări ale protocolului său, dar acest lucru nu este suficient deoarece ceea ce este criptat este decriptabil și va exista întotdeauna o vulnerabilitate.

Mă opresc aici pentru că altfel ar trebui să scriu mai multe paragrafe despre algoritmul de criptare Telegram.

Dacă doriți să utilizați o mesagerie criptată mai bună pentru orice altceva, utilizați keybase sau dacă doriți neapărat să utilizați telegram, criptați singur conținutul.

 

[miner21]

Mulțumesc pentru articol. Dacă aveți de gând să utilizați telegram, ar ajuta criptarea mesajelor cu informații sensibile chiar pe o aplicație terță? Telegram mi-a cam dat întotdeauna o vibrație proastă

 

[echelon]

Sigur, puteți foarte bine să utilizați telegrama criptând importurile dvs. de sine, cum ar fi imagini, videoclipuri etc..

Decriptarea mesajelor nu este de fapt o problemă, cu excepția cazului în care acestea sunt mesaje foarte sensibile care ar putea să vă pună probleme, în acest caz vă sfătuiesc să utilizați un criptor XOR sau dacă într-adevăr doriți ca nimeni să nu aibă acces, atunci criptați în AES-256 sau XChaCha20 (preferabil)

 

[echelon]

XChaCha20 este preferabil pentru viteză, dar cel mai bun este AES-256 dacă doriți o criptare puternică, dar va dura mai mult timp.

 

[hermano]

Telegram nu este sigură
utilizați ceva de genul appetize.io pentru înregistrarea conturilor telegram pe numărul de telefon al 3-lea parte de la serviciile de activare a sms-urilor.
apoi rulați și operați-l pe emulatoare care pot fi optimizate pe diferite sisteme de operare

 

[hermano]

De asemenea, încălziți-l, face să pară că youre utilizator real, sau contul dvs. va fi blocat în scurt timp

 

[hermano]

Și utilizați European e-sim sau physical sim pentru aceasta, sunt mai bune

 

[echelon]

Pentru a corecta, un e-sim poate conține informațiile dvs.
Chiar mai rău, un SIM fizic... Chiar dacă este temporar.
Acest lucru nu este ideal dacă sunteți căutat pentru o situație gravă.
În schimb, utilizați un serviciu de telefonie pentru început, cum ar fi onoff, de exemplu.

 

[echelon]

Nu trebuie să complicați lucrurile prin utilizarea unui emulator, ci doar să fiți siguri.

 

[KurtV989]

Vă mulțumim foarte mult pentru write-up Am fost în căutarea pentru exact acest tip de informații. Mă pregăteam să încep să trimit mesaje la rece vânzătorilor legitimi pe care îi urmăresc de luni de zile pe Tele, cerându-le să vină pe piața noastră. Am mesajul gata de plecare, dar sunt precaut de a trimite din motive evidente.
Cum pot să procedez la criptare într-un mod care să fie sigur și suficient de simplu pentru ca ei să aibă acces?

 

[echelon]

Bunăoară, nu trebuie să criptezi mesajul pentru că probabil nu vor dori să îl decripteze doar pentru o reclamă.

Utilitatea criptării = prevenirea accesului la date confidențiale.
Acestea pot fi date confidențiale care dăunează anonimatului tău.

Dacă este pentru o reclamă, atunci nu există nicio problemă, o configurație OpenVPN ar trebui să fie suficientă pentru a vă acoperi IP-ul pe un computer.

Totuși, dacă este pentru ceva mai riscant, luați în considerare utilizarea mai multor straturi de securitate.

Dacă considerați că mesajul dvs. este confidențial, atunci criptați-l cu cheia publică PGP a destinatarului.

 

[KurtV989]

Apreciez răspunsul dvs. prompt, domnule, o voi citi din nou doar pentru a verifica din nou înainte de a trimite, mulțumesc din nou

 

[miner21]

Ați putea cripta un mesaj într-o aplicație terță, cum ar fi GNU Privacy Assistant, apoi să lipiți mesajul în telegram, presupun. Va trebui să faceți schimb de chei publice și așa mai departe pentru a citi mesajele celorlalți