Algoritmus telegramu: Rychlá analýza (MTProto)

[echelon]

Telegram Messenger je multiplatformní šifrovaná aplikace pro zasílání rychlých zpráv, která je k dispozici v modelu freemium a je hostována v cloudu. Telegram sídlí v Dubaji a má více než 900 milionů uživatelů.

Stačí to ale?

Jistě, 75 % z nich je s jejich službami spokojeno, ale to není argument.

Vysvětlím vám, jak to funguje.

Než se začnete ptát na bezpečnost platformy, neptejte se jich samotných, protože udělají vše pro to, aby vás racionálně přesvědčili a zajistili si to "nejlepší".

Telegram používá vlastní šifrovací protokol s názvem "MTProto", MTProto používá pro symetrické šifrování algoritmus AES (Advanced Encryption Standard).

Pro zajištění integrity dat -> MTProto používá hashovací algoritmus SHA-256. Tento algoritmus vytváří 256bitový digest zprávy, který umožňuje zkontrolovat, zda data nebyla změněna.

Pro bezpečnou výměnu klíčů -> MTProto používá RSA (Rivest-Shamir-Adleman). RSA je asymetrický šifrovací algoritmus, který k zabezpečení výměny symetrických klíčů mezi stranami používá dvojici klíčů (veřejný a soukromý).

Protokoly zabezpečení komunikace -> MTProto také integruje mechanismy ochrany proti běžným útokům, jako jsou útoky typu replay nebo man-in-the-middle. Patří sem používání dočasných klíčů a protokolů pro generování klíčů.

Pokud se nyní podíváme na tyto šifrovací techniky, zjistíme, že v archivované minulosti i v současnosti bylo nalezeno více zranitelností:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312.

Zde je o něco podrobnější zdroj: https: //cve.netmanageit.com/cve/CVE-2023-45312.

-> Zveřejněno : 2023-10-10 21:15

Jak naznačuje kód zranitelnosti, tato konkrétní zranitelnost je nedávná.

-> CWE-94
Tento kód CWE znamená "Nesprávná kontrola generování kódu ("Code Injection")".
A jedná se o součást zranitelnosti závažné úrovně.

Telegram provádí několik aktualizací svého protokolu, ale to nestačí, protože to, co je zašifrováno, je dešifrovatelné a vždy bude existovat zranitelnost.

Tady se zastavím, protože jinak bych musel napsat několik odstavců o šifrovacím algoritmu Telegramu.

Pokud chcete používat lepší šifrované zprávy pro cokoli jiného, použijte keybase, nebo pokud chcete bezpodmínečně používat telegram, zašifrujte si obsah sami.

 

[miner21]

Děkujeme za zápis. Pokud se chystáte používat telegram, pomohlo by vám, kdybyste zprávy s citlivými informacemi šifrovali sami v nějaké třetí aplikaci? Telegram na mě vždycky působil špatným dojmem.

 

[echelon]

Jistě, můžete velmi dobře používat telegram šifrování svých importů sebe sama, jako jsou obrázky, videa atd.

Dešifrování zpráv vlastně není problém, s výjimkou případů, kdy se jedná o velmi citlivé zprávy, které by vám mohly způsobit problémy, v takovém případě doporučuji použít šifrátor XOR, nebo pokud opravdu nechcete, aby k nim nikdo neměl přístup, pak šifrovat v AES-256 nebo XChaCha20 (raději)

 

[echelon]

XChaCha20 je vhodnější kvůli rychlosti, ale nejlepší je AES-256, pokud chcete silné šifrování, ale zabere to více času.

 

[hermano]

Telegram není bezpečný
použijte něco jako appetize.io pro registraci účtů telegram na telefonním čísle 3. strany ze služeb sms activate.
pak jej spusťte a provozujte na emulátorech, které lze optimalizovat na různých operačních systémech.

 

[hermano]

Také ho zahřejte, aby vypadal, že jste skutečný uživatel, jinak bude váš účet brzy zablokován.

 

[hermano]

A použijte k tomu evropský e-sim nebo fyzikální sim, jsou lepší

 

[echelon]

Pro nápravu může e-simulátor obsahovat vaše informace.
Ještě hůře je na tom fyzická SIM... I když je dočasná.
To není ideální, pokud jste hledáni pro vážnou situaci.
Místo toho pro začátek použijte telefonní službu, jako je například onoff.

 

[echelon]

Nemusíte si to komplikovat používáním emulátoru, stačí, když budete mít jistotu.

 

[KurtV989]

Moc děkuji za zápis, hledal jsem přesně tento typ informací. Chystal jsem se začít posílat studené zprávy důvěryhodným prodejcům, které sleduji už několik měsíců na Tele, a požádat je, aby přišli na náš trh. Mám zprávu připravenou, ale jsem opatrný s odesláním ze zřejmých důvodů.
Jak mám postupovat při šifrování tak, aby bylo bezpečné a dostatečně jednoduché pro jejich přístup?

 

[echelon]

Dobrý den, zprávu nemusíte šifrovat, protože ji pravděpodobně nebudou chtít dešifrovat jen kvůli reklamě.

Užitečnost šifrování = zabránění přístupu k důvěrným údajům.
Může se jednat o důvěrné údaje, které poškozují vaši anonymitu.

Pokud je to pro reklamu, pak není problém, konfigurace OpenVPN by měla stačit k zakrytí vaší IP v počítači.

Pokud se však jedná o něco rizikovějšího, zvažte použití více vrstev zabezpečení.

Pokud považujete zprávu za důvěrnou, pak ji zašifrujte veřejným klíčem PGP příjemce.

 

[KurtV989]

Oceňuji vaši rychlou odpověď, pane, před odesláním si to ještě jednou přečtu, abych to překontroloval, ještě jednou díky

 

[miner21]

Zprávu můžete zašifrovat v třetí aplikaci, jako je GNU Privacy assistant, a pak ji vložit do telegramu, myslím. Abyste si mohli zprávy navzájem přečíst, budete si muset vyměnit veřejné klíče apod.