Telegrammi algoritm: Kiiranalüüs (MTProto)

[echelon]

Telegram Messenger on platvormideülene krüpteeritud kiirsõnumirakendus, mis on saadaval freemium-mudelis ja mida majutatakse pilves. Dubais asuval Telegramil on üle 900 miljoni kasutaja.

Aga... Kas sellest piisab?

Muidugi, 75% neist on oma teenustega rahul, kuid see ei ole argumenteeritud.

Ma selgitan teile, kuidas see toimib.

Enne platvormi turvalisuse kohta küsimist ärge küsige neilt endilt, sest nad teevad kõik, et teid ratsionaliseerida ja tagada "parim".

Telegram kasutab oma krüpteerimisprotokolli nimega "MTProto", MTProto kasutab sümmeetriliseks krüpteerimiseks AES (Advanced Encryption Standard) algoritmi.

Andmete terviklikkuse tagamiseks -> MTProto kasutab SHA-256 hashing-algoritmi. See algoritm toodab sõnumi 256-bitise digesti, mis võimaldab kontrollida, kas andmeid on muudetud.

Turvaliseks võtmevahetuseks -> MTProto kasutab RSA (Rivest-Shamir-Adleman). RSA on asümmeetriline krüpteerimisalgoritm, mis kasutab osapoolte vahelise sümmeetriliste võtmete vahetamise tagamiseks võtmepaari (avalik ja privaatne).

Side turvaprotokollid -> MTProto sisaldab ka kaitsemehhanisme levinud rünnakute, näiteks taasesitusrünnakute või man-in-the-middle rünnakute vastu. See hõlmab ajutiste võtmete ja võtmete genereerimise protokollide kasutamist.

Kui me nüüd vaatame neid krüpteerimistehnikaid, siis näeme, et arhiveeritud minevikus ja tänapäeval on leitud mitmeid haavatavusi:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Siin on veidi üksikasjalikum allikas: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Avaldatud : 2023-10-10 21:15

Nagu haavatavuse kood näitab, on see konkreetne haavatavus hiljutine.

-> CWE-94
See CWE-kood tähendab "Koodi genereerimise ebakorrektne kontroll ("Code Injection")".
Ja see on osa tõsise taseme haavatavusest.

Telegram teeb mitmeid uuendusi oma protokollile, kuid sellest ei piisa, sest see, mis on krüpteeritud, on dekrüpteeritav ja alati on haavatavus.

Ma lõpetan siinkohal, sest muidu peaksin Telegrami krüpteerimisalgoritmist mitu lõiku kirjutama.

Kui soovite kasutada paremat krüpteeritud sõnumite edastamist millegi muu jaoks, siis kasutage keybase'i või kui soovite tingimata telegrami kasutada, siis krüpteerige oma sisu ise.

 

[miner21]

Täname kirjutise eest. Kui te kavatsete kasutada telegrami, kas tundlikku teavet sisaldavate sõnumite krüpteerimine ise kolmandas rakenduses aitaks? Telegram on mulle kuidagi alati halba vibe tekitanud

 

[echelon]

Muidugi, võite väga hästi kasutada telegrammi krüpteerides oma impordi ise, nagu näiteks pildid, videod jne.

Sõnumite dekrüpteerimine ei ole tegelikult probleem, välja arvatud juhul, kui tegemist on väga tundlike sõnumitega, mis võivad teile probleeme tekitada, sel juhul soovitan kasutada XOR-krüptorit või kui te tõesti soovite, et keegi ei pääseks ligi, siis krüpteerige AES-256 või XChaCha20 (eelistatavalt)

 

[echelon]

XChaCha20 on kiiruse poolest eelistatav, kuid parim on AES-256, kui soovite tugevat krüpteerimist, kuid see võtab rohkem aega.

 

[hermano]

Telegram ei ole ohutu
kasutage midagi sellist nagu appetize.io Telegram-kontode registreerimiseks 3. osapoole telefoninumbrile sms-i aktiveerimise teenustest.
siis käivitada ja kasutada seda emulaatoritel, mida saab optimeerida erinevatel OS-idel.

 

[hermano]

Samuti soojendage seda, et see tundub nagu youre reaalne kasutaja, või teie konto blokeeritakse peagi

 

[hermano]

Ja kasutage selleks Euroopa e-sim või füüsilist simulatsiooni, need on paremad

 

[echelon]

Korrigeerimiseks võib e-simulatsioon sisaldada teie teavet.
Veelgi hullem, füüsiline SIM... Isegi kui see on ajutine.
See ei ole ideaalne, kui teid otsitakse tõsise olukorra jaoks.
Selle asemel kasutage alustuseks telefoniteenust, näiteks onoff.

 

[echelon]

Te ei pea asju emulaatori kasutamisega keerulisemaks tegema, olge lihtsalt ohutu.

 

[KurtV989]

Tänan nii palju kirjutise eest, mida ma otsisin just sellist infot. Oli valmis alustama külm sõnumite legit Müüjad olen järginud kuud Tele paludes neid tulla üle meie turule. Mul on sõnum valmis minna, kuid olen ettevaatlik saatmine ilmselgetel põhjustel.
Kuidas ma saan minna krüpteerida nii, et see oleks turvaline ja piisavalt lihtne, et nad pääseksid ligi?

 

[echelon]

Tere, te ei pea sõnumit krüpteerima, sest tõenäoliselt ei taheta seda ainult reklaami jaoks dekrüpteerida.

Krüpteerimise kasulikkus = konfidentsiaalsetele andmetele juurdepääsu takistamine.
Tegemist võib olla konfidentsiaalsete andmetega, mis kahjustavad teie anonüümsust.

Kui see on reklaami jaoks, siis ei ole probleemi, OpenVPN-i konfiguratsioonist peaks piisama, et katta oma IP arvutis.

Kui see on aga millegi riskantsema jaoks, kaaluge mitme turvakihi kasutamist.

Kui peate oma sõnumit konfidentsiaalseks, siis krüpteerige see saaja PGP-avaliku võtmega.

 

[KurtV989]

Hindan teie kiiret vastust, härra, ma loen seda uuesti läbi, et enne saatmist veel kord kontrollida, veel kord aitäh.

 

[miner21]

Sa võiksid sõnumi krüpteerida 3. rakenduses nagu GNU Privacy Assistant ja seejärel kleepida sõnumi telegrami, ma arvan. Te peate üksteise sõnumite lugemiseks vahetama avalikke võtmeid jms.