Algoritmo di Telegram: Analisi rapida (MTProto)

[echelon]

Telegram Messenger è un'applicazione di messaggistica istantanea crittografata multipiattaforma, disponibile in un modello freemium e ospitata in un cloud. Con sede a Dubai, Telegram ha più di 900 milioni di utenti.

Ma... è sufficiente?

Certo, il 75% di loro è soddisfatto dei loro servizi, ma questo non è un argomento di discussione.

Vi spiegherò come funziona.

Prima di informarvi sulla sicurezza di una piattaforma, non chiedete a loro stessi perché faranno di tutto per razionalizzarvi e garantirvi il "meglio".

Telegram utilizza il proprio protocollo di crittografia chiamato "MTProto", MTProto utilizza l'algoritmo AES (Advanced Encryption Standard) per la crittografia simmetrica.

Per garantire l'integrità dei dati, MTProto utilizza l'algoritmo di hashing SHA-256. Questo algoritmo produce un digest a 256 bit del messaggio, che consente di verificare se i dati sono stati modificati.

Per lo scambio sicuro di chiavi -> MTProto utilizza RSA (Rivest-Shamir-Adleman). RSA è un algoritmo di crittografia asimmetrica che utilizza una coppia di chiavi (pubblica e privata) per proteggere lo scambio di chiavi simmetriche tra le parti.

Protocolli di sicurezza della comunicazione -> MTProto integra anche meccanismi di protezione contro gli attacchi più comuni, come gli attacchi replay o gli attacchi man-in-the-middle. Ciò include l'uso di chiavi temporanee e di protocolli di generazione di chiavi.

Se ora esaminiamo queste tecniche di crittografia, possiamo vedere che sono state trovate diverse vulnerabilità nel passato archiviato e nel presente:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312

Ecco una fonte leggermente più dettagliata: https://cve.netmanageit.com/cve/CVE-2023-45312

-> Pubblicato : 2023-10-10 21:15

Come indica il codice della vulnerabilità, questa specifica vulnerabilità è recente.

-> CWE-94
Questo codice CWE significa "Improper Control of Generation of Code ('Code Injection')".
E fa parte di una vulnerabilità di livello grave.

Telegram aggiorna più volte il suo protocollo, ma questo non è sufficiente perché ciò che è criptato è decifrabile e ci sarà sempre una vulnerabilità.

Mi fermo qui perché altrimenti dovrei scrivere diversi paragrafi sull'algoritmo di crittografia di Telegram.

Se volete usare una messaggistica criptata migliore per qualsiasi altra cosa, usate keybase o, se volete assolutamente usare telegram, criptate voi stessi i vostri contenuti.

 

[miner21]

Grazie per l'articolo. Se si intende utilizzare telegram, sarebbe utile crittografare i messaggi con informazioni sensibili su una terza applicazione? Telegram mi ha sempre dato una cattiva impressione.

 

[echelon]

Certo, potete benissimo usare telegram per criptare le vostre importazioni di voi stessi come immagini, video, ecc.

La decrittazione dei messaggi non è un problema, tranne nel caso in cui si tratti di messaggi molto sensibili che potrebbero causarvi problemi, in questo caso vi consiglio di utilizzare un crittografo XOR o, se proprio non volete che nessuno vi acceda, di crittografare in AES-256 o XChaCha20 (preferibile).

 

[echelon]

XChaCha20 è preferibile per la velocità, ma il migliore è AES-256 se si desidera una crittografia forte, ma richiede più tempo.

 

[hermano]

Telegram non è sicuro
utilizzare qualcosa come appetize.io per la registrazione di account telegram su numeri di telefono di terze parti da servizi di attivazione sms.
quindi eseguirlo e utilizzarlo su emulatori che possono essere ottimizzati su diversi sistemi operativi.

 

[hermano]

Inoltre, riscaldatelo, fate in modo che sembri un utente reale, altrimenti il vostro account verrà bloccato a breve.

 

[hermano]

Utilizzate un simulatore elettronico europeo o un simulatore fisico: sono migliori.

 

[echelon]

Per correggere, un simulatore elettronico può contenere le vostre informazioni.
Ancora peggio, una SIM fisica... Anche se è temporanea.
Non è l'ideale se si è alla ricerca di una situazione seria.
Utilizzate invece un servizio telefonico per iniziare, come ad esempio onoff.

 

[echelon]

Non è necessario complicare le cose utilizzando un emulatore, basta essere sicuri.

 

[KurtV989]

Grazie mille per questo articolo, stavo cercando proprio questo tipo di informazioni. Mi stavo preparando per iniziare a mandare messaggi a freddo ai venditori legittimi che seguo da mesi su Tele, chiedendo loro di venire nel nostro mercato. Ho il messaggio pronto ma sono cauto nell'inviarlo per ovvi motivi.
Come posso procedere alla crittografia in modo che sia sicura e abbastanza semplice per loro da accedere?

 

[echelon]

Ciao, non è necessario criptare il messaggio perché probabilmente non vorranno decriptarlo solo per un annuncio.

Utilità della crittografia = impedire l'accesso a dati riservati.
Potrebbe trattarsi di dati riservati e dannosi per l'anonimato.

Se si tratta di un annuncio, non c'è alcun problema: una configurazione OpenVPN dovrebbe essere sufficiente a coprire il vostro IP su un computer.

Tuttavia, se si tratta di qualcosa di più rischioso, è bene considerare l'utilizzo di più livelli di sicurezza.

Se ritenete che il vostro messaggio sia riservato, allora cifratelo con la chiave pubblica PGP del destinatario.

 

[KurtV989]

Apprezzo la sua pronta risposta, signore, lo rileggerò per ricontrollarlo prima di inviarlo, grazie ancora.

 

[miner21]

Potreste criptare un messaggio in una terza applicazione come GNU Privacy assistant e poi incollare il messaggio in telegram, credo. Dovrete scambiarvi chiavi pubbliche e simili per leggere i messaggi degli altri.