Algoritmus telegramu: Rýchla analýza (MTProto)

[echelon]

Telegram Messenger je multiplatformová šifrovaná aplikácia na zasielanie okamžitých správ, ktorá je k dispozícii v modeli freemium a je umiestnená v cloude. Telegram so sídlom v Dubaji má viac ako 900 miliónov používateľov.

Je to však dosť?

Iste, 75 % z nich je s ich službami spokojných, ale to nie je argument.

Vysvetlím vám, ako to funguje.

Skôr ako sa začnete pýtať na bezpečnosť platformy, nepýtajte sa ich samotných, pretože urobia všetko pre to, aby vás racionálne presvedčili a zabezpečili "to najlepšie".

Telegram používa vlastný šifrovací protokol s názvom "MTProto", MTProto používa algoritmus AES (Advanced Encryption Standard) na symetrické šifrovanie.

Na zabezpečenie integrity údajov -> MTProto používa hashovací algoritmus SHA-256. Tento algoritmus vytvára 256-bitový digest správy, ktorý umožňuje skontrolovať, či boli údaje zmenené.

Na bezpečnú výmenu kľúčov -> MTProto používa RSA (Rivest-Shamir-Adleman). RSA je asymetrický šifrovací algoritmus, ktorý používa dvojicu kľúčov (verejný a súkromný) na zabezpečenie výmeny symetrických kľúčov medzi stranami.

Komunikačné bezpečnostné protokoly -> MTProto integruje aj ochranné mechanizmy proti bežným útokom, ako sú útoky replay alebo man-in-the-middle. Patrí sem používanie dočasných kľúčov a protokolov na generovanie kľúčov.

Ak sa teraz pozrieme na tieto šifrovacie techniky, vidíme, že v archívnej minulosti aj v súčasnosti sa našli viaceré zraniteľnosti:

-> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-45312.

Tu je o niečo podrobnejší zdroj: https: //cve.netmanageit.com/cve/CVE-2023-45312

-> Publikované : 2023-10-10 21:15

Ako naznačuje kód zraniteľnosti, táto konkrétna zraniteľnosť je nedávna.

-> CWE-94
Tento kód CWE znamená "Nesprávna kontrola generovania kódu ("Code Injection")".
A je to súčasť zraniteľnosti závažnej úrovne.

Telegram vykonáva viacero aktualizácií svojho protokolu, ale to nestačí, pretože to, čo je zašifrované, sa dá dešifrovať a vždy bude existovať zraniteľnosť.

Tu sa zastavím, pretože inak by som musel napísať niekoľko odsekov o šifrovacom algoritme Telegramu.

Ak chcete používať lepšie šifrované správy na čokoľvek iné, použite keybase alebo ak chcete bezpodmienečne používať telegram, šifrujte si obsah sami.

 

[miner21]

Ďakujeme za napísanie. Ak sa chystáte používať telegram, pomohlo by šifrovanie správ s citlivými informáciami samotným používateľom tretej aplikácie? Telegram vo mne vždy vyvolával akúsi zlú atmosféru

 

[echelon]

Iste, môžete veľmi dobre použiť telegram šifrovanie svojho importu seba, ako sú obrázky, videá atď.

Dešifrovanie správ v skutočnosti nie je problém, okrem prípadov, keď ide o veľmi citlivé správy, ktoré by vám mohli spôsobiť problémy, v tomto prípade vám odporúčam použiť šifrovač XOR alebo ak naozaj chcete, aby k nim nikto nemal prístup, potom šifrujte v AES-256 alebo XChaCha20 (výhodnejšie)

 

[echelon]

Pre rýchlosť je vhodnejšie šifrovanie XChaCha20, ale najlepšie je AES-256, ak chcete silné šifrovanie, ktoré však zaberie viac času.

 

[hermano]

Telegram nie je bezpečný
použite niečo ako appetize.io na registráciu účtov telegram na telefónnom čísle 3. strany zo služieb sms activate.
potom ho spustite a prevádzkujte na emulátoroch, ktoré môžu byť optimalizované na rôznych operačných systémoch

 

[hermano]

Taktiež ho zahrejte, aby vyzeral, že ste skutočný používateľ, inak bude vaše konto čoskoro zablokované

 

[hermano]

A použite na to európsky e-sim alebo fyzikálny sim, sú lepšie

 

[echelon]

Na opravu môže e-simulátor obsahovať vaše informácie.
Ešte horšie je to s fyzickou SIM... Aj keď je dočasná.
To nie je ideálne, ak vás hľadajú pre vážnu situáciu.
Namiesto toho použite na začiatok telefónnu službu, ako je napríklad onoff.

 

[echelon]

Nemusíte si komplikovať situáciu používaním emulátora, stačí, ak budete mať istotu.

 

[KurtV989]

Ďakujem veľmi pekne za zápis, hľadal som presne tento typ informácií. Chystal som sa začať posielať studené správy legitímnym predajcom, ktorých sledujem už niekoľko mesiacov na portáli Tele, a požiadať ich, aby prišli na náš trh. Mám pripravenú správu, ale som opatrný pri odosielaní zo zrejmých dôvodov.
Ako môžem postupovať pri šifrovaní spôsobom, ktorý je pre nich dostatočne bezpečný a jednoduchý?

 

[echelon]

Dobrý deň, správu nemusíte šifrovať, pretože ju pravdepodobne nebudú chcieť dešifrovať len kvôli reklame.

Užitočnosť šifrovania = zabránenie prístupu k dôverným údajom.
Môže ísť o dôverné údaje, ktoré poškodzujú vašu anonymitu.

Ak je to pre reklamu, potom nie je problém, konfigurácia OpenVPN by mala stačiť na zakrytie vašej IP v počítači.

Ak však ide o niečo rizikovejšie, zvážte použitie viacerých vrstiev zabezpečenia.

Ak považujete svoju správu za dôvernú, potom ju zašifrujte verejným kľúčom PGP príjemcu.

 

[KurtV989]

Oceňujem vašu rýchlu odpoveď, pane, pred odoslaním si to ešte raz prečítam, len aby som to dvakrát skontroloval, ešte raz vďaka

 

[miner21]

Hádam by ste mohli správu zašifrovať v tretej aplikácii, ako je napríklad GNU Privacy assistant, a potom správu vložiť do telegramu. Aby ste si mohli navzájom čítať správy, budete si musieť vymeniť verejné kľúče a podobne