Поделиться
Telegram хранит переписку в незашифрованном виде. Дуров негодует и оправдывается
Эксперт по безопасности обнаружил, что при некоторых условиях содержимое переписки в Telegram хранится в незашифрованном виде, как и у одной из версий Signal. Павел Дуров назвал эту уязвимость «несуществующей».Непросто прочитать
Как и у сверхзащищенного мессенджера Signal, Telegram в версии для десктопов сохраняет всю переписку пользователей на жёстком диске без шифрования. Прочитать её не так легко, как в случае с Signal, но вполне возможно.
Как выяснил эксперт по безопасности Натаниэль Сачи (Nathaniel Suchy), Telegram использует базу данных SQLite для хранения сообщений, «которую не очень просто прочитать, но которая в целом лишена шифрования».
Проанализировав «сырые» данные, предварительно сконвертированные в более простой для просмотра формат, Сачи смог найти имена и телефонные номера, которые можно проассоциировать друг с другом. Даже в этом виде, однако, информацию было непросто считать, однако нескольких специально написанных скриптов хватило, чтобы вычленить необходимые данные.
Десктопная версия Telegram предлагает парольную защиту, чтобы предотвратить неавторизованный доступ к приложению. Эта опция не связана с шифрованием, и при должном умении злоумышленник может добраться до ваших чатов и прочитать их. Как утверждает издание Bleeping Computer, в общую базу направляются все сообщения, вне зависимости от того, используется «секретный» режим переписки или «облачные чаты».
Стоит отметить, что Telegram Desktop не поддерживает секретные чаты как таковые, это функция доступна только в мобильных клиентах.
Режим секретности
В режиме Secret Chat Telegram исправно шифрует сообщения и файлы вложений при передаче; в этом режиме используется сквозное шифрование, исключающее возможность перехвата и просмотра содержимого переписки третьей стороной.
Интересно, однако, что при обмене данными через облако (то есть, не напрямую), сквозное шифрование не используется; разработчики утверждают, что алгоритм шифрования, защищающий каналы клиент-сервер и сервер-клиент, весьма надёжен, а благодаря тому, что переписка сохраняется в облаке, у пользователя существует возможность просматривать её с любого устройства.
«Проблема с восстановлением данных в истории чатов на новом устройстве (в случае потери смартфона, например) не имеет элегантных решений в парадигме сквозного шифрования. В то же время надёжное резервное копирование - базовая функция любого мессенджера для массового рынка. Чтобы решить эту проблему, некоторые приложения (WhatsApp и Viber, в частности) допускают дешифруемые резервные копии, что ставит приватность их пользователь под угрозу - даже если они сами не активировали функцию резервного сохранения данных. Другие приложения вообще отказываются от резервных копий, - и растворяются в небытии ещё до того, как количество их пользователей достигает одного миллиона», - говорится в вопроснике Telegram.
Далее разработчики указывают, что они выбрали «третий путь», в котором чаты дифференцированы: при использовании «облачных» чатов резервное копирование на клиентской стороне отключается, а при использовании секретного режима пользователи получают «полный контроль над данными, хранение которых для вас нежелательно» (иными словами, резервные копии сохраняются локально).
Проблема в том, как именно они сохраняются: судя по тому, что написал Суиш, метод хранения как минимум части архивов далёк от безопасного.
Дутая сенсация?
Создатель Telegram Павел Дуров отреагировал на эту новость в весьма жёсткой форме: «К сожалению, нежелание редакторов СМИ разбираться в деталях проблем с безопасностью приводит к тому, что читатели перестают в итоге обращать на них внимание. И когда появляются сообщения о настоящих угрозах, пользователь может не придать им значения. (Пунктуация сохранена. – CNews)».
Павел Дуров говорит, что суть уязвимости сводится к тому, что «Eсли бы у меня был доступ к Вашему компьютеру, я бы смог прочитать Ваши сообщения».
Можно, сказать, что если некий злоумышленник получает неавторизованный доступ к компьютеру жертвы, это уже лишает смысла дискуссии о безопасности баз данных Telegram, - как и любых других данных.
Существует, однако, ряд вполне жизненных ситуаций, когда архив сообщений в Telegram может утечь на сторону: например, если перед продажей компьютера его данные удалены небезвозвратно, а с возможностью восстановить их. Или же злоумышленник получает удалённый доступ к компьютеру жертвы (например, топ-менеджера) и его в первую очередь интересуют его коммуникации, в том числе содержимое переписки в Telegram. С такой особенностью Telegram мало что может помешать хакеру ознакомиться с этими сообщениями.
«С одной стороны, для того, чтобы скомпрометировать переписку Telegram в таком ключе, потребуется взломать компьютер жертвы, - в таком случае говорить о безопасности данных вообще нет смысла, - считает Олег Галушкин, директор по информационной безопасности компании SEC Consult Services. - Однако вполне возможны сценарии, когда именно содержимое переписки Telegram будет представлять наибольший интерес для потенциальных злоумышленников, а её утечка - наибольшую угрозу для жертвы. В любом случае, наиболее эффективной будет многослойная защита, и если существует минимальная возможность компрометации конфиденциальной переписки Telegram, её следует устранить».
Поделиться
Короткая ссылка
