В протоколе мессенджера Telegram найдена потенциальная уязвимость Статьи редакции

Пользователь Habrahabr усомнился в безопасности криптографического протокола MTProto мессенджера Telegram и обнаружил в нем потенциальную уязвимость. Она была оперативно исправлена, а пользователю пообещали награду.

Пользователь ресурса Habrahabr под ником x7mz опубликовал пост, посвященный безопасности данных в мессенджере Telegram Павла Дурова. Согласно его исследованию, создатели сервиса модифицировали алгоритм Диффи-Хелмана, но эта модификация потенциально позволяет серверу Telegram узнать ключ от секретного чата. 

Если Вам нужен простой быстрый чат, Telegram – отличное приложение. Если Вы параноик, то пользоваться не следует однозначно. Потому что даже если я ошибся и написал полную ересь Telegram знает о Вас все: номер телефона, контакты, смс сообщения, местоположение, с кем и когда вы общаетесь. Обратите внимание на список разрешений для приложения. Т.е. мое мнение Telegram – быстрый, удобный, но нисколько не приватный чат.

В комментариях к посту его выводы были подтверждены непосредственно создателями сервиса, а самому пользователю пообещали вознаграждение.

Как пояснили разработчики протокола MTProto, изменения в алгоритм шифрования были внесены для нивелирования воздействия недостаточно криптостойких генераторов случайных чисел, используемых на клиентской стороне. В использовании «недостаточно случайных» генераторов недавно была уличена компания Google — эта уязвимость позволила украсть как минимум 55 биткоинов с кошельков, сгенерированных с помощью Android-приложения.

Уязвимость была исправлена на серверной стороне. Другие пользователи Habrahabr, однако, потребовали не менять ничего в коде в условиях конкурса.

Речь о конкурсе на расшифровку личной переписки Павла Дурова с его братом Николаем, наградой за победу в котором станет сумма в биткоинах в размере, эквивалентном 200 тысячам долларов. Конкурс был объявлен самим основателем ВКонтакте и Telegram для того, чтобы убедиться в безопасности мессенджера.

Хаброюзер, обнаруживший уязвимость, получит вознаграждение в размере 100 тысяч долларов. 

Павел Дуров, основатель Telegram

Эта история заставляет в очередной раз восхититься российскими программистами. Целую неделю маститые американские криптографы на HackerNews безуспешно цеплялись к протоколу — в основном, с требованием заменить наше решение на алгоритмы, которые продвигает АНБ в своем Suite B. А российский программист, называющий себя "новичком", смог в рамках статьи на Хабре с ходу определить потенциально уязвимое место в секретных чатах.

На всякий случай, поясню для массовых пользователей: утечки данных не было, уязвимость закрыта, опасности нет.

Еще раз убедился в том, насколько правильным решением было полностью открывать протокол и исходный код. Это позволяет привлекать тысячи умных людей, которые могут помогать постоянно совершенствовать систему, находя потенциально уязвимые места.

Разработчик, нашедший слабое место в нашем алгоритме, заслужил награду в $100,000. Подобную награду заслуживает любой, кто найдет возможности схожей атаки (напоминаю, за расшифровку потока трафика мной была объявлена награда в $200,000). Продолжаем искать — вместе мы сделаем протокол нерушимым.

0
19 комментариев
Популярные
По порядку
Написать комментарий...
Общий череп

Дуров, верни алгоритм!

Ответить
55
Развернуть ветку
Общий череп

Напомнило: #ДуровВерниСтену

Ответить
–24
Развернуть ветку
Общий череп

Да, Паша не нервничает, и не жмётся на поощрения за находку даже потенциальной уязвимости, как некоторые западные компании на A и на M.

Ответить
14
Развернуть ветку
Общий череп

А как же история с палестинцем и F? ;)
http://habrahabr.ru/post/190696/

Ответить
1
Развернуть ветку
Общий череп

История с А намного интересней, когда им пришлось закрывать на столько недель свои веб-ресурсы. Это вам не возможность портить чужие стенки в социалках )))

Ответить
0
Развернуть ветку
Общий череп

А также компании на Ba и на Goo. На моей памяти наибольшее вознаграждение было где-то в районе $10k. Сумма в десять раз больше — хороший способ привлечь реальных участников, продемонстрировать всю серьезность намерений, ну и пропиариться, конечно :)

Ответить
1
Развернуть ветку
Общий череп

Комментарий удален по просьбе пользователя

Ответить
3
Развернуть ветку
Общий череп

Не хочу показаться мудаком, но как-то слишком смахивает на хитрый пиар. http://habrahabr.ru/users/x7mz/ если посмотреть на профиль паренька, то видно что у него до этого времени не было активности, как будто специально ждал "своего звёздного часа". Может мне везде и чудятся жидомасонские заговоры, но выглядит по меньшей мере странно.

Ответить
–1
Развернуть ветку
Общий череп

На хабре есть песочница, куда может написать любой, а если статью оценят — то и получить инвайт. Таким образом дебютная статья автора и проложила дорогу на хабр и к вознаграждению. Так что вам, скорее, чудится.

Ответить
3
Развернуть ветку
Общий череп

Зарегистрирован: 21 мая 2013 в 12:48 по приглашению НЛО

Долго же он ждал инвайта :)

Ответить
–1
Развернуть ветку
Общий череп

Помню, тогда было, как раз, стильномодномолодёжно получать аккаунты читателей.

Ответить
–1
Развернуть ветку
Общий череп

А кто вообще сказал, что он обязан быть активным пользователем Хабра? Человек нашёл уязвимость, и рассказал об этом на популярном сайте (где его точно бы заметили). Мне это кажется вполне нормальным.

Ответить
3
Развернуть ветку
Общий череп

Сноуден, ты ли это?

Ответить
–11
Развернуть ветку
Общий череп

Согласно его исследованию, создатели сервиса модифицировали алгоритм Диффи-Хелмана, но эта модификация потенциально позволяет серверу Telegram узнать ключ от секретного чата.

Чушь. Уязвимость состоит в том, что сервер может провести атаку Man-in-the-Middle, а пользователи об этом никак не смогут узнать, никакая визуализация ключа не поможет.

Ответить
0
Развернуть ветку
Общий череп

http://thoughtcrime.org/blog/telegram-crypto-challenge/
100 кусков за перевод -- сильно.

Ответить
0
Развернуть ветку
Общий череп

Так почему не 200 штук ему? Так и не понял.

Ответить
0
Развернуть ветку
Общий череп

200 за взлом переписки, а его не было.

Ответить
4
Развернуть ветку
Общий череп

нашли еще одну уязвимость. http://habrahabr.ru/post/206900/

Ответить
0
Развернуть ветку
Общий череп

почему-то обрезался якорь, попробую еще раз:
http://habrahabr.ru/post/206900/#comment_7130526

Ответить
0
Развернуть ветку
Читать все 19 комментариев
null