Исследователи из разных стран в составе международной группы обнаружили четыре криптографические уязвимости в популярном мессенджере Telegram. Обнаруженные уязвимости варьируются «от технически тривиальных и простых в эксплуатации до более продвинутых и представляющих теоретический интерес».
Профессор Швейцарской высшей технической школы в Цюрихе Кенни Патерсон (Kenny Paterson), принимавший участие в исследовании, считает, что четыре ключевых вопроса безопасности в Telegram можно было бы решить «лучше, безопаснее и надёжнее, если бы сервис использовал стандартный подход к криптографии».
Наиболее серьёзная из обнаруженных уязвимостей получила название «crime-pizza». Её эксплуатация позволяет злоумышленнику менять порядок сообщений, поступающих от клиента на облачный сервер Telegram. Использование ещё одной уязвимости позволяет определить, какие из сообщений шифруются сервером, а какие на клиентском устройстве. Отмечается, что для эксплуатации этой ошибки необходимы особые условия.
Напомним, в мессенджере Telegram используется собственный протокол шифрования MTProto, а не более широко распространённый Transport Layer Security. В прошлом некоторые исследователи уже говорили о скептическом отношении к MTProto и нынешняя работа подтверждает, что протокол не лишён недостатков. «Для большинства пользователей непосредственный риск невелик, но эти уязвимости подчёркивают, что Telegram не дотягивает до криптографических гарантий, которые обеспечивают другие распространённые криптографические протоколы», — говорится в заявлении исследователей.
Стоит отметить, что разработчики Telegram оперативно отреагировали на упомянутое исследование и уже выпустили патч, исправляющий все четыре уязвимости. В компании также подчеркнули, что выявленные недостатки безопасности не были критическими. «Мы приветствуем любые исследования, которые помогут сделать наш протокол ещё более безопасным. Результаты этого исследования помогли повысить безопасность нашего протокола», — сказано в сообщении Telegram.
Источник: telegram
