Почему телеграм небезопасен?

Telegram вышел в свет в 2013 году. Реклама сего чуда тогда (да и сейчас тоже) сопровождалась громкими заявлениями о безопасности переписки, о строгом соблюдении конфиденциальности данных, иностранной юрисдикции и передаче данных пользователей исключительно по решению суда.

Практически сразу же данный мессенджер стал популярным среди торговцев наркотиками, персональными данными и различных дельцов, оказывающих криминальные услуги. По популярности среди наркоторговцев телеграм практически сравнялся с такими ресурсами, как hydra, matanga, wayaway, ramp и другими. У большинства продавцов на форуме "Рутор" имеется аккаунт телеграм.

Кроме того, среди оппозиционно настроенных людей и различных политических диссидентов телеграм приобрел репутацию какого-то сверхнадежного мессенджера, защищенного от российских правоохранительных органов, созданного "жертвой режима и рейдерского захвата" либертарианцем Дуровым, которого власти вынудили покинуть страну. Естественно, что такая популярность телеграма среди подобных деятелей не могла не заинтересовать спецслужбы.

В 2017 году ФСБ потребовала у П. Дурова мастер-ключи для перехвата и расшифровки передаваемых сообщений. С этого момента начинается масштабный театрализованный спектакль, направленный на агрессивный пиар телеграма и укрепление его репутации как недоступного для спецслужб России. Дуров заявляет, что не будет сотрудничать с российскими правоохранительными органами.

С 2018 по 2021 год российские власти пытаются (или "пытаются"?) заблокировать дуровское поделие, но безуспешно. В это время Дуров громко кукарекает в сети, выставляя себя борцом за права человека и защитником приватности своих пользователей. За этот период телеграм обретает еще большую популярность, как среди простых обывателей, так и среди представителей не очень законопослушных деятелей, а также среди политических активистов. Общение и координация сторонников А.А. Навального (главного экстремиста и террориста России, личного врага В.В. Путина) почти полностью переходит в телеграм.

В 2019 году спецслужбы Гонконга спалились на вычислении пользователей телеграм через массовое сканирование телефонных номеров путем добавление их в список контактов, возможно использовался специально написанный клиент телеграм для этого. До этого случая в телеграме невозможно было полностью скрыть свой номер телефона. Например, если номер телефона Васи был записан в контактах у Пети, то Петя видел аккаунт телеграм Васи через свой клиент в любом случае. Под давлением общественности Дуров добавил возможность полного сокрытия номера телефона, сделав его доступным только своим контактам из белого списка. То, что другие спецслужбы на таком не были пойманы за руку, это совсем не значит, что они этим не пользовались. Вполне возможно, что ФСБ была составлена полная база всех российских номеров, имеющих аккаунт телеграм, за период с 2013 по 2019 год. Да и не все скрыли свой номер после этого случая, так что такой способ пригоден для использования и сейчас.

Во время российских парламентских выборов 2021 года П. Дуров соглашается на негласное сотрудничество с российскими властями и блокирует ботов Умного голосования. Ходят слухи, что российские госструктуры (РФПИ и лично С.Розенберг) вложили средства в телеграм.

Кроме этого, существуют слухи о специальном секретном API сервера телеграма для спецслужб, с помощью которого возможно получение любой информации о пользователях и содержимого переписки закрытых групп. Не зря исходный код сервера закрыт, значит есть что скрывать.

Казалось бы, все должны были понять, что Дуров продался и сотрудничает, но нет.

Симптом № 1: Закрытая криптография

Так ведь на гитхабе исходный код есть! Много альтернативных клиентов! Тоже открытых! В том то и дело, что клиентов. Исходный код сервера закрыт и никогда не публиковался. Что там набыдлокодили "лучшие олимпиадники" одному Дурову известно. Даже в случае обнаружения закладки, позволяющей подсмотреть номер телефона определенного пользователя, вычислить администратора анонимного канала, прочитать чью-то переписку и т.п., это всегда можно списать на баг. Ну ошиблись, бывает. Даже в программах управления полетами ракет баги случались, чем мы хуже? Код-то закрыт и понять, специально ли был оставлен баг или же это чья-то ошибка, не представляется возможным.

Симптом № 2: Приз за взлом

В 2013 году Дуров обещает 200 000 $ за взлом своего поделия https://tjournal.ru/tech/49078-durov-decifer-telegram. Сейчас сумма уже увеличена до 300 000 $ https://telegram.org/faq#q-what-if-my-hacker-friend-says-they-could-decipher-telegram-mes.

То, что телеграм еще не был публично и полностью взломан, скорее следствие принципа неуловимого Джо, чем подтверждение реальной надежности мессенджера. Настоящие специалисты в области криптографии (тот же Шнайер или Циммерман) пользуются проверенными средствами обеспечения анонимности и шифрования и им просто нет смысла тратить свое время на попытки взлома достаточно сложной системы из-за сомнительных обещаний. Случаи отказа или максимального усложнения выплаты bug bounty со стороны Дурова, говорят, бывали. А уязвимости в отдельных компонентах телеграма обнаруживались достаточно часто.

________________________________

А теперь самое интересное. Об этом не написано в ни в каких статьях, об этом вам не расскажут криптоаналитики и прочие консультанты по безопасности. Мы раскроем один из настоящих методов вычисления и деанонимизации российских (а может и не только) пользователей телеграм

________________________________

Предположим, что всем известна аббревиатура СОРМ (Система Оперативно-Разыскных Мероприятий). Это такой комплекс аппаратных средств, который позволяет ФСБ в реальном времени осуществлять прослушку на любом канале связи, будь то телефонная связь или Интернет. Создана еще в 90-ых и постоянно развивается и модернизируется. Исходя из материалов статьи https://habr.com/ru/news/t/465053 можно оценить возможности ФСБ по прослушиванию трафика в Интернете. Что касается телефонных звонков и СМС сообщений, то ФСБ и раньше могла в реальном времени прослушивать разговоры, просматривать СМС сообщения, так как все эти данные маршрутизируются через оборудование СОРМ, которое установлено у каждого российского оператора связи, а в комнату с этим оборудованием запрещено входить даже сотрудникаи оператора (доступ только для сотрудников ФСБ). Сейчас же операторы еще и обязаны хранить записи всех звонков и СМС сообщений на протяжении 6 месяцев. (https://ru.wikipedia.org/wiki/Закон_Яровой)

Как же происходит регистрация в телеграм? Пользователь вводит свой номер телефона, после чего ему приходит СМС с кодом подтверждения, например "Telegram code 12345".

СОРМ это фиксирует, срабатывает определенный триггер и запускается процесс установления и деанонимизации. Несмотря на то, что на фоне протестов в Гонконге в 2019 году Дуров добавил возможность скрыть свой номер телефона от всех, но вот новые аккаунты регистрируются со "стандартными" настройками приватности и пользователя возможно деанонимизировать путем внесения его номера в контакт-лист и синхронизации с телеграмом.

Настройки приватности свежесозданного аккаунта выглядят вот так. Телефон скрыт не от всех.

То есть, СОРМ видит, что определенный абонент регистрируется в телеграме, вносит его телефон в список контактов и через несколько секунд устанавливает аккаунт телеграм, имя и фамилию (если были указаны), username (если пользователь его указал), и самое главное – ID. ID – это такой уникальный цифровой код, который имеют любой пользователь, группа или канал. Он всегда публичный, он всегда постоянный и неизменный и его невозможно скрыть. Можно менять имена, скрывать и менять номера телефонов, аватарки, но iD останется тем же.

Пока свежезарегистрированный пользователь будет открывать окна настроек и добираться до опций конфиденциальности номера телефона, СОРМ его сдеанонит с потрохами и занесет его id в свою базу. Исходный код клиента открыт, а значит ФСБ может написать свой деанонящий клиент и интегрировать его в СОРМ. Что и было сделано.

А все заявления о безопасности и анонимности телеграма – всего лишь жалкий вскукарек.

Как страшно жить! Большой брат следит за нами? Ну да. А может все-таки возможно использовать телеграм анонимно? Конечно же возможно. В последнее время Дуров все больше показывает свое петушиное нутро и красноперую задницу. Не так давно он отключил возможность создания новых аккаунтов с компьютерных клиентов. Официальный клиент с сайта https://telegram.org прямо говорит, что регистрация с ПК-версии невозможна "попробуйте зарегистрироваться с телефона или планшета". Неофициальные клиенты показывают ошибку Internal server error, а то и просто не приходит СМС на телефон. Сделано это конечно же для упрощения деанонимизации пользователей. Мобильный клиент имеет возможность передать на сервер кучу идентифицирующей информации, такую как imei, imsi, mac-адреса wifi и bluetooth интерфейсов, модель телефона и много чего еще. Также на операционных системах Android и iOS сильно затруднена анонимизация приложений. Вроде есть ORBOT в режиме VPN, но он в любой момент может упасть, крашнуться, сегфолтнуться, а то и планировщик решит его закрыть, как излишне потребляющего оперативную память. Андроид он такой. На iOS все еще хуже. Также не забываем об вышеупомянутой идентифицирующей информации с телефона. Tor роутер – это хорошо, но опять же – идентифицирующая информация с телефона.

С компьютера зарегистрироваться невозможно, с телефона небезопасно.

Но мы же анонимусы! Неужели мы не сможем победить это чудо в перьях? Конечно же сможем! С помощью Android X86. Ждите вторую часть.