Resposta ao artigo do Manual do Usuário

O Texto abaixo foi escrito pelo nosso amigo Gabriel, em resposta ao artigo postado no blog Manual do Usuário, na data de 10/06/2019. No final, um artigo elaborado pela própria equipe do Telegram sobre como manter seus chats seguros.

“Até onde sei, não é possível extrair um extrato do histórico de sessões já terminadas no Telegram, o que garante o anonimato do invasor junto à vítima.”

É possível fazer algo melhor, conseguir extrato dos últimos endereços de IP que acessaram a conta. Usando Telegram desktop vá em Configurações > Avançado > Exportar dados (marque a opção para receber outros dados). E pronto! No arquivo que você receberá terá uma lista dos últimos endereços de IP a acessarem a conta. Mas isso não seria nem necessário, o próprio Telegram ja envia o endereço de IP e localização de novos logins para todos os dispositivos.

É altamente provável que tenha ocorrido um ataque de SIMSwap (que é absurdamente comum no Brasil). Quebrar a criptografia das mensagens trafegando entre usuários do Telegram? É algo que, pelo o que sabemos, nunca ocorreu. Ataques de SIMSwap? Ocorrem no Brasil diariamente. E isso é um defeito das operadoras de telefonia brasileiras.

“Também estão descartados ataques do tipo “SIMSwap, a famosa (e incorretamente chamada) “clonagem” do celular, como o que vitimou o próprio Moro na última quinta (5). (A reportagem do The Intercept Brasil reitera por diversas vezes que o material que obtiveram não tem relação com este episódio.) Quando algo do gênero ocorre, o titular do número perde o sinal da operadora.”

Primeiramente, é possível para a operadora de telefonia interceptar um SMS sem realizar uma mudança de chip. Concordamos que o ataque sofrido por Moro no dia 5 foi um ataque de SIMSwap. O ataque contra Danilo Gentili também foi de SIMSwap. Ora, vamos acreditar que 4 dias após uma tentativa de invasão de SIMSwap o The Intercept, coincidentemente, também conseguiu conseguiu ter acesso as conversas só que de outra forma? Acredito que não.

“(…) a criptografia de ponta a ponta é algo valioso à privacidade das pessoas: ela blinda interceptações.”

A criptografia ponta a ponta apenas garante que os donos dos servidores do WhatsApp não terão acesso as mensagens. O Telegram, em chats não secretos, criptografa sim por padrão as mensagens usando SHA-256. Por padrão o que ocorre no WhatsApp é: Remetente > Destinatário. Já no Telegram: Remetente > Telegram > Destinatário. Isso quer dizer que o Telegram têm acesso as conversas (que não ocorreram em chats secretos). Não quer dizer que o Telegram é vulnerável a ataques do tipo man-in-the-middle ou a qualquer outro tipo de interceptação de mensagens.

Ao contrário do que a matéria pareceu defender, o Telegram é sim absurdamente mais seguro que o WhatsApp:

• O WhatsApp compartilha metadados das suas conversas com autoridades (isso inclui IP, número, para quais contatos as mensagens foram enviadas, etc). O Telegram não.
• O WhatsApp não possui criptografia no banco de dados local das mensagens. O Telegram possui.
• O WhatsApp envia notificações das mensagens usando o sistema de push da Google, permitindo a Google ter acesso ao seu histórico de conversas. O Telegram, em chats secretos, não.
• O WhatsApp compartilha os dados de digitação de teclados como Gboard e Swift Key. O Telegram, em chats secretos, não.
• Por padrão o WhatsApp envia as conversas para a iCloud e para o Google Drive sem qualquer tipo de criptografia. O Telegram não.

E se levarmos em consideração a empresa que controla o WhatsApp, a situação fica pior ainda:

• O Facebook usou seu app para coletar todos os dados possível sobre seu telefone (isso inclui registros de ligações e conteúdo dos SMSs).
• Salvou senhas em arquivos .txt que poderiam ser acessado por qualquer um de seus funcionários.
• Pediu a senha do E-mail como forma de confirmar que o usuário era realmente dono dele.
• Não satisfeito, o Facebook aproveitou a senhas dos E-mails para furtar a lista de contatos dos E-mails.
• O Facebook compartilha os metadados do WhatsApp com próprio app do Facebook.

Se eu compartilhar o código de login do Telegram com alguém através do próprio Telegram, o app automaticamente detecta e revoga o código de login, tornando muito mais difícil que ocorram ataques de engenharia social por meio do Telegram. Além disso, o Telegram informa o endereço de IP e a localização de qualquer pessoa que tentar fazer login na sua conta.

Porque foram as conversas do Telegram as vazadas e não as do WhatsApp?

Acredito primeiramente porque os procuradores utilizavam o Telegram e não o WhatsApp para se comunicar. Segundo, o WhatsApp possui um apelo muito maior para que os usuários habilitem a verificação em duas etapas.

Fonte.

Mantendo seus chats seguros

A criptografia do Telegram protege suas mensagens quando elas são transmitidas pela Internet e quando estão na nuvem criptografada do Telegram. Os chats secretos são protegidos por uma camada de criptografia de ponta a ponta, e chats na nuvem pela infraestrutura do Telegram distribuída entre jurisdições.

Nos 6 anos de existência, o Telegram compartilhou 0 bytes de dados com terceiros. China, Irã e Rússia estão atualmente bloqueando o aplicativo porque não puderam acessar dados de usuário.

Nenhuma maneira de diminuir a eficiência da criptografia do Telegram foi descoberta, apesar do escrutínio pesado. Os aplicativos do Telegram são de código aberto, o que permite que os pesquisadores verifiquem que não há backdoors.

Veja algumas dicas sobre como proteger ainda mais sua conta e seus dados:

Verificação em Duas Etapas: senha da nuvem

Por padrão, você pode usar um código SMS enviado para o seu número de telefone para fazer login no Telegram em um novo dispositivo e acessar seus chats na nuvem. Esse é um padrão do setor para fazer login em aplicativos de mensagens. No entanto, se você tiver motivos para não confiar em sua operadora de celular ou em seu governo, ou simplesmente desejar mais controle, aconselhamos proteger seus chats na nuvem com uma senha adicional.

Para fazer isso, acesse Configurações> Privacidade e Segurança > Verificação em Duas Etapas e escolha uma senha forte.

Chats Secretos

Se você quiser ter certeza de que algumas mensagens não fazem parte do histórico de chat presente em vários dispositivos do Telegram, você pode experimentar os Chats Secretos. Eles usam criptografia de ponta a ponta para que as mensagens neles possam ser acessadas apenas pelos dois dispositivos participantes. Mesmo se eu conseguir interceptar seu código SMS, roubar sua senha e fazer login na sua conta, não verei seus Chats Secretos.

Você também pode ativar um timer de autodestruição para Chats Secretos. Uma vez visualizadas, as mensagens desaparecerão em ambas as extremidades depois que o tempo acabar.

Seu dispositivo

Lembre-se de que, em todos os cenários, seu dispositivo é o maior guardião de seus dados. Nenhum aplicativo de mensagens pode proteger você das pessoas que têm acesso ao seu dispositivo.

Para proteger seu dispositivo contra malware, mantenha seu sistema operacional atualizado para a versão mais recente e nunca instale aplicativos de fontes suspeitas. Também é aconselhável usar apenas aplicativos oficiais do Telegram.

Fonte.