• РЕГИСТРАЦИЯ

Для многих протестующих уже слишком поздно

Colonel Cassad
25 августа 10:29 12 3922


Схема эксплоита. Слева направо:
1) скрипт генерирует контакт-лист с 10 000 телефонных номеров по порядку,
2) добавляется в группу протестующих,
3) Telegram сообщает, какие пользователи из контакт-листа уже есть в группе,
4) скрипт генерирует новый контакт-лист и повторяет вышеописанные действия, пока не переберёт все номера


Протестующие в Гонконге обнаружили, что Telegram показывает телефонный номер независимо от настроек конфиденциальности

«Защищённый» мессенджер Telegram с шифрованием коммуникаций предположительно помогает сохранить анонимность пользователей — и поэтому широко используется участниками протестных акций в Гонконге. Но в последние дни среди них поднялась настоящая паника: по каналам распространяется сообщение, что у полиции есть способ определять телефонные номера пользователей Telegram.

Компания Telegram признала баг с утечкой конфиденциальных данных. Она также пояснила, что это не баг, а фича.

Схема предположительных действий полиции показана на скриншотах вверху:

Полиция генерирует контакт-лист с тысячами телефонных номеров по порядку.
Добавляется в группу протестующих.
Telegram сообщает, какие пользователи из контакт-листа уже есть в группе.

Эту схему можно легко автоматизировать для перебора большого количества телефонных номеров.

Активисты говорят, что таким способом можно узнать номера телефонов даже в том случае, если пользователь указал в настройках Telegram никому не показывать свой телефонный номер.

Привязка к телефонному номеру — один из главных недостатков мессенджера, который пытается сохранить анонимность пользователей. У властей есть богатые инструменты для деанонимизации пользователей по их телефонным номерам, для отслеживания их перемещений, определения других телефонных номеров, которые всегда находятся рядом и так далее.

Основную информацию правоохранительные органы могут сразу запросить у телекоммуникационной компании.



После появления информации об эксплоите Telegram информацию проверили и подтвердили несколько специалистов по информационной безопасности.

«Конфиденциальность телефонных номеров [Telegram] обсуждалась с начала этого года, — говорит Чу Ка-Чонг (Chu Ka-cheong), директор Интернет-общества Гонконга и один из инженеров-программистов, которые независимо подтвердили эту ошибку. — Мы знали, что установка конфиденциальности номера в значение «Мои контакты» позволит людям из контакт-листа видеть ваш номер, поэтому активисты всегда просили людей установить настройку «Никто», ожидая, что это скроет номер телефона в публичной группе. До сегодняшнего дня мы не знали, что установка «Никто» по-прежнему позволит пользователям, которые сохранили свой номер телефона в адресной книге, сопоставить номер телефона с общедоступными членами группы. Это стало открытием для всех нас».


Установка «Никто» по-прежнему позволит пользователям, которые сохранили свой номер телефона в адресной книге, сопоставить номер телефона с общедоступными членами группы

После раскрытия этого бага пользователи начали активно покидать группы протестующих в Telegram. Активисты беспокоятся, что это затруднит координацию будущих демонстраций и действий.

Чу сказал, что на данный момент нет обходного пути, чтобы избежать этой утечки данных. Протестующие советуют перейти на одноразовые SIM-карты, зарегистрированные анонимно или на чужое имя вместо свои основных телефонных номеров. Но очевидно, что основная масса пользователей не сможет этого сделать.

К сожалению, для многих пользователей уже слишком поздно.

«Мы подозревали, что некоторые спонсируемые правительством злоумышленники использовали эту ошибку и использовали её для вычисления гонконгских протестующих, в некоторых случаях создавая непосредственную опасность для жизни протестующих», — говорит Чу о так называемых «титушках», то есть бандитах, которые приехали в Гонконг из материкового Китая и выполняет неформальные задания спецслужб, в том числе разбираясь с активистами.

Чу Ка-Чонг говорит, что Telegram сейчас является основным каналом коммуникации, и отказаться от него очень сложно: «Переход на другое приложение, такое как Signal, не является для нас жизнеспособным вариантом, — сказал он. — Потому что способ общения протестующих сильно зависит от поддержки очень больших групп […], у которых Telegram имеет действительно хорошую поддержку», — сказал Чу.

«С другой стороны, группы Signal или Wire ограничены несколькими сотнями человек, а Signal в любом случае показывает всем ваш номер телефона. Некоторые из нас уже используют Signal и Wire в небольшой закрытой группе, но общественные обсуждения и объявления будут по-прежнему сильно полагаются на Telegram».

Ответ Telegram

Вчера издание ZDNet обратилось за комментариями к Telegram, и компания изучила проблему: «У нас есть защитные меры, чтобы предотвратить импорт слишком большого количества контактов — именно для предотвращения такого сценария», — сказал представитель Telegram [фактически подтверждая, что баг с утечкой конфиденциальных данных является фичей]. — Наши данные показывают, что бот на скриншотах был заблокирован для импорта контактов через две секунды — и ему удалось успешно импортировать 85 контактов (а не 10 000). После того, как вы получите запрет на импорт контактов, вы можете добавить максимум пять новых номеров в день. Остальные контакты, которые вы добавляете, будут выглядеть так, как будто они не используют Telegram, даже если используют».

Однако специалисты говорят, что это ограничение можно обойти. Злоумышленник с богатыми ресурсами, вроде правительственной спецслужбы, может легко использовать несколько ботов, а не один — и в конечном итоге импортируют всю последовательность телефонных номеров, которую хочет охватить.

Суть проблемы в том, что сами пользователи не ожидали такого подвоха от мессенджера. Они ожидали, что настройка «Никто» запретит просмотр их телефонных номеров, независимо от того, были они в списке контактов или нет.

Но Telegram сказал, что эта конкретная настройка работает не так, и она никогда так не работала: «Нет никакой ошибки: так же, как WhatsApp или Facebook Messenger, мессенджер Telegram основан на телефонных контактах. Это означает, что вы должны иметь возможность видеть свои контакты, которые также используют приложение, — говорится в сообщении компании. — Настройки номера телефона контролируют видимость номера телефона для пользователей, у которых НЕТ вашего номера (в отличие от WhatsApp, который показывает ваш номер телефона всем в любой группе)».

Таким образом, Telegram подтверждает, что как только ваш номер телефона будет добавлен в любой список контактов, этот человек (злоумышленник) сможет ассоциировать его с «анонимным» ником пользователя, независимо от настроек.

Telegram предупреждает пользователей, что настройка «Никто» на самом деле действует не так, как они думают. И это не ошибка, всё работает как положено.

Получается, что разработчики Telegram (как и большинства остальных мессенджеров) умышленно пожертвовали анонимностью пользователей ради роста социального графа. Через адресные книги пользователям легче устанавливать контакты со своими знакомыми. Это помогает «вирусному» распространению мессенджера и росту аудитории.

https://habr.com/ru/news/t/464... - цинк

Майору Дурову присвоено внеочередное звание подполковника за большой вклад в укрепление отношений между органами безопасности России и Китайской Народной Республики.

Если драка неизбежна - бей первым

Многие, особенно оппозиционно настроенные товарисчи, до сих пор недоумевают:Зачем Россия ввела свои ВКС в Сирию? Чем могли угрожать России исламистские радикалы, воюющие против Башара А...

Чубайс с криком «Слава Украине!» сбежал из студии. Но этим дело не закончилось (психолого-политологический разбор видео)

✔ Пару дней назад в студии радиостанции «Комсомольская правда» произошёл достаточно курьёзный случай. Сошлись было в рубке (программа так называется – «Радиорубка») два московских высок...

Про тех, кто в праздник со слюною на зубах

Некоторых беспрестанно и не по-детски корёжит от российского позитива. Вот, казалось бы, обычная для любой страны ситуация - день рождения всенародно избранного Президента. Даже для лют...

Ваш комментарий сохранен и будет опубликован сразу после вашей авторизации.

0 новых комментариев

    Colonel Cassad Вчера 21:46

    Кризис 1991 года в воспоминаниях

    Кризис 1991 года, как это было в воспоминаниях. Описаны уже на смарт лабе разные кризисы и 2008 и 1998 но еще никто не писал о 1990-1993 года. Итак первые признаки и приближение кризиса в воспоминаниях. 1990 год весна ничего не предвещало неприятностей, кроме одного случая у хлебного магазина. К хлебному подкатил мужик на мотоцикле с люлькой и начал в мешк...
    901
    Colonel Cassad Вчера 20:45

    Россия стянула к границам войска для ракетного удара

    Русские агрессоры совсем озверели. Стреляют не вынимая спутников из ракет. https://colonelcassad.livejournal.com/5351451.html ...
    3456
    Colonel Cassad Вчера 20:42

    Минские фантазии

    1. Очередные переговоры об очередной попытке разведения войск в Петровском и Золотом сорваны, так как дату не смогли согласовать. 2. Кучма заявил, что Минские соглашения могут быть выполнены, если предварительно ликвидировать ДНР и ЛНР. 3. Также Украина потребовала, чтобы ДНР и ЛНР вышли из рублевой зоны и платили налоги в украинский бюджет. 4. В Минске также н...
    4374
    Colonel Cassad Вчера 18:25

    Портрет трудового мигранта 2018

      Надо понимать это официальная статистика без учета нелегальной миграции. Узбеки без высшего образования явно доминируют. ...
    1124
    Colonel Cassad Вчера 17:38

    Манбидж наш

    Сирийская армия заняла Манбидж. Помимо поселков вокруг города, где еще вчера появились сирийские опорники, сегодня сирийские войска зашли в город в сопровождении российских военных. МО РФ официально подтвердило, что Манбидж контролируется сирийской армией. ВКС РФ еще со вчера начали полеты над регионом. Российские военные рядом с Манбиджем. Бро...
    3153
    Colonel Cassad Вчера 16:26

    Эквадор: восстание против МВФ и ренегата Морено

    Подробно о причинах восстания в Эквадоре. Его предпосылках, формальном поводе и раскладе сил. Эквадор: восстание против МВФ и ренегата Морено Массовые антиправительственные выступления в Эквадоре, как бы ни старались их замолчать СМИ крупного капитала и империалистических правительств, привлекли к этой стране внимание всего мира. В последние десятилетия, сто...
    1223
    Colonel Cassad Вчера 14:17

    Первый штраф за фейковые новости

    В России начала действовать практика наказания за размещение фейковых новостей. Занятно, но первым под закон попала программа Караулова про майдан. Судебный участок мирового судьи № 157 Хорошевского района назначил первые в России административные штрафы по статье КоАП о фейковых новостях. Как сообщает корреспондент ТАСС из зала суда, за злоупотребление свобод...
    1376
    Colonel Cassad Вчера 14:08

    Есть бабки «Фонда Кино», нам их обязательно дадут

    Сценарист Алексей Караулов о проблемах российского кино. Я сценарист, в основном пишу для сериалов, хотя попадаются и полнометражные фильмы. 7 ноября выходит фильм «Девятая», к которому я приложил руку. Правда, не знаю — буду я в титрах или нет. Титры — вообще отдельная тема. Сейчас пытаюсь создать write-room – снял офис, ремонтиру...
    566
    Colonel Cassad Вчера 14:05

    О соглашении курдов с Асадом и Россией

    Так как читатели просят более подробно осветить позицию курдов в отношении идущих событий и их взгляд на события Рожаве, то ниже, официальная позиция PYD на тему соглашений с Асадом и войны с Турцией. Глава международного отдела партии «Демократический союз» Салих Муслим рассказал новостному агентству «Фратньюс» о соглашении между сирийс...
    1533
    Colonel Cassad Вчера 12:15

    По стопам Порошенко

    По стопам Порошенко Деятельность режима Зеленского ожидаемо начинает все больше и больше походить на действия режима Порошенко. Имитация «мирного урегулирования на Донбассе», заигрывание с неонацистами, подавление неугодных СМИ. И даже показушные визиты Зеленского на фронт так знакомы. Депутаты и министры «Слуги народа» уже не стесняютс...
    1222
    Colonel Cassad 14 октября 20:09

    Войскам США отдан приказ покинуть Северную Сирию

    Агенство France Press передает, что всем американским войскам в Северной Сирии отдан приказ покинуть страну. Приказ не распространяется на гарнизон базы в Ат-Танфе на юге Сирии. Пентагон подтвердил, что вывод войск из Северной Сирии, в соответствии с приказом Трампа, уже начался. Британское правительство готовится вывести свои войска из Северной Сирии в самое бли...
    1513
    Colonel Cassad 14 октября 16:56

    Переговоры в Эр-Рияде

    Путин прилетел с визитом в Эр-Рияд. Среди основных тем, желание саудитов купить С-400, дабы усилить свое ПВО после недавней истории с очередным провалом ЗРК "Пэтриот". Разумеется, только лишь С-400 дело не ограничится. Наверняка будут обсуждать отношения Саудовской Аравии с Ираном, ситуацию в Сирии и ценообразование на нефтяном рынке. ...
    2333
    Colonel Cassad 14 октября 16:55

    Продвижение САА в Рожаве. 14.10.2019. День

    На 14 часов дня 14 октября: 1. САА контролирует поселки к северо-западу и северу от Манбиджа, вплоть до моста Кара-Казак через Евфрат (там стоят американцы), Табку, авиабазу Табки, дамбу Табки, Аль-Мансуру, Айн-Исса, базу 93-й бригады рядом с Айн-Исса, Таль-Темер, Хасаке и Камышли. В ближайшиме часы этот список продолжит расширяться, готовится переправа сирийс...
    2330
    Colonel Cassad 14 октября 16:30

    Я актер из Украины. Выходил на майдан!

    Украинский актер Юрий Марк сообщает из европейской Польши: Сломанный нос и следы сдавливания на шее - так со мной рассчитывался руководитель пиццерии, в которой я зарабатывал деньги на жизнь в Польше. Я актер из Украины, более 20 лет на театральной сцене. Выступая за европейские ценности выходил на Майдан в 2014 году. Три года назад, не видя положительных ...
    2876
    Colonel Cassad 14 октября 16:26

    Пакистанский посредник

    В Иране с визитом побывал премьер-министр Пакистана Имран Хан. Во время встречи с аятоллой Хаменеи и президентом Ирана Роухани, помимо прочих вопросов, обсуждался главный - посредническая роль Пакистана в деле окончания Йеменской войны. Пока Багдад занят подавлением кровавых протестов в столице (более сотни убитых и тысячи раненых), Пакистан может перехватить ро...
    1249
    Colonel Cassad 14 октября 13:06

    "Рудольф Гесс - помощь и сила в боях"

    Это просто прекрасно. Премьер-министр Украины Гончарук засветился на концерте неонацистской группы "Секира Перуна". "Рудольф Гесс - помощь и сила в боях". Чем известна группа "Сокира Перуна", на чей концерт пришел Гончарук Вчера вечером премьер-министр Алексей Гончарук пришел на выступление ультраправой рок-группы "Сокира ...
    1659
    Colonel Cassad 14 октября 12:39

    Конец незалежной Рожавы

    Северная Сирия переживает колоссальные изменения. За ночь под контроль сирийской армии перешли: 1. Город Табка. 2. Авиабаза Табка (где еще недавно сидели американцы) 3. Плотина Табка. 4. Город Таль-Тамр в провинции Хасаке. 5. Плюс французские войска выводятся из Сирии. Елисейский дворец официально объявил о том, что в самое ближайшее время французы уйдут. ...
    2736
    Colonel Cassad 14 октября 04:03

    Гонка за Манбидж

    Выжимка из Телеграм-трансляции по Манбиджу для тех, кто не использует Телеграм События развиваются очень быстро, с одной стороны сохраняется туман войны и неопределенность закулисных договорняков с участием США, России, Турции и Сирии, с другой стороны - информация льется полноводной рекой, как будто прорвало застарелую дамбу. Все эти события будут иметь как...
    3533
    Colonel Cassad 14 октября 02:18

    Операция "Peace Spring". День 5

    Коротко по развитию турецких операций в Рожаве  1. На вечер 13 октября турецкая армия контролирует почти весь Рас-аль-Айн и часть Таль-Абьяда, а также кусок трассы М4, что нарушает для курдов возможность снабжения своих войск в приграничных районах. Приграничного сражения по существу не получилось. За пределами крупных городов полноценный фронт у курдов п...
    2194
    Colonel Cassad 13 октября 20:20

    Курды заключили сделку с Асадом

    Ряд сирийских источников и журналистка "Телеграф" Жози Энсор сообщают, что SDF заключили сделку с Дамаском. Как заявляет Энсор, официальный представитель коалиции заявил ей, что сделка заключена, но не объяснил ее подробности. Американцы были явно в курсе этой сделки и как минимум не препятствовали ее заключению, о чем курды просили Вашингтон совсем н...
    6066
    Служба поддержи

    Яндекс.Метрика