• РЕГИСТРАЦИЯ

Для многих протестующих уже слишком поздно

12 4314


Схема эксплоита. Слева направо:
1) скрипт генерирует контакт-лист с 10 000 телефонных номеров по порядку,
2) добавляется в группу протестующих,
3) Telegram сообщает, какие пользователи из контакт-листа уже есть в группе,
4) скрипт генерирует новый контакт-лист и повторяет вышеописанные действия, пока не переберёт все номера


Протестующие в Гонконге обнаружили, что Telegram показывает телефонный номер независимо от настроек конфиденциальности

«Защищённый» мессенджер Telegram с шифрованием коммуникаций предположительно помогает сохранить анонимность пользователей — и поэтому широко используется участниками протестных акций в Гонконге. Но в последние дни среди них поднялась настоящая паника: по каналам распространяется сообщение, что у полиции есть способ определять телефонные номера пользователей Telegram.

Компания Telegram признала баг с утечкой конфиденциальных данных. Она также пояснила, что это не баг, а фича.

Схема предположительных действий полиции показана на скриншотах вверху:

Полиция генерирует контакт-лист с тысячами телефонных номеров по порядку.
Добавляется в группу протестующих.
Telegram сообщает, какие пользователи из контакт-листа уже есть в группе.

Эту схему можно легко автоматизировать для перебора большого количества телефонных номеров.

Активисты говорят, что таким способом можно узнать номера телефонов даже в том случае, если пользователь указал в настройках Telegram никому не показывать свой телефонный номер.

Привязка к телефонному номеру — один из главных недостатков мессенджера, который пытается сохранить анонимность пользователей. У властей есть богатые инструменты для деанонимизации пользователей по их телефонным номерам, для отслеживания их перемещений, определения других телефонных номеров, которые всегда находятся рядом и так далее.

Основную информацию правоохранительные органы могут сразу запросить у телекоммуникационной компании.



После появления информации об эксплоите Telegram информацию проверили и подтвердили несколько специалистов по информационной безопасности.

«Конфиденциальность телефонных номеров [Telegram] обсуждалась с начала этого года, — говорит Чу Ка-Чонг (Chu Ka-cheong), директор Интернет-общества Гонконга и один из инженеров-программистов, которые независимо подтвердили эту ошибку. — Мы знали, что установка конфиденциальности номера в значение «Мои контакты» позволит людям из контакт-листа видеть ваш номер, поэтому активисты всегда просили людей установить настройку «Никто», ожидая, что это скроет номер телефона в публичной группе. До сегодняшнего дня мы не знали, что установка «Никто» по-прежнему позволит пользователям, которые сохранили свой номер телефона в адресной книге, сопоставить номер телефона с общедоступными членами группы. Это стало открытием для всех нас».


Установка «Никто» по-прежнему позволит пользователям, которые сохранили свой номер телефона в адресной книге, сопоставить номер телефона с общедоступными членами группы

После раскрытия этого бага пользователи начали активно покидать группы протестующих в Telegram. Активисты беспокоятся, что это затруднит координацию будущих демонстраций и действий.

Чу сказал, что на данный момент нет обходного пути, чтобы избежать этой утечки данных. Протестующие советуют перейти на одноразовые SIM-карты, зарегистрированные анонимно или на чужое имя вместо свои основных телефонных номеров. Но очевидно, что основная масса пользователей не сможет этого сделать.

К сожалению, для многих пользователей уже слишком поздно.

«Мы подозревали, что некоторые спонсируемые правительством злоумышленники использовали эту ошибку и использовали её для вычисления гонконгских протестующих, в некоторых случаях создавая непосредственную опасность для жизни протестующих», — говорит Чу о так называемых «титушках», то есть бандитах, которые приехали в Гонконг из материкового Китая и выполняет неформальные задания спецслужб, в том числе разбираясь с активистами.

Чу Ка-Чонг говорит, что Telegram сейчас является основным каналом коммуникации, и отказаться от него очень сложно: «Переход на другое приложение, такое как Signal, не является для нас жизнеспособным вариантом, — сказал он. — Потому что способ общения протестующих сильно зависит от поддержки очень больших групп […], у которых Telegram имеет действительно хорошую поддержку», — сказал Чу.

«С другой стороны, группы Signal или Wire ограничены несколькими сотнями человек, а Signal в любом случае показывает всем ваш номер телефона. Некоторые из нас уже используют Signal и Wire в небольшой закрытой группе, но общественные обсуждения и объявления будут по-прежнему сильно полагаются на Telegram».

Ответ Telegram

Вчера издание ZDNet обратилось за комментариями к Telegram, и компания изучила проблему: «У нас есть защитные меры, чтобы предотвратить импорт слишком большого количества контактов — именно для предотвращения такого сценария», — сказал представитель Telegram [фактически подтверждая, что баг с утечкой конфиденциальных данных является фичей]. — Наши данные показывают, что бот на скриншотах был заблокирован для импорта контактов через две секунды — и ему удалось успешно импортировать 85 контактов (а не 10 000). После того, как вы получите запрет на импорт контактов, вы можете добавить максимум пять новых номеров в день. Остальные контакты, которые вы добавляете, будут выглядеть так, как будто они не используют Telegram, даже если используют».

Однако специалисты говорят, что это ограничение можно обойти. Злоумышленник с богатыми ресурсами, вроде правительственной спецслужбы, может легко использовать несколько ботов, а не один — и в конечном итоге импортируют всю последовательность телефонных номеров, которую хочет охватить.

Суть проблемы в том, что сами пользователи не ожидали такого подвоха от мессенджера. Они ожидали, что настройка «Никто» запретит просмотр их телефонных номеров, независимо от того, были они в списке контактов или нет.

Но Telegram сказал, что эта конкретная настройка работает не так, и она никогда так не работала: «Нет никакой ошибки: так же, как WhatsApp или Facebook Messenger, мессенджер Telegram основан на телефонных контактах. Это означает, что вы должны иметь возможность видеть свои контакты, которые также используют приложение, — говорится в сообщении компании. — Настройки номера телефона контролируют видимость номера телефона для пользователей, у которых НЕТ вашего номера (в отличие от WhatsApp, который показывает ваш номер телефона всем в любой группе)».

Таким образом, Telegram подтверждает, что как только ваш номер телефона будет добавлен в любой список контактов, этот человек (злоумышленник) сможет ассоциировать его с «анонимным» ником пользователя, независимо от настроек.

Telegram предупреждает пользователей, что настройка «Никто» на самом деле действует не так, как они думают. И это не ошибка, всё работает как положено.

Получается, что разработчики Telegram (как и большинства остальных мессенджеров) умышленно пожертвовали анонимностью пользователей ради роста социального графа. Через адресные книги пользователям легче устанавливать контакты со своими знакомыми. Это помогает «вирусному» распространению мессенджера и росту аудитории.

https://habr.com/ru/news/t/464... - цинк

Майору Дурову присвоено внеочередное звание подполковника за большой вклад в укрепление отношений между органами безопасности России и Китайской Народной Республики.

Хорошо смеётся тот, кто смеётся последним

В "святые" для либералов 90-е над Россией смеялся весь западный мир, когда пьяный Ельцин дирижировал оркестром, экономика России катилась в пропасть, шла кровопролитная война в Чечне, м...

Сенсационные данные США по проживающим там уроженцам России

В середине прошлого года публиковал на АШ материал "Численность жителей США родом из России (реальность vs мульки либерды)." Это были официальные данные США по состоянию на 2017 год...

Союзное государство и Лукашенко

Я очень долго молчал по поводу того, что творит Лукашенко. Частично по старой памяти, потому что «Бацьку» в России и на Украине многие любят. Частично потому, что оставалась немалая надежд...

Ваш комментарий сохранен и будет опубликован сразу после вашей авторизации.

0 новых комментариев

    Colonel Cassad Сегодня 09:41

    Пролетел мимо "Буков"

    В Нидерландах установили, что в районе крушения MH17 не было ни одного комплекса "Бук" По данным Службы военной разведки и безопасности страны, рейс пролетал вне зоны досягаемости со всех установленных и используемых Украиной и Россией мест, где были размещены комплексы Крушение малайзийского Boeing на востоке Украины в июле 2014 года произошло в р...
    7207
    Colonel Cassad Вчера 19:09

    Отказ в эвакуации

    А сколько было вони по поводу эвакуации граждан РФ... https://colonelcassad.livejournal.com/5646231.html ...
    1659
    Colonel Cassad Вчера 16:54

    Алеппо наш

    В Москве сегодня проходят переговоры между РФ и Турцией о ситуации в Идлибе. К вечеру станет ясно - договорилист или нет. МИД Турции снова намекнул, что не хочет портить отношения с Россией и лучше договориться. Обзор вечером. https://colonelcassad.livejournal.com/5645861.html ...
    2043
    Colonel Cassad Вчера 12:18

    Американские пространства

    Госдеп анонсировал новую программу по подготовке украинских пропагандистов. Госдеп США анонсировал приём заявок на получение грантов для организации обучения «лидеров мнений» в сфере цифровых медиа на Украине. Потенциальные партнёры должны будут подготовить и провести серию обучающих мероприятий для заранее выбранных граждан, чтобы те могли...
    445
    Colonel Cassad Вчера 11:43

    Джихади Джулиан ведет подсчет

    Страдания Джихади Джулиана. 5 февраля. Эрдоган заявил, что Турция не позволит Асаду продвигаться в Идлибе. Количество городов занятых Асадом - 14. Количество городов отбитых у него - 0 Готов продолжать подсчет 16 февраля. Количество городов занятых Асадом - 96 Количество городов отбитых у него - 0 Некоторые турки утверждают, что я лгу о коли...
    1308
    Colonel Cassad Вчера 11:28

    Идеи Ленина в экономике современного Вьетнама

    О том, как ленинские идеи связанные с НЭПом была использована вьетнамской компартией для подготовки экономической модернизации страны. ОФИЦИАЛЬНАЯ ПОЗИЦИЯ КПВ ПО ДОЙ-МОЙ (НЭПУ) Публикуется справочно. Во Вьетнаме дело обновления началось еще до состоявшегося в 1986 году 6-го Съезда Компартии Вьетнама. “Дой-мой” (обновление) воспринимается ...
    245
    Colonel Cassad Вчера 09:50

    О ситуации в Боливии

    Сжатый, но весьма информативный обзор по ситуации в Боливии и о том, как местные социалисты планируют взять реванш у заправил фашистского переворота. Реклама Разумеется, Аньес и стоящие за ней генералы связанные с США, будут всеми силами мешать такому развитию событий, так что попытка реализовать никарагуанскую схему далеко не факт, что будет реализова...
    999
    Colonel Cassad 16 февраля 21:52

    САА срезала Анаданский выступ

    Коротко по развитию событий в Сирии. Перед предстоящими переговорами России и Турции по Идлибу. которые пройдут завтра в Москве, САА добилась нового крупного оперативного успеха. Обеспечив контроль над трассой М-5, сирийская армия буквально за несколько дней ликвидировала Анаданский выступ к северо-западу от Алеппо, заняв территории, которые Дамаск не контролир...
    7780
    Colonel Cassad 16 февраля 20:35

    Памятник Сулеймани в Ливане

    На границе Ливана с Израилем сооружен огромный памятник Кассему Сулеймани, который указывает пальцем в направлении Израиля в качестве напоминания. Памятник установлен активистами движения "Хезбалла" (видео открытия тут https://twitter.com/FrumNewsReport/status/1229046791817003008) Вывешенный рядом флаг Палестины служит напоминанием, что Сулеймани в ...
    597
    Colonel Cassad 16 февраля 19:45

    Приехал просить убежище, а ведет себя как ублюдок

    Продолжает набирать обороты история о вмешательстве "художника" Павленского в выборы мэра Парижа. После того, как он опубликовал компроментирующее видео на ставленника Макрона, который был вынужден сняться с выборов, сам Павленский был арестован, а вслед за ним была арестована его радистка сожительница.В парламенте Франции популярного за преде...
    2125
    Colonel Cassad 16 февраля 15:19

    Что будет делать СБУшник на развалинах Минских соглашений?

    О новом представители Украины в минском формате, который будет продолжать имитировать "стремление Украины к миру" и "обсуждать" минские соглашения. Что будет делать СБУшник на развалинах Минских соглашений? Далеко не все украинские силовики оказались мерзавцами, готовыми убивать и калечить своих вчерашних сограждан по указкам заокеанских ...
    1479
    Colonel Cassad 16 февраля 15:06

    Боевики уничтожили актерский состав фильма "Зеленый слоник"

    Легкая пропагандистская эклектика. Кто-то запустил фейк про налет на Хмеймим дронов боевиков, в ходе которого на базе якобы были потери. И лишь чуть позже, яростно репостившие это (поклонники боевиков и украинская диванная сотня в особенности), обратили внимание, что список указанных фамилий совпадает с фамилиями главных героев легендарного арт-хауса "Зеленый...
    1830
    Colonel Cassad 16 февраля 11:50

    Апостол американского мира

    Очень годный материал на тему политических воззрений Берни Сандерса, который может стать главным оппонентом Трампа на президентских выборах США в 2020-м году. У нас некоторые эльфы считают его "антивоенным деятелем", а в США его обвиняют в "социализме". Но недавние ответы Сандерса в опроснике NYT куда как лучше рисуют его реальный политический ...
    2350
    Colonel Cassad 15 февраля 17:34

    Развитие эстонскости и борьба с коноплей

    О борьбе за сохранение "эстонскости". Продолжение истории из этого материала https://colonelcassad.livejournal.com/5614026.html В эстонском медиа-пространстве продолжает разгораться громкий скандал вокруг бывшего главного редактора газеты Postimees Пеэтера Хельме. Сейчас он делает все, чтобы отстраниться от амплуа циничного педофила ...
    648
    Colonel Cassad 15 февраля 13:50

    Визуализация нового моста через Лену

    Отличная визуализация нового моста через Лену, который собираются строить в районе Якутска. Реклама Церемония подписания документов о начале строительства уже прошла https://rostec.ru/news/konsortsium-rostekha-i-gruppy-vis-podpisal-kontsessionnoe-soglashenie-po-mostu-cherez-lenu/ За наводку спасибо romandmives ...
    1081
    Colonel Cassad 15 февраля 13:49

    Недочитанный "Крест Чубайса"

    Бенис Айю о своем краткосрочном нахождении в заключении, после того как он был задержан по запросу Латвии, но вскоре освобожден. Освобожденный Айо Бенес, известный как "Черный Ленин", опубликовал открытое письмо, в котором похвалил действия полиции при его задержании и содержании под стражей в изоляторе в Яренске Архангельской области. Сначала его кр...
    1197
    Colonel Cassad 15 февраля 13:01

    Почему украинцы продолжают сидеть в российских соцсетях

    Украинский "Главред" разгоняет зраду - несмотря на всю борьбу с российскими соц.сетями, они по-прежнему пользуются большой популярностью на Украине. Хотя вполне очевидно (если рассматривать статистику в динамике с 2013 по 2020-й), что доля российских соц.сетей несколько снизилась. Но яно не так, как хотели инициаторы блокировки. Почему украинцы продол...
    3867
    Colonel Cassad 15 февраля 09:49

    Владимир Щербицкий и его время

    Интересная статья Юрия Латыша о руководителе Советской Украины Владимире Щербицком. Владимир Щербицкий и его время Главной заботой В. Щербицкого было народное хозяйство – прежде всего, стремительно развивавшаяся промышленность. За годы его пребывания на высших руководящих должностях в Украине в 5 раз выросли объемы промышленного производства, почти удв...
    1046
    Colonel Cassad 14 февраля 19:54

    Россия вмешивается в французские выборы

    Это опасно для демократии. https://colonelcassad.livejournal.com/5640532.html ...
    2476
    Colonel Cassad 14 февраля 15:38

    Наев не тонет, продолжая карьерный рост

    Наев не тонет, продолжая карьерный рост Замначальника Генштаба ВСУ генерал-лейтенант Сергей Наев возглавил Командование объединенных сил (КОС) ВСУ. Наев будет руководить силами во всех сферах их применения — на суше, в воздухе и на море. Структура КОС (аналог американского Комитета объединенных штабов) создана в ходе реформирования украинской армии по ста...
    680
    Служба поддержи

    Яндекс.Метрика