Қауіпсіз болашақ үшін краудсорсиң

ЖАҢАРТУ: Telegram Bug Bounty Program жайлы соңғы мәліметтерді осы беттен көріңіз.

Бірнеше күн бұрын біз Telegram-ның қауіпсіздігін жақсарту үшін байқау жарияладық және алғашқы нәтижелерге қол жеткізгенімізге қуаныштымыз. Ресейлік IT бірлестіктің бір қолданушысы біздің құпия чат іске асыруымызда әлеуетті осалдықты анықтады. Бұл оған трафикті дешифрлеуге және байқауда жеңіске жетуге көмектеспесе де, оның жетістігі назар аударуға және үлкен сыйақыға лайық.

habrahabr қолданушысы x7mz Telegram серверін үшінші тараптың зиянды субъектісі басып алған жағдайда, ол құпия чатқа қатысушы әр клиентке әртүрлі nonce нөмірлерін жібере алатынын анықтады.

Бұл nonce нөмірлері құпия чат кілттеріне көбірек кездейсоқтық қосу үшін енгізілген болатын, негізінен ұялы құрылғылардағы кездейсоқ генераторлардың әлі ашылмаған осалдықтарына байланысты (мысалы: осындай бір осалдық осы тамызда Android телефондарында табылды).

Айтылғандай, бұл шешім ортадағы адам шабуылы (MITM) жағдайында бұндай шабуыл басып алынған сервер арқылы жасалса, ортақ құпия кілттің визуалды көріністерін бірдей етуге мүмкіндік берер еді. Әрине, сервер әрқашан Telegram бақылауында болғандықтан, бұл теориялық қауіп ешқашан жүзеге аспады.

Әлеуетті әлсіздікті тапқан әзірлеуші 100 000$ сыйақы алды. Біз онымен байланысып, жүлдені қалай алғысы келетінін анықтадық.

Осыған ұқсас сыйақы MTProto қауіпсіздігін бұзудың нақты жолдарын тапқан кез келген адамды күтеді, (Telegram трафигін дешифрлеу үшін 200 000$ көлеміндегі ерекше сыйақы бар). security@tg.pzb.workers.dev/static мекенжайына жіберілген және кодқа немесе конфигурацияға өзгеріс енгізуге әкелетін барлық ұсыныстар сыйақы алуға лайық, олардың көлемі мәселенің маңыздылығына қарай 500$-дан 100 000 немесе одан да көп болуы мүмкін.

Бұл оқиға протокол спецификациясын және бастапқы кодты ашық ұстаудың маңыздылығын көрсетеді, осылайша бүкіл әлемдегі мыңдаған дарынды адамдар әлеуетті осалдықтарды табуға және протоколды жақсартуға көмектесе алады.

Әлсіз тұстарды іздеуді жалғастырайық. Бірге біз Telegram-ды бұзылмайтын етеміз.

2013 жылы 21 желтоқсан
Telegram командасы