تسمح الثغرة الأمنية في Telegram بتجاوز كلمة المرور الخاصة بالكود المحلي من أي طول

من الماضي

في عملي السابق ، أثبتت مدى ضعف مكالمات Telegram السرية ، ونشرت دليل فيديو حول استعادة كود Telegram المحلي على GNU / Linux / Windows / Android (القرصنة Telegram midrange) .

اكتشفت مؤخرًا "استمرارًا للضعف": Android-Telegram [تجاوز كلمة المرور الخاصة بالكود المحلي بأي طول] (أضاف هجوم بالبصمة) .

بعض التعليقات التي سأدحضها ، وذلك بفضل تجربة عشوائية مع جهاز Android التجريبي.

"تم نشر مقال على هبر بعنوان" الضعف في Telegram يسمح لك بالتنازل عن الدردشات السرية. " العنوان بصوت عال ، نعم. "لقد قرأنا المادة ونوصي القراء بأن يفعلوا الشيء نفسه ، فقط من أجل الاهتمام."
"في إصدار Android من Telegram ، منذ عدة سنوات ، أصبح من الممكن تعيين كلمة مرور أبجدية رقمية معقدة بدلاً من رمز PIN"

مصدر

"في إصدار Android ، هناك فرصة لتعيين كلمة مرور عشوائية ، لأولئك الذين يحتاجون إلى رمز PIN المكون من 4 أرقام"

مصدر

"لا يمكنك استخدام دبوس ، ولكن كلمة المرور. وإذا كان لديك جذر أو محمل الإقلاع غير مؤمن أو هاتف غير مشفر ، فما نوع أمان البيانات الشخصية التي يمكنك التحدث عنها على الإطلاق؟! "

مصدر

"ثانياً ، يجب على الضحية عدم تمكين تشفير البيانات على جهازه"

المصدر

الاستطراد - كان هناك كل أنواع (ليس فقط النقد ، شيء أكثر صرامة) تعليقات "مضحكة" حول الهجوم على القانون المحلي ، على سبيل المثال ، مثل هذا التعليق:

"برقية techpod ، حشد من الأغبياء ... الذين لا يريدون أو لا يستطيعون إخبار Durov أن الأمر قد انتهى لكسر الأحاديث السرية ، إنه أمر ممكن ولا تحتاج إلى كسر بروتوكوله المتبجح"

مصدر

لن أعيد كتابة المقالة السابقة ، كل شيء موصوف بالتفصيل عن تكسير الكود المحلي في العمل السابق ، سأذكرك بالنقاط الرئيسية:
يتم كسر كود Telegram المحلي (دبوس) على الفور باستخدام JTR. الشروط: تحتاج الجذر. كما اتضح "اليوم" ، لا يتم حفظ تشفير Android دائمًا ؛ لن يحفظ وبدلاً من "دبوس" "كلمة المرور" الكود المحلي Telegram.

للاستحواذ على الدردشات السرية لـ Telegram ، كان يكفي نسخ "عدة ملفات" من جهاز الجذر إلى آخر ، للقضاء على الشفرة المحلية غير المشفرة باستخدام JTR. كانت سرعة الهجوم بالقوة الغاشمة مثيرة للإعجاب ، لكن لا تزال غير سريعة إلى حد "كسر رمز" كلمة المرور المحلية "ذات يوم"> 30 حرفًا. العثور على وسيلة لمهاجمة "رمز كلمة المرور رمز Android-Telegram" المحلي من أي طول وتعقيد.

خوارزمية الهجوم المقبل

لدينا الجذر. أداة مشفرة. كلمة المرور> 30 حرفًا على جانب الضحية ؛ جهاز بصمة الإصبع غير موجود "وهذا لا يهم".

• سرقة "بيانات البرقية الخارجية" (انظر المقال السابق) .
• قم بتهيئة فتح جهاز Android باستخدام بصمة على جانب الباحث (وضع المهاجم) .
• تثبيت مع GP Telegram والجمع بين "البيانات الخارجية".
• عندما تفتح Telegram على جهاز الباحث وعندما يُطلب منك إدخال كلمة مرور مكونة من 31 رقمًا (لإلغاء قفل الرمز المحلي) ، قم بإرفاق إصبعك. تم إلغاء قفل Telegram ، وستصبح جميع الدردشات / المراسلات السرية والسحابة متاحة للباحث.

ومن المثير للاهتمام ، أن Telegram فقط (من بين 4 تطبيقات تم اختبارها) تخضع لمثل هذا الهجوم. حاولت تنفيذ هجمات مماثلة على keepass2android دون اتصال ؛ سبيربنك على الانترنت. أموال Yandex - تتطلب تطبيقات Android كلمة مرور ولم تتفاعل مع بصمة الإصبع.


المؤامرة على الفيديو:

• تم إنشاء دردشة سرية بين Android على Virtualbox ، حيث لا يوجد جهاز "fingerprint" و Android 6. توجد محادثة بين "الإرهابيين".
• على Android Virtualbox ، قمت بتعيين الرمز المحلي على كلمة مرور مكونة من 31 رقمًا - تمنع تطبيق Telegram.
• أقوم بعمل نسخة احتياطية من حسابات Telegram-Virtualbox (ليس من الضروري نسخ جميع البيانات ، راجع المقال السابق) .
• أنا نسخ البيانات إلى السم.
• أنا آخذها من Poison Backup على Android 6.
• أقوم بتثبيت Telegram على Android 6 من GP.
• أحصل على جزء من "البيانات الخارجية" من نسخة Android 6 الاحتياطية إلى Android 6 المثبت.
• أقوم بتشغيل Telegram على Android 6 ، أحصل على طلب لإدخال كلمة مرور / بصمة. أطبق بصمة ، والتلغرام مقفلة ، كل المراسلات بين المدى المتوسط ​​والسحابة متاحة.
• أعد تشغيل Telegram ، وأدخل الرمز المحلي المكون من 31 رقمًا ، وتم إلغاء قفل Telegram أيضًا.

خذ

أزال بصمة على الهاتف الذكي ، أسقط الرقم السري للهاتف الذكي. تعيين دبوس جديد على الجهاز ، إنشاء بصمة جديدة. كررت التجربة (قمت بتنظيف Telegram بالكامل من الأجهزة / قمت بتثبيته) وبصمة الإصبع الجديدة ألغت مرة أخرى حساب Telegram لشخص آخر.

خدعة قبعة

لتجربة تردد أعلى استبدال الجهاز / الشروط. من جانب الضحية ، قام باستبدال الجهاز: VirtualBox بجهاز Android 4.4.2 (جهاز بصمة غير موجود) ؛ استبدال حساب Telegram مع آخر.
مهاجمة - دمرت وتنظيفها بالكامل Telegram من الجهاز. قم بإعادة ضبط / تغيير الدبوس على جهاز Android 6 ، وحذف بصمة الإصبع وإنشاء بصمة جديدة على الإصبع الآخر للكتلة.
قم بتعيين كلمة مرور مكونة من 14 رقمًا على رمز Android الضحية. لقد قمت بعمل نسخة احتياطية من البيانات الخارجية فقط.
على نظام Android 6 ، قمت بتثبيت Telegram من GP (موضع الباحث) وتراجعت البيانات الخارجية من Android-a 4.4.2 (النسخ الاحتياطي الكامل / النشر غير ممكن ، لأن تطبيق Telegram من الكمبيوتر اللوحي لن يتم تثبيته على الهاتف الذكي ، لذلك تثبيت التطبيق على Android 6 مع GP ، و ليس من النسخ الاحتياطي).
لقد أطلقت Telegram على Android 6 ، من المستحيل تسجيل الدخول إلى حساب شخص آخر: ظهر طلب رمز محلي (لا يزال متوقفًا بسرعة عالية في JTR) . لقد وضع إصبعه ، وأعيد فتح حساب شخص آخر مرة أخرى على جانب الباحث بكل المراسلات متوسطة المدى.

لتلخيص هذا الجزء من المقال.

Telegram عرضة لهجوم سرقة رئيسي ، ولكن أغرب شيء في برنامج المراسلة هو "البصمة المدمجة في التطبيق". ياندكس المال. سبيربنك على الانترنت. keepass2android حاليا - ليست عرضة لهجوم مماثل (كما هو موضح في هذه المقالة) . جميع التطبيقات المذكورة أعلاه لها وظيفة لإلغاء قفل التطبيق عن طريق بصمة الإصبع ، ولكن في Telegram تكون مدمجة بالقوة (لا يتم إيقاف تشغيل وظيفة "فتح بصمات الأصابع" / لا يمكن تكوينها على أداة ذكية لا تحتوي على جهاز بصمة) وتعمل عند استخدامها لأغراض خبيثة. في التطبيقات الأخرى ، لا تعمل وظيفة البصمات - الحماية من الاحتيال.

Telegram messenger هو ماسنجر جماعي ، يجب تطوير الحماية لربات البيوت وللجميع. لا يكون وجه الشركة صحيحًا عندما تنص على أن جميع المشكلات تأتي من حقيقة أن كل شيء في العالم قد تعرض للخطر ، باستثناء برنامج Telegram messenger. على سبيل المثال ، هذه ثغرة أمنية مذلة توضح خصوصية "لا" لمستخدمي أجهزة أندرويد ذات الجذور.
إذا فقدت جهازك الجذر (في بعض الحالات ، مشفر) ، يجب ألا تقلق بشأن الموارد المالية أو keepass2android دون اتصال بالإنترنت (لن يتم فتح كلمات المرور) . سيتمكن أي شخص يجد أداة ذكية من الوصول "فقط" إلى كل Telegram المدى المتوسط. لن يساعد مسح بيانات Telegram من جهاز جديد في حالة فتحه للمهاجم في وضع عدم الاتصال (تظل ذاكرة التخزين المؤقت في مكانها ، ولكن لا يحمي الرمز المحلي) .
هل تفهم حملة Telegram-Dubai PR هذه المشكلة؟ إذا كانت الإجابة بنعم ، فيجب ألا تعمل MF / TON على الأجهزة ذات الجذور! ولن يحفظ الأسئلة الشائعة الرسمية سمعة الشركة في حالة بدء تسوية الجهاز الشامل.
Telegram-Android v5.4 من 02.27.2019.

ملاحظة / لا تتعلق ببرقية

تمكنت أيضًا من تجاوز التشفير على جهاز Leagoo M8 Android والحصول على جميع البيانات ، بما في ذلك بيانات Telegram للوصول إلى المدى المتوسط (هجوم JTR ، أو هجوم بصمة الإصبع).

يحتوي مورد w3bsit3-dns.com على برامج ثابتة خاصة بهذه الأداة وعشرات البرامج الثابتة المخصصة (المجانية) . تثبيت TWRP. تنسيق جهاز Android Leagoo M8 ، توالت البرامج الثابتة Resurrection Remix 6 (واحدة من الأفضل في رأيي) . ذهبت إلى الإعدادات - الأمن - لتشفير البيانات. مشفرة. قبل تنزيل الأداة الذكية ، أصبحت كلمة المرور مطلوبة (في TWRP ، لم يتم تثبيت القسم الرئيسي بدون كلمة مرور) . لقد طلبت secro.img من البرامج الثابتة للسهم وكلمة المرور (كل التشفير) قد اختفت بأمان. TWRP الآن لديه القدرة على تحميل قسم دون إدخال كلمة مرور ، / البيانات / البيانات / ... أصبحت متاحة.
يعد تشفير محرك الأقراص المحمول (محرك أقراص فلاش microSD للأداة) نظرًا لتشفير نظام التشغيل نفسه أمرًا صادقًا.

ربما تخضع الأدوات الذكية الأخرى لهذه المشكلة (مشكلة تشفير الجهاز) ، لكن ليس لدي الكثير لتجربة نماذج مختلفة من الأجهزة بالكامل.