टेलीग्राम में भेद्यता गुप्त चैट से समझौता कर सकती है

टेलीग्राम एनिवर्सरी पब्लिकेशन

टेलीग्राम की गुप्त चैट अंत-से-अंत एन्क्रिप्शन का उपयोग करती हैं, तो क्या? एंड टू एंड एनक्रिप्शन एन्क्रिप्शन टेलीग्राम कमजोर रूप से उपयोगकर्ता के पत्राचार की रक्षा करता है। एक सरल उदाहरण: एक हमलावर को ऐलिस की निजी कुंजी मिली। बेशक, ऐलिस के लिए एन्क्रिप्ट किए गए संदेश को डिक्रिप्ट करने के लिए, आपको इस कुंजी के लिए एक पासवर्ड की आवश्यकता है, जिसे आधुनिक पासवर्ड सुरक्षा सिद्धांत का उपयोग करके हटाया नहीं जा सकता है। एंड्रॉइड पर एन्क्रिप्शन को समाप्त करने के लिए टेलीग्राम अंत में - यह 100% संभावना के साथ संभव हो जाता है। इस भेद्यता के बारे में टेलीग्राम में टू-फैक्टर ऑथेंटिकेशन, पिन-कोड की रिकवरी और सीक्रेट चैट्स को हाईजैक करना।

अपने काम में, मैं एंड्रॉइड डिवाइसों पर टेलीग्राम में भेद्यता पर एक विस्तृत मैनुअल का वर्णन करने की कोशिश करूंगा, एंड्रॉइड, डेस्कटॉप लिनक्स / विंडोज पर स्थानीय टेलीग्राम कोड को कैसे पुनर्स्थापित किया जाए, इस पर उदाहरण दें। मैं गुप्त टेलीग्राम चैट से समझौता नहीं करूंगा। मेरी कंपनी ड्यूरोव टीम के साथ इस टकराव में मेरी मदद करेगी: I (रूट); एंड्रॉइड 7.0; Android 6.0 (रूट) Android 4.4.2 (रूट) ओएस GNU / लिनक्स / विंडोज (रूट) के साथ पीसी। पहली नज़र में, ऐसा लगता है कि बल बराबर नहीं हैं, आइए देखें ...

IMHO। यह सब कैसे शुरू हुआ

मेरे मामले में, मुझे टेलीग्राम प्लेटफॉर्म के आसपास पीआर अभियान की पूरी शक्ति भी महसूस हुई। "कार्ट" के विशाल पहियों पर, प्रचार महीने से महीने तक लुढ़का हुआ है, जिसमें कोई केंद्र नहीं है और कोई सीमा नहीं है। पत्राचार के सर्वव्यापी उपयोगकर्ता एन्क्रिप्शन के लोकप्रियकरण पर ई। स्नोडेन का प्रभाव। डेस्कटॉप पर अपने QIP 2005 एप्लिकेशन के साथ पंथ ICQ मैसेंजर को याद रखें, जहां .txt फाइलों में सार्वजनिक डोमेन में एक पीसी पर सभी पत्राचार संग्रहीत किया गया था। पत्राचार के एन्क्रिप्शन के बारे में टेलीग्राम "जिसने पहले निजी पत्राचार एन मस्से को एन्क्रिप्ट करना शुरू किया था" तुरंत नहीं था, लेकिन बाद में कहा कि वह अग्रणी था। टेलीग्राम के इतिहास को विशेष रूप से प्रतिष्ठित नहीं किया गया था: डुव्रो से एमटीपीआरटीओ प्रोटोकॉल की सुरक्षा के लिए एक प्रतियोगिता; कलाकारों और चित्रकारों (ड्राइंग स्टिकर) के लिए कोलामा; बॉट / एप्लिकेशन बनाने के लिए एपीआई; ICO TON, जिसने टेलीग्राम के मालिकों के लिए बहुत सारा पैसा लाया; ईरान, रूसी संघ और फिर से ईरान में दूत को रोकना; टेलीग्राम के इनस और बाहरी के दुर्लभ ऑनलाइन स्टफिंग के नेटवर्क में प्रवेश करने के साथ-साथ। जुलाई 2018 में "गाड़ी भी मेरे माध्यम से चली।" जब "अगला टेलीग्राम" अपने स्वयं के नारे और एक छोटे से चेतावनी के साथ तत्काल दूतों के बड़े पैमाने पर बाजार में दिखाई दिया (यह सुपर फास्ट, सरल और मुक्त है)। "टेलीग्राम गति और सुरक्षा पर ध्यान देने के साथ एक मैसेजिंग ऐप है।" उत्तरार्द्ध की कीमत पर, इस तरह के शांत नारे में, डुओरोव और उनकी टीम (निकोलाई ड्यूरोव के मजबूत तकनीकी पक्ष के कारण) खुले तौर पर सूचना सुरक्षा विशेषज्ञों / बैगहंटर्स के साथ बातचीत करते हैं जो टेलीग्राम प्लेटफॉर्म पर एमटीपीआरओ प्रोटोकॉल या बग्स में कमजोरियों को खोजने / खोजने की कोशिश करते हैं। विशेषज्ञ अपनी सामग्री को security@telegram.org पर भेजते हैं - यह "बाउंटी हंटर्स" और टेलीग्राम डेवलपर्स द्वारा इस तरह की बातचीत का आधिकारिक तरीका है, यह भी यहाँ उल्लेख किया गया है

वास्तव में, हम अपने सिस्टम को ऑडिट करने के लिए सुरक्षा विशेषज्ञों का स्वागत करते हैं और किसी भी प्रतिक्रिया के लिए आभारी रहेंगे (security@telegram.org)

संचार का एक अनौपचारिक प्रारूप, जब पत्र को टेलीग्राम डेवलपर्स द्वारा अनदेखा किया जाता है, और फिर विशेषज्ञ आमतौर पर माइक्रोब्लॉग पर अपने ट्वीट पोस्ट करते हैं, जहां उनमें से कुछ पर डुओरोव टिप्पणी करते हैं।

उपयोगकर्ता के ब्लैक प्रिंस की सेवा में, टेलीग्राम मोबाइल प्लेटफॉर्म पर गोपनीयता को निकोलाई ड्यूरोव से MTProto के एक अभेद्य, दुर्जेय, न्यूफ़ंगल विकास के रूप में प्रस्तुत किया जाता है। टेलीग्राम में गुप्त चैट (इसके बाद एमएफ) ऐसे चैट हैं जो टेलीग्राम मोबाइल प्लेटफॉर्म पर मौजूद हैं और एंड-टू-एंड एन्क्रिप्शन द्वारा संरक्षित हैं, चाबियाँ केवल उन उपकरणों पर संग्रहीत की जाती हैं जिन पर वे उत्पन्न हुए थे, और यह टेलीग्राम-दुबई का गौरव भी है (मैं उन्हें कॉल करूँगा)। टेलीग्राम-दुबई की दुनिया में टेलीग्राम मिडरेंज को पूरी दुनिया में बहुत सुरक्षित चैट रूम माना जाता है। सार्वजनिक युद्ध के रूप में प्रतियोगियों के साथ अपने उत्पाद की तुलना करने और हमेशा जीतने के लिए, कई बार डुओरोव ने हवा को हिला दिया।

एंड्रॉइड पर टेलीग्राम संदेशवाहक के अंत को समाप्त करने को दरकिनार करते हुए, एक बग रिपोर्ट ईमेल द्वारा उपर्युक्त ई-मेल पर भेजी गई थी। मुझे कोई प्रतिक्रिया नहीं मिली, कुछ दिनों बाद मैंने टेलीग्राम स्वयंसेवकों के लिए तकनीकी सहायता के लिए लिखा। स्वयंसेवकों ने मुझे जवाब दिया कि वे मेरे विचार को टेलीग्राम नेतृत्व को बताएंगे, मुझसे स्पष्टीकरण मांगेंगे: मैंने अपना पत्र कहां और कब भेजा था। दो सप्ताह की चुप्पी के बाद, मैंने एक बार फिर अपने पत्र को स्वयंसेवकों को याद किया, इस बार संदेशवाहक स्वयंसेवकों ने मेरे अनुस्मारक को पूरी तरह से नजरअंदाज कर दिया। एक हफ्ते बाद, मैंने फिर से आधिकारिक टेलीग्राम मेल को पत्र भेजा - कोई जवाब नहीं है। क्या रहता है, क्या करना है? माइक्रोब्लॉगिंग के माध्यम से अपने टेलीग्राम बग रिपोर्ट के साथ परेशान करने के लिए?, डुओरोव टीम के अनौपचारिक संचार स्रोतों के बगल में? या मीडिया के लिए एक लेख लिखें और पोस्ट करें? टेलीग्राम के रैंकों में बस कुछ प्रकार की साइबर नौकरशाही का गठन किया गया है। मैं habr.com के साथ w9w का उल्लेख नहीं कर सकता, जिसने, मेरी राय में, टेलीग्राम प्लेटफॉर्म पर सर्वश्रेष्ठ भेद्यता पाई: टेलीग्राफ में भेद्यता। नीचे पंक्ति - "कोई भी" उपयोगकर्ता किसी और के लेख को telegra.ph पर संपादित कर सकता है। अपनी w9w भेद्यता रिपोर्ट (उन्होंने उनमें से कई को पाया) के साथ, वह भी security@telegram.org तक नहीं पहुंच सकी। एक नौकरशाही खोज को पूरा करने के बाद, w9w को मिली कमजोरियों के लिए एक छोटा वित्तीय इनाम मिला। मुझे आश्चर्य है कि टेलीग्राम लालच है? या कोई और कारण? टेलीग्राम पर वापस, इसके बारे में कुछ समीक्षाएं।



कई लोगों के पास अपना खुद का परिवार का फोटो एल्बम है, और बैगहंटर्स के पास "पाया कीड़े / त्रुटियों / कमजोरियों" का अपना ट्रैक रिकॉर्ड है। अपने PS में, लेख के पूरा होने पर, मैं उदासीनता से सेल B30 को लाल रंग में रंग दूंगा, जिससे मेरा सवाल टेलीग्राम पर खुल जाएगा।

भाग 1. ओएस एंड्रॉइड लिनक्स / विंडोज डेस्कटॉप पर स्थानीय कोड टेलीग्राम को पुनर्स्थापित करें। वास्तविक घटनाओं पर आधारित है।

जुलाई में, गर्मी 2018 गितुब पर, जॉन द रिपर (इसके बाद JTR) के संस्करण के अनौपचारिक समूह के डेवलपर्स में से एक ने पार्सिंग में लिखे गए पार्सिंग मॉड्यूल "telegram2john.py" के लिए स्रोत कोड पोस्ट किया है (जो पंक्ति 411 से कोड पढ़ने वाले "यादृच्छिक" उपयोगकर्ता से एक टिप पर आधारित है) । कार्यक्रम के नाम से, यह स्पष्ट हो जाता है कि यह मॉड्यूल क्यों और किसके लिए काम करता है। ऐसे मॉड्यूल के अर्थ को कौन नहीं समझता है, ये ऐसे मॉड्यूल हैं जो JTR कार्यक्षमता का विस्तार करते हैं। आधिकारिक JTR 8 प्रारूपों, और JTR जंबो-1-रक्तस्राव - 263 प्रारूपों (गिनती नहीं + एक अच्छा सौ sha1 / 2 / md5 / $ गतिशील प्रारूप) को प्राप्त कर सकता है और इनमें से एक प्रारूप टेलीग्राम स्थानीय कोड है। "Telegram2john.py" का परीक्षण करने के बाद, मुझे इसमें एक त्रुटि मिली: तीन स्थानीय कोड टेलीग्राम पार्सिंग फ़ंक्शंस में से एक सही ढंग से काम नहीं करता था, जिसे मैंने जीटीआर डेवलपर्स को जीथब पर सूचित किया था। "Telegram2john.py" के लिए ठीक तुरंत सामने आया। जेटीआर डेवलपर्स को मिली बगों पर यह पहली अपील नहीं है, और हर बार एक त्वरित प्रतिक्रिया और कोई कम तेज त्रुटि सुधार बस अच्छा नहीं होता है जब ऐसे हर रोज़ स्थापित संचार चैनल होते हैं। एक गुप्त वेच पर कुछ दिनों के बाद, telegram2john.py मॉड्यूल को मंजूरी दे दी गई और JTR रिपॉजिटरी को भेज दी गई।

स्थानीय कोड रिकवरी स्कीम (डेस्कटॉप-टेलीग्राम) एक बहु-चरण प्रक्रिया है :

Read the salt (32 bytes), encrypted data and sha1 of decrypted data from a file.
Compute a PKCS5_PBKDF2_HMAC_SHA1 on the UTF8 (passcode), using the salt, 4000 iterations, keysize of 256 bytes
Use a Telegram-specific KDF to get the AesKey and AesIV (Relatively cheap - bunch of memcpy and 4x sha1)
Perform an AES-IGE-DECRYPT on the encrypted data using the derived key and IV from step 3.
Compare sha1 of decrypted data with the sha1 read in step 1. If they match - passcode is correct.

userconfing.xml (Android)


/data/data/org.telegram.messenger/shared_prefs/userconfing.xml

JTR उपयोगकर्ता के लिए, "ब्लीडिंग / एंड्रॉइड-टेलीग्राम" ऑपरेशन को दो-चरण की प्रक्रिया में सरल बनाया गया है: टेलीग्राम एप्लिकेशन (इंस्टेंट-टाइम ऑपरेशन) और ब्रूट फोर्स से संबंधित userconfing.xml फ़ाइल से जॉन प्रोसेसर के लिए "telegram2john.py" मॉड्यूल "हैश निष्कर्षण" का उपयोग करना। यह "हैश" JTR का उपयोग कर रहा है। इस तरह के एक ऑपरेशन के साथ, एंड्रॉइड ई पर स्थानीय कोड पुनर्प्राप्ति की संभावना 100% सफल है, प्रतीक्षा समय कई मिलीसेकंड है। डेस्कटॉप लिनक्स / विंडोज पर स्थानीय कोड को पुनर्प्राप्त करने की संभावना X% सफलता है, प्रतीक्षा समय अपरिभाषित है। क्यों? क्योंकि, सबसे पहले, स्थानीय कोड चार अंकों के टेलीग्राम पर एक साधारण डिजिटल पिन कोड है (10 ^ 4 सभी प्रकार के पिन संयोजन) न तो अधिक और न ही कम है, और दूसरी बात, एंड्रॉइड पर स्थानीय कोड टेलीग्राम एन्क्रिप्शन एल्गोरिथ्म क्रिप्टोग्राफिक नहीं है (SHA256) ($ s। $ p। $ s)]] , इसलिए पासवर्ड अनुमान लगाने की उच्च गति। टेलीग्राम डेस्कटॉप एप्लिकेशन के साथ स्थिति अलग है जहां कोई गुप्त चैट नहीं है: डेस्कटॉप एप्लिकेशन में, स्थानीय कोड एन्क्रिप्शन मजबूत है (डेस्कटॉप / टेलीग्राम हैश सीपीयू पर खोज की गति Anroid / Telegram हैश खोज गति से 10,000 गुना धीमी है, और सबसे महत्वपूर्ण बात डेस्कटॉप / टेलीग्राम पर स्थानीय कोड को किसी भी "लंबाई" और किसी भी वर्ण का उपयोग करने के लिए सेट किया जा सकता है।


स्थानीय कोड डेस्कटॉप टेलीग्राम की क्रिप्टोग्राफिक ताकत अधिक है, एंड्रॉइड टेलीग्राम के ब्रूट बल स्थानीय कोड की तुलना में जानवर बल की गति 10k गुना धीमी है।

व्यक्तिगत रूप से, मुझे यह आभास होता है कि टेलीग्राम डेवलपर्स ने एक अद्वितीय और सुरक्षित MTProto प्रोटोकॉल बनाने पर काम किया था, न कि व्यापक उपयोगकर्ता गोपनीयता पर, उदाहरण के लिए, गैर-एंड्रॉइड रूट डायरेक्टरी या गैर-क्रिप्टोग्राफ़िक स्थानीय कोड में संग्रहीत एप्लिकेशन का खुला कैश, जो, जैसा कि यह पता चला है, 100% संभावना के साथ ठीक हो जाता है।

लिखने के समय, नवीनतम काली लिनक्स और तोता सुरक्षा ओएस में जेटीआर बॉक्स के बाहर 2015 से अपडेट नहीं किए गए हैं, उनके पास बग हैं जो स्थानीय टेलीग्राम कोड को पार्स करने की अनुमति नहीं देते हैं (जेटीआर जंबो-1-ब्लीडिंग में हमेशा कुछ कीड़े होते हैं, लेकिन इसकी कार्यक्षमता अगर आपको लगता है कि आप हैशटैक सॉफ़्टवेयर के बारे में सोचते हैं तो स्टेटर विकसित करता है) तो, एक अनुभवी काली / तोता उपयोगकर्ता स्थानीय कोड टेलीग्राम को पुनर्स्थापित करने के लिए हैक नहीं कर सकता है, विंडोज / एंड्रॉइड में, कार्यक्षमता में काटे गए जेटीआर भी अच्छे नहीं हैं। इसलिए, आपको अपने ओएस (लिनक्स सिस्टम के लिए) पर जीटीआर को जीथब के साथ स्थापित करना होगा। JTR सॉफ़्टवेयर को सफलतापूर्वक संकलित करने के लिए, प्रोग्राम को संकलित करने से पहले, अपने OS "libssl-dev" पर पैकेज वितरित करें, फिर

 git clone git://github.com/magnumripper/JohnTheRipper -b bleeding-jumbo john && apt-get install libssl-dev && cd john/src && ./configure && make -s clean && make -sj4 john/run/telegram2john.py userconfing.xml >  #  "telegram2john.py"   GNU/Linux ,   : python telegram2john.py userconfing.xml >  JohnTheRipper/run/john  --mask=?d?d?d?d #    –  local code Android Telegram   . 

पुनर्स्थापित स्थानीय कोड Android टेलीग्राम। पिन 5369।

इसी तरह, Telecon स्थानीय लिनक्स / विंडोज एप्लिकेशन के स्थानीय कोड ब्रूट के साथ, userconfing.xml फ़ाइल के बजाय, टेलीग्राम निर्देशिका के लिए पथ का संकेत दिया गया है:

(लिनक्स): ~ / telegram2john.py ~ / .local / share / TelegramDesktop;
(विंडोज): ~ / telegram2john.py "C: / Users / Name / AppData / रोमिंग / टेलीग्राम डेस्कटॉप" (विंडोज पर एक पुराने टेलीग्राम एप्लिकेशन के लिए);
(विंडोज): ~ / telegram2john.py "टेलीग्राम डेस्कटॉप" (विंडोज पर अद्यतन टेलीग्राम आवेदन के लिए)।

कृपया ध्यान दें, यदि आप स्थानीय टेलीग्राम कोड को फिर से पार्स करना चाहते हैं, तो JTR "कोई पासवर्ड नहीं" प्रदर्शित करेगा। कारण यह है कि पासवर्ड पहले ही मिल चुका है। जॉनी, कभी भी पासवर्ड को दूसरे और बाद के समय में पुनर्स्थापित नहीं करता है, इसके बजाय, "--शो हैश" विकल्प का उपयोग करें, लेकिन कभी-कभी बग्स हो सकते हैं, और "--शो" विकल्प काम नहीं करेगा जैसा कि मुझे करना चाहिए (मैंने अन्य बग्स के साथ ऐसे कीड़े का सामना किया, लेकिन सब कुछ पहले से ही JTR डेवलपर्स द्वारा तय किया गया है)। इस स्थिति में, फ़ाइल ~ / john / run / john.pot को देखें, सभी पाए गए पासवर्ड इसमें संग्रहीत हैं, यदि आप इसे साफ़ करते हैं, तो आप पाए गए पासवर्ड के साथ हैश को फिर से पा सकते हैं।


जॉन द रिपर स्थानीय कोड एंड्रॉइड टेलीग्राम के बारे में रक्त में अपने हाथों को फिर से गंदा नहीं करने जा रहा है

userconfing.xml फ़ाइल , जो JTR के लिए लक्ष्य है, Android रूट निर्देशिका के अंतर्गत स्थित है:

 /data/data/org.telegram.messenger/shared_prefs/userconfing.xml 

तो आप रूट अधिकारों के साथ फ़ाइल को प्राप्त कर सकते हैं, या तो TWRP के माध्यम से या डिजिटल फोरेंसिक का उपयोग कर सकते हैं।

लेख के अंत में एंड्रॉइड / लिनक्स / विंडोज लिंक पर स्थानीय टेलीग्राम कोड को पुनर्प्राप्त करने के लिए एक विस्तृत वीडियो मैनुअल।

भाग 2. सफेद शुरू होता है और खो देता है। टेलीग्राम में गुप्त चैट की चोरी। वास्तविक घटनाओं पर भी आधारित है।

टेलीग्राम पर आधारित सुरक्षा कैसी है:

1. फ़ोन नंबर दर्ज करें;
2. दूसरे डिवाइस पर एप्लिकेशन में एसएमएस या कोड प्राप्त करना - वैकल्पिक, एसएमएस कोड दर्ज करना या किसी अन्य डिवाइस पर एप्लिकेशन में प्राप्त कोड।
3. उपयोगकर्ता द्वारा लॉग इन करने पर (सफल सहित) लगातार के साथ अवरुद्ध अस्थायी खाता।

इस तरह के एसएमएस को इंटरसेप्ट करते समय, आप उपयोगकर्ता के खाते में सेंध लगा सकते हैं, लेकिन आप आतंकवादी गुप्त चैट तक नहीं पहुंच सकते हैं, क्योंकि वे मौजूद हैं और केवल आईएसआईएस के गुर्गे के उपकरणों पर रहते हैं, जहां वे उत्पन्न हुए थे, जिसका मतलब है कि आप विशेष रूप से उन लोगों से सावधान रहेंगे जो मोबाइल ऑपरेटरों को जांच में रखते हैं।

वैकल्पिक, बुनियादी + बढ़ाया टेलीग्राम सुरक्षा:

1. फ़ोन नंबर दर्ज करें;
2. किसी अन्य डिवाइस पर आवेदन में एसएमएस या कोड प्राप्त करना - इच्छा से, आवेदन से एसएमएस कोड या कोड दर्ज करना;
3. क्लाउड कोड दर्ज करें टेलीग्राम (टेलीग्राम सर्वर पर संग्रहीत और आपके दिमाग में, ई-मेल के माध्यम से रीसेट / लिंक);
4. स्थानीय कोड सेट करना (एंड्रॉइड पर, सेटिंग्स - गोपनीयता और सुरक्षा - पासवर्ड कोड);
5. मैसेंजर में प्रवेश करने के वर्तमान / हालिया सत्रों की जाँच करना;
6. वर्तमान एक को छोड़कर सभी सत्रों से बाहर निकलें;
7. मिडरेंज टाइमर की सामग्री को साफ़ करना;
8. स्क्रीन का निषेध / रिकॉर्ड मिडरेंज स्क्रीन;
9. उपयोगकर्ता द्वारा लॉगिंग में लगातार (सफल सहित) के साथ अवरुद्ध अस्थायी खाता;
10. जैसा कि यह मिडरेंज की चोरी के दौरान निकला (किसी दूसरे के आई.पी. से किसी और के खाते में लॉग इन करना), 5 मिनट के बाद वास्तविक / समझौता खाते का एक अस्थायी प्रतिबंध ~ और टेलीग्राम में मिडरेंज को रद्द करना। वास्तविक / समझौता खातों के एक ही नेटवर्क में, टेलीग्राम एक खाते को हाइजैक करने के लिए प्रतिबंध लगाना भूल जाता है।

नीचे मैं दिखाऊंगा कि मिडरेंज कमजोर है, मैं इनमें से किसी एक मिडरेंज (टेलीग्राम में मेरा टेस्ट अकाउंट) को हाईजैक कर लूंगा और यूजर "बॉस" को इंप्रेस कर लूंगा

टेलीग्राम के स्थानीय कोड को सफलतापूर्वक पुनर्प्राप्त करने के बाद, मैंने एंड्रॉइड पर userconfing.xml फ़ाइल के बगल में फ़ाइलों को महसूस करने का फैसला किया। एक गुप्त चैट बनाया, जो फ़ाइलों और जिसमें उपनिर्देशिका समय में अद्यतन कर रहे हैं देखा। मैंने ओएस एंड्रॉइड 4.4.2 से इन फ़ाइलों को ओएस एंड्रॉइड 6.0 के साथ दूसरे गैजेट में कॉपी करने की कोशिश की (मैंने आरएआर के माध्यम से गैजेट के बीच फ़ाइलों को स्थानांतरित कर दिया; ज़िप अभिलेखागार)। GP के साथ Android 6.0 पर टेलीग्राम का नवीनतम संस्करण स्थापित किया गया। एंड्रॉइड 4.4.2> एंड्रॉइड 6.0 से समान निर्देशिकाओं के लिए अपडेट की गई फ़ाइलें

 /data/data/org.telegram.messenger/shared_prefs /data/data/org.telegram.messenger/files /data/data/org.telegram.messenger/no_backup 

चुराए गए परीक्षण खाते के अनुसार, टेलीग्राम ने व्यक्तिगत रूप से प्रत्येक फ़ाइल और फ़ोल्डर के लिए अधिकार (जो 4.4.2 पर थे) को बहाल किया, ऑपरेशन तेज नहीं है (विभिन्न फाइलों में सबसे विविध अधिकार हैं), टेलीग्राम यूआईडी जीआईडी ​​को सौंपा।



एप्लिकेशन लॉन्च किया। तुरंत सभी चोरी की गई फाइलें समय पर अपडेट की गईं, और "नए उपयोगकर्ता" स्क्रीन ने मुझे शुभकामनाएं दीं। टेलीग्राम ने ऐसा व्यवहार किया जैसे कि मैं एक नया उपयोगकर्ता हूं और फोन पर रजिस्टर करने या लॉग इन करने का सुझाव दिया (एंड्रॉइड पर टेलीग्राम की प्रारंभिक स्थापना के लिए मानक प्रक्रिया)। यानी मैं किसी और के खाते में नहीं जा सकता। विभिन्न पक्षों से अधिक से अधिक कई बार चुपके, लेकिन अंत में - एक फ़ाइल ।

मैंने एक और तरीका आजमाया - टाइटेनियम बैकअप के जरिए टेलीग्राम टेस्ट अकाउंट का बैकअप।
मैंने एंड्रॉइड 4.4.2 पर एप्लिकेशन का बैकअप बनाया, 4.4.2 का बैकअप तैनात किया। Android 6.0 पर।



"चोरी" आवेदन के अधिकार, यूआईडी / जीआईडी ​​को बदलने की आवश्यकता नहीं है - सब कुछ टाइटेनियम बेस द्वारा किया जाएगा। मैं एंड्रॉइड 6.0 और जादू पर टेलीग्राम समझौता खातों को लॉन्च करता हूं! मुझे उपयोगकर्ता "होस्ट" के स्थानीय कोड दर्ज करने का अनुरोध मिलता है। बैकअप के साथ इस तरह के एक बीचगेम ने पीड़ितों और चालों के बिना दो-कारक प्रमाणीकरण का बाईपास प्रदान किया। टेलीग्राम ने अपने हिस्से के लिए, चुराए गए खाते से केवल स्थानीय कोड का अनुरोध किया। चुराई हुई फ़ाइल भेजें

 /data/data/org.telegram.messenger/shared_prefs/userconfing.xml 

काली लिनक्स के साथ VDS पर, जहां JohnTheRipper अब चलने वाली प्रक्रियाओं में नहीं सोया, यह कार्य करने का समय है। अगले तत्काल, नरक स्थानीय कोड मारा! हैश एक सेकंड भी नहीं टिक सका, फटा।



लाल प्रकाश डाला (ऊपर से नीचे) प्राप्त:

• Telegram2john.py मॉड्यूल का उपयोग करके JTR के लिए हैश;
• नवीनीकृत स्थानीय कोड एंड्रॉइड टेलीग्राम;
• जॉनी फुल टाइम जॉब (अशोभनीय हाई स्पीड ब्रूट फोर्स पासवर्ड, ऑप्शन - - -मास्क =? डी? डी? डी; डी; जॉनी को बताते हुए कि वह 4-अंकीय डिजिटल कोड का चयन करता है, इसे चालू नहीं करता है, ताकि JTR त्वरित हो जाए और अपनी रोष गति दिखाता है);
• पुनर्स्थापित स्थानीय कोड का अनुरोध JTR।

कूल जॉनी! क्या यह सच नहीं है?

टेलीग्राम की संपत्ति के "भाग" का दुरुपयोग करने के बाद, जेटीआर एंड्रॉइड का उपयोग करके स्थानीय कोड टेलीग्राम को बहाल किया, उसने अपने आईपी परीक्षण खाते के साथ किसी और के खाते में लॉग इन किया, जो मूल रूप से एंड्रॉइड 4.4.2 पर स्थित था, और अब इसे एंड्रॉइड 6.0 पर बनाया गया था। उसी समय, मुझे पीड़िता के सभी गुप्त चैट और उनमें सभी पत्राचार दिखाई देते हैं। मैंने लिखने की कोशिश की, पहले से बनाए गए midrange में, एंड्रॉइड 7.0 के उपयोगकर्ता के लिए और संदेश सफलतापूर्वक भेजा गया था। एंड्रॉइड 7.0 उपयोगकर्ता ने एक प्रतिक्रिया भेजी, प्रतिक्रिया संदेश केवल प्राप्त नहीं हुआ, लेकिन दो गैजेट्स पर प्राप्त हुआ: एंड्रॉइड 6.0 पर और एंड्रॉइड 4.4.2 पर। मैंने पिछले लॉगिन सत्र की जाँच की: वास्तविक उपयोगकर्ता ने अपने आईपी और अपने Teclast एंड्रॉइड 4.4.2 गैजेट (सेटिंग्स - गोपनीयता और सुरक्षा - सक्रिय सत्र) को प्रदर्शित किया; "सक्रिय सत्रों" में एक एंड्रॉइड 6.0 हमलावर ने Teclast Android 4.4.2 डिवाइस, आईपी वर्जीनिया प्रदर्शित किया। यही है, वास्तविक उपयोगकर्ता को "सक्रिय सत्र" के माध्यम से जानकारी प्राप्त नहीं होती है कि उसके खाते से छेड़छाड़ की गई है, लेकिन "झूठी" जानकारी प्राप्त करता है कि वह अपने किसी एक डिवाइस से और अपने एक आईपी से ऑनलाइन है।



सक्रिय सत्रों के माध्यम से वास्तविक उपयोगकर्ता यह नहीं देखता है कि वह समझौता किया गया है। हाल के सत्रों का इतिहास हमलावर के प्रवेश बिंदुओं को दर्ज नहीं करता है। इसके अलावा, "होस्ट" वास्तविक खाते में, मैंने "वर्तमान एक को छोड़कर सभी सत्रों से लॉग आउट" पर क्लिक किया। उसी समय, हमलावर को ऑनलाइन / ऑफ़लाइन स्थिति की परवाह किए बिना, सत्र से बाहर नहीं फेंका गया था।

मैंने एक समझौता किए गए खाते के बारे में एक ही ऑपरेशन की कोशिश की - परिणाम समान है: "मास्टर" को टेलीग्राम से बाहर नहीं फेंका गया था, सत्र की चाबियाँ समान थीं। अविश्वसनीय रूप से, हुह?

क्या ग्राफिक कुंजी सुरक्षा संकेतक को व्यवस्थित कर सकती है? गुप्त चैट की कुंजी सुरक्षा का संकेतक नहीं है, इस प्रयोग में वे तीनों आपस में पिटाई कर रहे हैं।


सभी चाबियां एक समझौता किए गए खाते सहित समान हैं।

टेलीग्राम का दावा है कि यदि 2 उपकरणों पर चाबियाँ पीटी जाती हैं, तो आप सुरक्षित हैं - ऐसा नहीं है। (पाचन। आपको एंड्रॉइड पर टेलीग्राम स्थापित करने के बाद भी कुंजी को सत्यापित करने की आवश्यकता है, और बहुत पहले midrange बनाते समय, midrange उपयोगकर्ताओं के पास महत्वपूर्ण स्नैपशॉट नहीं थे, और चाबियों की ग्राफिक छवियां उपकरणों पर अलग-अलग थीं। midrange ने हमेशा की तरह काम किया, जो मुझे समझ नहीं आया, और यह एक अलग मामला था जब चाबियाँ आपस में नहीं मारतीं)।

मैं "कॉपी-पेस्ट" की पहली विधि पर लौट आया, जिसे मैंने शुरू में सफल नहीं किया।

मैंने अपने सभी पिछले चरणों को दोहराया, एक मध्यवर्ती 3 क्रिया को जोड़ा।

1) जीपी के साथ स्थापित टेलीग्राम का नवीनतम संस्करण।

2) ओएस 6.0.2 के साथ एक और गैजेट के लिए ओएस 4.4.2 से हस्तांतरित निर्देशिका (केवल संवेदनशील डेटा स्थानांतरित कर दिया। मैंने टेलीग्राम और उसके अन्य डेटा की प्रतिलिपि नहीं की है)

 /data/data/org.telegram.messenger/shared_prefs /data/data/org.telegram.messenger/files /data/data/org.telegram.messenger/no_backup 

3) एंड्रॉइड 6.0 पर फ़ोल्डर को हटा दिया गया , जांचें

 /data/data/org.telegram.messenger/code_cache 

4) मैंने व्यक्तिगत रूप से अधिकारों को बहाल नहीं किया, इसके बजाय, मैंने "पुनरावर्ती" के ऊपर वर्णित सभी निर्देशिकाओं को 777 अधिकार (पूर्ण पहुंच) वितरित किए। मैंने समूह (UID / GID) के मालिक और मालिक (टेलीग्राम) को एक ही निर्देशिका सौंपी थी (वास्तव में, रूट निर्देशिका में "पुनरावर्ती" टीसी में अच्छी तरह से काम नहीं करता है, इसलिए मुझे अधिकारों के असाइनमेंट को दोबारा जांचना पड़ा)।

5) आगे! मैं टेलीग्राम को एक अन्य नेटवर्क पर एक अलग आईपी - विफलता के साथ लॉन्च करता हूं, फिर से यह अंग्रेजी में एक नए उपयोगकर्ता से एक ग्रीटिंग है।

6) आगे! टेलीग्राम, चेकमेट को फिर से शुरू करें! टेलीग्राम ने एक उपयोगकर्ता के स्थानीय कोड को दर्ज करने की चेतावनी जारी की, जो एंड्रॉइड-ई 4.4.2 पर था (और जिसे 100% की संभावना के साथ बहाल किया गया है), जबकि टेलीग्राम से क्लाउड कोड या एसएमएस के लिए कोई अनुरोध नहीं थे और अभी भी पूरी तरह से अनुपस्थित है। दो-कारक प्रमाणीकरण बायपास, नहीं! एन्क्रिप्शन को समाप्त करने के लिए बायपासिंग एंड टेलीग्राम सफल रहा।

परिणाम: midrange में एक हमलावर के संदेश भी एक वास्तविक उपयोगकर्ता की ओर से सफलतापूर्वक भेजे गए थे, और midrange के सभी पत्राचार भी उपलब्ध थे। मेरे चिंतित दिल की ~ 400 धड़कनों के बाद, आशंकाओं की पुष्टि हुई: चोरी किए गए खाते को टेलीग्राम ने एक हमलावर और एक वास्तविक उपयोगकर्ता से अवरुद्ध कर दिया था; एमएफ - रद्द कर दिया।


टेलीग्राम खाते की अस्थायी रोक।

टेलीग्राम में फिर से लॉग इन करने के बाद (कभी-कभी एक दिन के लिए प्रतिबंध होता है, लेकिन मैं भाग्यशाली था, किसी कारण से उस दिन सभी घंटियाँ एक दूसरे के लिए वितरित की गईं), वास्तविक उपयोगकर्ता के पास हमेशा की तरह सब कुछ था, और हमलावर अब समझौता किए गए खाते को सूँघ नहीं सकता था (सत्र कुंजियाँ अद्यतन की गईं)।

मैं टेलीग्राम के कई बयानों का खंडन करने में सक्षम था

telegram.org/faq - "MF केवल MF मूल के उपकरणों पर हो सकते हैं।"

I - "जैसा कि आप देख सकते हैं, midrange न केवल midrange के मूल के उपकरणों पर हो सकता है, बल्कि उन उपकरणों पर भी हो सकता है जहां Android OS के संस्करण की परवाह किए बिना एक रूट और midrange कुंजी है।"

telegram.org/faq - "आप इस चित्र की तुलना कर सकते हैं (नोट: मध्य-कुंजी छवि) आपके एक मित्र के पास है - यदि दोनों चित्र समान हैं, तो आप सुनिश्चित कर सकते हैं कि गुप्त चैट सुरक्षित है"

मैं - "हाँ, सुरक्षित, लेकिन केवल टेलीग्राम-दुबई की दुनिया में"; "आप सुनिश्चित नहीं हो सकते कि चैट सुरक्षित है।"

telegram.org/faq - "हम यह भी अनुशंसा करते हैं कि आप दो-चरणीय प्रमाणीकरण सक्षम करें और अपने एप्लिकेशन को ब्लॉक करने के लिए एक मजबूत एक्सेस कोड सेट करें, आपको सेटिंग्स में दोनों विकल्प मिलेंगे - गोपनीयता और सुरक्षा।"

I - "एक मजबूत एक्सेस कोड केवल टेलीग्राम डेस्कटॉप लिनक्स / विंडोज अनुप्रयोगों में सेट किया जा सकता है, लेकिन एंड्रॉइड एप्लिकेशन में पिन /" पासवर्ड "नहीं"

telegram.org/faq - “रूट एक्सेस वाला उपयोगकर्ता ऑपरेटिंग सिस्टम में निर्मित सुरक्षा सुविधाओं को आसानी से बायपास कर सकता है, प्रक्रिया मेमोरी, या आंतरिक भंडारण जैसे प्रतिबंधित क्षेत्रों तक पहुंच सकता है। एक बार जब किसी हमलावर की जड़ तक पहुंच होती है, तो शमन का कोई भी प्रयास बेकार हो जाता है। "कोई भी आवेदन इन परिस्थितियों में सुरक्षित नहीं कहा जा सकता है, चाहे कितना भी एन्क्रिप्ट किया गया हो।"

मैं - "2013 में वापस योग्य तकनीकी कर्मियों की कमी के कारण बकवास करना।" “Android स्थानीय कोड को पुनर्स्थापित करें और खाता प्राप्त / क्लोन करें। पिन में प्रवेश करने के प्रत्येक नए गलत प्रयास के साथ, टेलीग्राम पिन दर्ज करने के प्रयासों के बीच प्रतीक्षा समय बढ़ाता है। जाहिरा तौर पर, टेलीग्राम उपयोगकर्ता को सभी संभावित पिन संयोजनों के मैनुअल जानवर बल 10 ^ 4 से बचाने में इस तरह के एक एल्गोरिथ्म से संतुष्ट है, लेकिन क्या समझौता करने में आसान होने पर उपयोगकर्ता संतुष्ट है? अगर टेलीग्राम डेवलपर्स इन परिस्थितियों में खतरों को कम करना चाहते हैं, तो वे इसे स्थानीय कोड में गलत तरीके से दर्ज करके कुछ सेकंड के लिए अस्थायी लॉक के रूप में लागू कर सकते हैं, और पासवर्ड के साथ पासवर्ड पर टेलीग्राम के साथ "डमी" पिन फ़ंक्शन को प्रतिस्थापित कर सकते हैं - PBKDF2 एन्क्रिप्शन के साथ - यह बहुत मजबूत है जानवर बल के हमले को धीमा करेगा। अच्छी सुरक्षा के एक उदाहरण के रूप में - एन्क्रिप्टेड पासवर्ड डेटाबेस Keepass2Android में प्रवेश करने के लिए पासवर्ड।

telegram.org/faq “आप अपने मूल उपकरण से गुप्त चैट संदेशों तक पहुँच सकते हैं। वे तब तक सुरक्षित हैं जब तक आपकी डिवाइस आपकी जेब में सुरक्षित है। ”

मैं - "यही वह जगह है जहाँ सच्चाई सामने आती है!"

निष्कर्ष

• एंड्रॉइड ई पर स्थानीय कोड टेलीग्राम (पिन) को तुरंत जेटीआर में हैक किया जाता है और 100% की संभावना के साथ, यह परिणाम की ओर जाता है: गुप्त चैट चोरी करना, एससी संदेश खोलना, एक वास्तविक उपयोगकर्ता के रूप में एक हमलावर को पास करना। इस "ट्रिक" के खिलाफ संरक्षण, टेलीग्राम और वास्तविक उपयोगकर्ता के लिए नए सत्र की चाबियों से अस्थायी प्रतिबंध है।
• यदि आप "कॉपी-पेस्ट" विधि का उपयोग करते हैं, तो मिडरेंज को चुराने की क्रिया कुकीज़ + हैकिंग पिन + "अधिकारों के साथ परेशानी" की चोरी के समान है।
• एंड्रॉइड पर टेलीग्राम पिन / पासवर्ड को पुनर्स्थापित करने के लिए, आपको मैसेंजर एप्लिकेशन फ़ाइल में स्थित के साथ काम करना होगा
  
  

   /data/data/org.telegram.messenger/shared_prefs/userconfing.xml 

  
  आप रूट के विशेषाधिकार के साथ "संवेदनशील फाइलों" को TWRP के माध्यम से या डिजिटल फोरेंसिक का उपयोग करके प्राप्त कर सकते हैं।
• एक हमलावर के लिए, अपहरण न केवल पत्राचार को डंप करने का एक अवसर है, बल्कि खाते के असली मालिक को नुकसान पहुंचाने का एक अवसर है: उदाहरण के लिए, "अपने" बादल को साफ़ करने के लिए। इस मामले में, वास्तविक उपयोगकर्ता वास्तव में "पसंदीदा" में अपना डेटा खो देगा। आधिकारिक तौर पर टेलीग्राम खाते को हटा दें, और यदि, उदाहरण के लिए, आप एक समुदाय के व्यवस्थापक थे, तो आप व्यवस्थापक विशेषाधिकार खो देंगे।
• अक्सर उपयोगकर्ता टेलीग्राम डेस्कटॉप-ई पर स्थानीय कोड को एंड्रॉइड-ई पर पिन के समान सेट करते हैं - यह एक जाल है, विंडोज / लिनक्स पर 4-अंकीय स्थानीय कोड टेलीग्राम <1 मिनट से अधिक हो जाता है, और एक गैजेट तक पहुंचने की तुलना में पीसी तक पहुंच अक्सर आसान होती है।
• युपीडी। टेलीग्राम डेवलपर्स को "पासवर्ड" को एंड्रॉइड-ई पर "पासवर्ड" से बदलना चाहिए, क्रिप्टोग्राफ़िक एन्क्रिप्शन के साथ (जैसा कि टेलीग्राम डेस्कटॉप-ई या अन्य मोबाइल एप्लिकेशन में, उदाहरण के लिए Keepass ...) का उपयोग करके, उदाहरण के लिए, PBKDF2 और इसी तरह ...
  और एक नया डेटाबेस खोलते समय फिंगरप्रिंट अनलॉक फ़ंक्शन (गैजेट पर जहां डिवाइस में फिंगरप्रिंट नहीं है) को भी खोल दें (यह टेलीग्राम / एंड्रॉइड में तीसरी भेद्यता है जिसे मैंने अपने प्रयोगों में अनदेखा किया है)। इससे कोई फर्क नहीं पड़ता कि चुराए गए खाते पर पिन / पास स्थानीय कोड क्या स्थापित किया गया था (आप इसे क्रैक भी नहीं कर सकते हैं), पीड़ित का खाता फिंगरप्रिंट द्वारा पहुँचा जा सकता है (टेलीग्राम के खिलाफ हमलावर के गैजेट पर कोई भी फिंगरप्रिंट स्थापित किया गया है, लेकिन फिंगरप्रिंट हमला उसके खिलाफ काम नहीं करता है) Yandex पैसा, Keepass2android ऑफ़लाइन, Sberbank ऑनलाइन)।
• security@telegram.org, Telegram, - .
• «» Telegram GP, Passport telegram, , , , .
• - ( ) Telegram . .

local code Telegram Android/Linux/Windows.


Telegram.


PS: / - , Telegram , - Telegram- .

PPS: root-. root ( ), - root . , GNU/Linux « » (Android — Linux GNU ). Windows «» ? Android- , .
: gpg/pgp , keepass2android offline, rar. «» / root . Telegram Android pin, 100% .

local code Android-e «password» «pin». : ...