Эксперты высмеяли безопасность Telegram

Павел Дуров известен тем, что клонировал Facebook и создал соцсеть «Вконтакте», которая быстро превратилась в символ пренебрежительного отношения пользователей к своей приватности. Конечно, еще в большей степени разработка г-на Дурова являлась символом идиотизма обитавших там амеб, но сейчас не об этом.

Потом гражданин Дуров клонировал WhatsApp и представил Telegram. В отличии от Вконтакта, акцент на этот раз был сделан на безопасности и приватности. Такой разворот на 180° сбил многих с толку. Некоторые заговорили даже о том, что Дуров исправился и стал большим защитником прав на тайну связи и свободный обмен информацией. Но так ли это на самом деле? Эксперты по компьютерной безопасности изучили Telegram и нашли несколько фундаментальных изъянов. Похоже, приватности в новом мессенджере ничуть не больше, чем в предыдущем изделии от Павлентия:

1. Шифрование выключено. Да-да, по умолчанию переписка не шифруется. Мессенджер, который преподносится разработчиками как суперзащищенный от прослушивания, передает сообщения открытым текстом. Для активации шифрования требуется прервать текущую сессию и установить новое защищенное соединение Secret Chat. Почему не включено шифрование по умолчанию? А вы не догадываетесь?!
2. Номер телефона. При регистрации сервис требует сообщить свой номер телефона. Проигнорировать это требование нельзя, так как именно на этот номер приходит код активации. Вся пользовательская активность привязывается к этому номеру. Ну и какая тут может быть приватность?!
3. Контактный лист хранится на сервере. Если у одного из ваших оппонентов изымут (или украдут) телефон, то о вас и ваших связях станет известно, ведь контактный лист может быть повторно запрошен с сервера.
4. Метаданные. Telegram отправляет просто гигантские объемы служебных данных на сервер. Даже если включено шифрование в рамках защищенной сессии Secret Chat. Это значит, что в любой момент может стать известно с кем вы общаетесь, когда, откуда. Доступ к этим данным могут получить спецслужбы (официально или через эксплуатацию уязвимости).
5. Надежность шифрования. Проблема в том, что её никто серьезно не проверял. Да, был объявлен конкурс на взлом с денежным призом. Никто не справился. Но давайте разберемся, является ли этот факт доказательством криптографической стойкости и надежности дуровских алгоритмов? Всем известно, что лучшие криптоаналитики работают на АНБ и иные спецслужбы. Можно ли предположить, что могущественное ведомство с многомиллиардным бюджетом сольет найденные и эксплуатируемые дыры, позарившись на денежное вознаграждение от г-на Дурова? Таким образом, конкурс задействовал лишь любителей и энтузиастов, которые не нашли в алгоритме уязвимости. Это единственное доказательство надежности шифрования в Telegram.
6. Болтливость. Как уже говорилось, «безопасный» Telegram зачем-то отправляет гигантские объемы метаданных на сервера, принадлежащие г-ну Дурову. Но это еще полбеды. Настоящая проблема в том, что часть метаданных рассылается по списку контактов. Злоумышленник может обманом попасть в контактный лист жертвы и снимать часть метаданных. Работающие прототипы, позволяющие получать информацию об активности пользователя, уже представлены. В них эксплуатируется одна странная особенность официального клиента Telegram под Android: программа каждый раз высылает уведомление по всем контактам, когда пользователь делает окно с Telegram активным или переключается на другую программу. Сопоставляя эти данные с активностью других пользователей Telegram, аналитик может вычислять примерный круг общения жертвы.

Эксперты предупреждают: разработчики Telegram выдают свою разработку за средство защищенного общения, однако по факту Telegram им не является. Будьте внимательны и обязательно учитывайте этот факт.