Bezpečnostná analýza v Telegrame: Našli sa kryptografické zraniteľnosti

Malý medzinárodný výskumný tím v oblasti informačnej bezpečnosti vykonal podrobnú bezpečnostnú analýzu celosvetovo populárneho telegramového messengeru. Kryptológovia z ETH Zurich a Royal Holloway College (University of London) dokázali identifikovať niekoľko zraniteľností. Väčšine z viac ako 570 miliónov používateľov telegramu však žiadne bezprostredné nebezpečenstvo nehrozí.

Do tohto vyšetrovania šifrovacích služieb Telegramu sa zapojili profesor Kenny Paterson a Dr. Igors Stepanovs z ETH Zurich a profesor Martin Albrecht a doktorandka Lenka Mareková z University of London. Jedna vec by sa mala povedať hneď: podrobná kryptografická bezpečnostná analýza posla tejto veľkosti bola viac ako oneskorená. Štyri kryptografické zraniteľnosti, ktoré našli kryptológovia, veľmi jasne ukazujú, že systém Telegramu je jednoznačne horší ako bezpečnostné štandardy iných bežne používaných šifrovacích protokolov, ako je Transport Layer Security (TLS).

Prvá bezpečnostná chyba opísaná v tomto dokumente zahŕňa útočníkov v sieti, ktorí sú schopní manipulovať so sekvenciou správ odoslaných klientom na jeden z cloudových serverov prevádzkovaných spoločnosťou Telegram po celom svete. Kryptológovia z ETH Zurich poznamenávajú: „Ak teda niekto dokáže zmeniť poradie správ „Hovorím „áno“?, „Pizza!“, „Poviem „nie, zločinu“, „áno“ by mohol povedať „Áno“ jesť pizzu sa zrazu stáva zločinom. Druhá zraniteľnosť zistená pri bezpečnostnej analýze je len teoretickej povahy, ale aj tak ju treba spomenúť. Sieťový útočník by teoreticky mohol zistiť, ktorá z dvoch správ od klienta alebo servera je šifrovaná. Pravdaže, na prvý pohľad to znie dosť dramaticky. Zneužitie tejto zraniteľnosti nájdenej v bezpečnostnej analýze by si však od útočníkov vyžadovalo obrovské úsilie. Podľa bezpečnostných expertov by útočník musel svojmu cieľu najskôr poslať milióny starostlivo vytvorených správ a identifikovať najmenšie rozdiely v čase doručenia príslušných odpovedí. Vedci sú si však istí, že aj túto kryptografickú zraniteľnosť treba brať vážne.

Ak by však bol takýto útok úspešný, malo by to ničivé následky pre dôvernosť správ telegramu a samozrejme aj pre ich používateľov.

Posledná zistená bezpečnostná diera sa týka veľmi dôležitej výmeny kľúčov medzi užívateľským klientom a telegramovým serverom. Keďže Telegram štandardne neposkytuje end-to-end šifrovanie, toto spojenie je veľmi dôležité pre každého používateľa platformy messenger. Kryptológovia poznamenávajú, že v prípade úspešného útoku by mohla byť natrvalo narušená dôvernosť aj integrita našej komunikácie. Vedci tu však tiež tvrdia, že aktívne využitie tejto bezpečnostnej medzery by bolo veľmi ťažké:

Našťastie je táto metóda útoku tiež pomerne náročná na vykonanie, pretože útočník by musel poslať miliardy správ na telegramový server v priebehu niekoľkých minút.

Ako obvykle, výskumný tím informoval posla o bezpečnostných dierach, ktoré našli 90 dní pred zverejnením. Telegram teraz zareagoval na hlásené bezpečnostné problémy a opravil ich pravidelnými aktualizáciami softvéru. Ako už bolo spomenuté na začiatku, podľa odborníkov väčšine z viac ako 570 miliónov používateľov telegramu na celom svete nehrozí žiadne bezprostredné nebezpečenstvo. Podľa výskumníkov incident odhaľuje aj pochybný prístup vývojárov Telegramu pri opravovaní takýchto problémov. Citát (preložený) z blogového príspevku:

Vývojári Telegramu nás informovali, že nevydávajú špeciálne bezpečnostné vydania ani opravy chýb. Jedinou výnimkou sú rýchle opravy pre predchádzajúcu nesprávnu aktualizáciu. Vývojový tím nám tiež povedal, že nechce vydávať bezpečnostné upozornenia v čase záplatovania, ani sa nechce zaviazať k dátumu vydania konkrétnych opráv. V dôsledku toho boli opravy zavedené ako súčasť pravidelných aktualizácií telegramu.

Podľa samotného Telegramu neboli bezpečnostné medzery kritické. Možno to vysvetľuje aj prístup k spomínaným medzerám. Telegram má na to ešte jeden Blogový príspevok zverejnený, ktorá podrobne rozoberá odhalené problémy.

Náš kanál nájdete na telegrame na adrese: https://t.me/dravenstales