Любой может отредактировать чужие записи Telegram и вступить в приватный клуб. Читай как.

31.03.2018

Мессенджер Telegram, позиционирует себя, как приложение предоставляющее пользователю повышенную безопасность. Однако скрупулёзная работа энтузиаста, помогла выявить три серьезных проблемы в безопасности, одного из самых безопасных мессенджеров.

Давайте разберем данные "дыры" более подробно:

Исследователь в области безопасности, который известен на Habrahabr под псевдонимом w9w, поведал миру об обнаруженных им уязвимостях в Telegram.

w9w выяснил, что ссылки вида t.me могут вести пользователя на фишинговые сайты, а приватные чаты, вовсе не приватны. Также статьи в Telegraph, издательском сервисе, который тесно интегрирован с Telegram, может редактировать кто угодно.

Уязвимость с редактированием чужих сообщений, касается издательского сервиса Telegraph. Данный сервис разработала команда мессенджера и Павел Дуров в 2016 году. Исследователь провел анализ HTTP-запроса, отправляемого на сервера Telegraph и пришел к выводу, что для редактирования любой статьи, нужно знать только уникальный идентификатор. Этот идентификатор можно найти в HTML-коде страницы с этой статьей.

Для защиты от подобного рода атак, обычно используется сверка токена (случайного набора байт), генерируемого сервером. В случает с Telegraph, данные меры по защите не применяются, как и иные способы защиты.

Далее уязвимость была обнаружена в приватных чатах. В процессе тестирования стороннего ресурса, который взаимодействует с доменом t.me, который принадлежит Telegram и используется для создания коротких публичных ссылок на учетные записи пользователей, каналы и группы в мессенджере. Данный ресурс дает платные советы и консультации на тему криптовалюты. Функции "советника" на одном из каналов выполнял Telegram-бот. Бота можно было подключить, перейдя по ссылке вида t.me/Another_bot?start=CODE, где CODE – секретная последовательность символов, связанная с учетной записью пользователя на сайте. Решив проверить «чувствительные» данные в URL на факт индексации поисковыми системами, исследователь обнаружил первую из трех уязвимостей в Telegram.

Сформировав, как его называют "дорк" (Google Dork Query – специальный запрос в поисковой системе (site:t.me inurl:Another_bot?start=), исследователь с удивлением обнаружил, личный код того самого ресурса о криптовалютах в публичном доступе. Таким образом, на t.me отсутствует запрет на индексацию конфиденциальных данных. Исследователь утверждает, что причиной этого является отсутствие файла robots.txt в корневом каталоге ресурса, связанного с доменом t.me. Данный файл широко используется различными веб-мастерами для задания параметров индексирования ресурса. Применив этот файл можно запретит поисковику индексировать определенные разделы веб-сайта, что полностью исключит возможность их появления по результатам поиска. Если сформулировать правильный запрос в Google, то можно найти 5 миллионов ссылок на чаты.

Исследователь отметил, что при помощи простого запроса вида site:t.me join, можно без проблем попасть в закрытые группы Telegram. Получается их приватность сводится на нет.

Как утверждает исследователь, он много раз обращался к разработчикам с сообщениями о найденных им уязвимостях. На сегодняшний день исправлена лишь уязвимость с раскрытием ссылок.