В все еще неопубликованной методике моделирования угроз ФСТЭК есть такой пункт, как необходимость включить в модель угроз описание информационной системы, что позволит правильно очертить границы защищаемого объекта и учесть все угрозы, связанные с ним, в том числе и неявные (вот тут я про это более подробно рассказывал). И вот, находясь в командировке с последующим отпуском в США, я столкнулся с интересным кейсом, который иллюстрирует классическую ошибку (о ней же говорит и ФСТЭК) при очерчивании границ информационной системы в модели угроз.
Итак, возьмем популярный мессенджер Telegram, который считается одним из самых защищенных в своей нише. Одной из ключевых фишек этого мессенджера называется отсутствие хранения сообщения на серверах и секретные чаты, которые существуют не очень долго и которые самоуничтожаются по истечении определенного периода времени. Все вроде очень надежно и безопасно, но.
Во время поездки iPhone вдруг в какой-то момент перестал загружаться и все танцы с бубном не привели к его восстановлению. Оставалось только зайти в ближайший Apple Store и решать проблемы с поддержкой Apple, которая отработала на ура и после нескольких попыток вернуть смартфон к жизни предложила просто поменять его на новое устройство ввиду отсутствия у старого железа желания возвращаться к жизни. По приходу в гостиницу я решил залить на новый смартфон резервную копию, но, торопясь, ткнул мышкой не в последнюю версию, а в январскую (то есть более чем полугодовой давности). Первоначально я этого не заметил и после ее установки стал «добавить» устройство отсутствующими приложениями. Одним из них оказался и Telegram, которого в январе у меня еще не было (я его установил только в апреле). Каким же было мое лицо, когда после установки Telegram с нуля я увидел в нем всю переписку, которая велась в нем еще на старом устройстве!
WTF, подумал я, по привычке перейдя на американский. Как на абсолютно новом устройстве могли появиться данные, которых там никогда не было и которых не было в резервной копии, которая была залита на устройство? Где хваленая безопасность Telegram. Стал разбираться и выяснилась занятная вещь. Оказывается, при включенном iCloud Drive, Telegram автоматически (я не помню, чтобы он меня об это спрашивал при установке) включает функцию хранения данных в облаке Apple.
В настройках Telegram отключить эту функцию нельзя (там нет соответствующего пункта меню) и найти ее можно только если идти в «Настройки — iCloud — iCloud Drive».
Очень интересная «фича», которая сразу приводит нас к сценарию атаки на людей, с чьей перепиской мы бы хотели ознакомиться:
- угоняется учетная запись пользователя в iCloud
- клонируется SIM-карта жертвы (технически или путем получения клона у мобильного оператора)
- в новом iPhone восстанавливается вся история переписки Telegram.
А во-вторых, хотел бы вернуться к тому, с чего я начал. При моделировании угроз очень важно четко описать границы системы, для которой моделируются угрозы. Особенно это важно в современных условиях, когда «теневые» облака активно используются сотрудниками практически любой компании. А помимо облаков еще есть 3G/4G-модемы, Wi-Fi и другие технологии, позволяющие существенно расширить как границы системы, так и список потенциальных угроз. Конечно же часть этих угроз может быть признана неактуальной, но сделать это можно только после того, как будет составлен их полный перечень, о чем и говорит пока еще не вышедшая методика ФСТЭК.
 |
| Пример неудачной модели угроз |
ЗЫ. А может это закладки спецслужб.
Источник: www.securitylab.ru
Десктопный клиент Telegram хранит чаты в незашифрованном виде
Рекомендуем почитать:
Xakep #292. Flipper Zero
- Содержание выпуска
- Подписка на «Хакер» -60%
На прошлой неделе мы писали о нескольких проблемах, которые специалисты по безопасности обнаружили в десктопных версиях мессенджера Signal.
Тогда одной из уязвимостей стал недочет, замеченный исследователем Нэйтаном Сёчи (Nathaniel Suchy). Оказалось, что во время установки Signal Desktop создает зашифрованную БД SQLite (db.sqlite), где хранит сообщения пользователя. Ключ шифрования от этой БД генерируется мессенджером автоматически, без взаимодействия с пользователем. Данный ключ хранится локально, в отрытом виде. На ПК его можно найти в файле %AppData%Signalconfig.json и на Mac в ~/Library/Application Support/Signal/config.json. В итоге «вскрыть» базу и получить доступ к сообщениям можно без каких-либо усилий.
Теперь BleepingComputer сообщает, что Сёчи решил проверить безопасность десктопного клиента Telegram и обнаружил в нем очень похожую проблему. Telegram Desktop тоже хранит чаты пользователя в локальной БД и к ним так же можно получить доступ поскольку они никак не защищены.
Сёчи рассказал журналистам, что прочитать содержимое SQLite-базы может быть немного сложно (см. иллюстрации ниже), однако база незашифрована. Кроме того, в БД можно обнаружить имена и номера телефонов, связанные друг с другом. И, наконец, самое скверное — по словам исследователя, в той же незащищенной базе оседают и переговоры из «секретных чатов».
Похожая ситуация наблюдается и с медиафайлами. Сёчи пишет, что достаточно было просто поменять расширение файла, и картинки стало возможно просматривать.
Хотя сам исследователь и представители BleepingComputer уже попытались связаться с разработчиками Telegram, пока никаких ответов и комментариев с их стороны получено не было.
UPD.
В русскоязычном Telegram-канале Павла Дурова появилось опровержение слов исследователя. Дуров утверждает, что находку Сёчи нельзя считать уязвимостью, раз эксплуатация бага предполагает, что преступник уже имеет доступ к компьютеру жертвы.
Отмечу, что говоря о «настоящих угрозах», Дуров ссылается на публикацию ][ о баге в WhatsApp.
Источник: xakep.ru
Телеграмм – безопасность зарегистрированных пользователей важнее всего
Телеграмм безопасность — очень волнующий раздел всех пользователей приложения. Мы расскажем все в одной статье о Telegram и его безопасности. Читай быстрее!
Одним из самых важных критериев в пользу выбора приложения является безопасность пользователя и сохранение полученных им данных. Практически все программы и приложения, несмотря на высокую степень защиты, поддавались взлому – информация передавалась третьим лицам, а аккаунты использовались в качестве разносчика спама. Разработчики предусмотрели возможность полного контроля над доступом к профилю, поэтому при создании приложения использовался секретный код, вскрыть который не предоставляется возможным. Разработчики доказали: Телеграмм = безопасность.
С момента выпуска приложения, с 2013 года, не было зафиксировано ни одного случая взлома мессенджера. Создатели программы, уверенные в сверхбезопасности своей разработки, создали конкурс – победитель получит десятки тысяч долларов, если получит доступ к чужому профилю и вскроет историю сообщений. Вдохновленные такой наградой, тысячи программистов-гениев пытались сделать это, но их попытки не увенчались успехом – можете представить уровень безопасности приложения Telegram? Все же, один человек отчасти совершил победу: тем не менее, историю сообщений он узнать не смог, а лишь нашел уязвимость в чатах. В итоге ему досталась лишь половина призовых денег, но Павел Дуров сделал «Ход конем» и пригласил этого программиста на работу в мессенджер.
Безопасен ли Телеграмм именно в РФ?
Это интересно: Telegram использует специальный протокол шифрования MTProto, который разработал Николай Дуров и команда программистов. Является на 2016 год одним из самых защищенных протолоков. Именно поэтому у Дурова возник конфликт с ФСБ в 2017 году у них просто не получалось прослушивать Телеграмм.
Как увеличить безопасность Телеграмма?
Несмотря на сильную безопасность, не стоит пренебрегать мерами предостережений – программа обладает высоким уровнем дополнительной защиты:
- Ни в коем случае не давайте телефон посторонним лицам, даже если вы уверены в них;
- Установите пароль на телефоне, и никому не сообщайте его;
- Не ограничивайтесь одним паролем – в настройках Telegram (раздел приватность и безопасность) установите двойной код доступа;
- Скройте свой номер телефона на главной странице профиля Telegram(напоминаем, что приложение предоставляет доступ к этой информации только для сохраненных контактов);
- Всегда завершайте начатые сеансы и выходите из своего профиля;
- Используйте самоуничтожающиеся и секретные чаты;
- Установите ограничения на предоставление доступа к информации, когда вы были в сети последний раз.
Реальные пользователи Telegram оставили весьма положительные отзывы о безопасности мессенджера. Прочитать их можно как и на главной странице Telegram в магазине приложений, так и посмотрев различные обзоры блоггеров.
Интересная особенность заключается в том, что помимо протокола шифрования MTProto пользователи могут настроить как двухэтапную авторизацию, так и самоуничтожающиеся сообщения и уничтожение учетной записи. Что ставит под сомнение любые попытки взлома, даже от ФСБ т.к. к моменту получения доступа (а это практически невозможно) либо переписка может быть уничтожена, либо аккаунт уже перестанет существовать! Все тоже самое касается и мессенджера Телеграм Х — безопасен, шифруется и можно уничтожить учетную запись.
Предоставление данных третьим лицам
Очень многие крупные компании и приложения признаются, что имеют доступ к аккаунтам пользователей, используют их данные и сохраненные файлы, объясняя это тем, что так легче узнать, чего не хватает программе. Многие пользователи крайне недовольны таким исходом событий. С Телеграммом вам не придется задаваться вопросом, сливает ли он данные ФСБ или третьим лицам – даже разработчики не имеют доступа к чужим данным профиля. В противостоянии с Телеграмм, ФСБ не раз требовали предоставить подобную информацию, однако ни разу требования ФСБ не были выполнены.
Безопасность Телеграмм или миф о прослушке
Еще одной немаловажной проблемой является возможность прослушивания данных ФСБ. Причин для паники нет: благодаря высокому уровню защиты и сильной кодировке данных Telegram, данные невозможно прослушать и передать мошенникам. Прежде чем задаться вопросом, можно ли прослушать данные, или нет, ознакомьтесь со статистикой пользователей: в число юзеров Telegram входят бизнесмены и известные политики, специальные службы и даже секретные группировки. Ни один из них не смог пожаловаться на плохую безопасность Телеграмма. Криптографический договор, установленный создателями приложения, обеспечивает дополнительный уровень защиты. Так что отвечая на вопрос, можно ли прослушать Телеграмм в РФ, ответ довольно однозначен — нет (или пока нет), даже если вы секретный агент ФСБ) Также, если программа регистрирует попытку взлома, она автоматически отправляет пользователю код подтверждения доступа, который, в свою очередь, также исключает возможность совершения взлома.
С другой же стороны, большинству пользователей на самом деле все равно прослушивается Телеграмм спецслужбами ФСБ или нет, ведь скрывать по сути нечего.
Источник: telegramzy.ru