Безопасно ли пользоваться обновленным Telegram для личной переписки? Анонимный Телеграмм: правда о безопасности виртуального общения

Здравствуйте! В каждой программе есть масса различных недоступных для невнимательных глаз фич и приспособлений, значительно облегчающих жизнь пользователя. Сегодня мы поговорим о секретах телеграмм, секретном чате, возможности скрыть телефон, протоколе шифрования и многом другом, о чем вы даже не догадывались. На самом деле все эти полезные примочки лежат почти на поверхности, достаточно просто немного копнуть.

Обзор секретов, скрытых возможностей и функций телеграмм

Как и во всякой программе, в телеграмме есть масса разнообразных фишек, спрятанных в настройках. Некоторые из них распространяются на все версии программы, другие же открываются только в мессенджере на определенном устройстве.

Поэтому не стоит писать что-то вроде: «Я сижу с айфона, а этой штуки у меня нет, что делать?». Скорее всего, она там просто не предусмотрена.

Большинство фишек связано с безопасностью и возможностью скрыть те или иные личные данные. Пасхалок и прочего подобного в программу, к сожалению, пока не добавили.

В программе присутствуют такие неочевидные возможности как:

Возможность скрыть информацию о себе.
Возможность вести секретный чат.
Возможность добавить стикеры, игры и ботов.

О первых двух мы сегодня и поговорим.

Сегодня мы не будем говорить о различных программах, расширяющих функционал. Софт, обещающий «самый секретный час в телеграмме» качайте только на свой страх и риск.

Как скрыть номер мобильного телефона в telegram

Многие пользователи мессенджера хотели бы скрыть свой номер от посторонних глаз. Все же его доступность небезопасна: каждый легко сможет зайти в профиль и посмотреть заветные цифры.

Это чревато:

СМС-спамом.
Различными нежелательными звонками.

Но, к сожалению, такого функционала в программу пока не добавили. Впрочем, создатели обещают над этим поработать.

Чтобы избежать указанных выше последствий, просто заведите вторую сим-карту или используйте «временный» номер, предоставляемый различными сайтами.

Как скрыть свое имя и контакты в телеграмм

Как уже стало понятно из текста выше, далеко не всю информацию можно скрыть. К примеру, убрать имя пользователя вы тоже не сможете. Да и зачем? Чтобы в контактной книге у ваших друзей значилось «???»?

Возможность никому не показывать свой контактный лист напротив имеется и включена по умолчанию. Телеграмм ― это не социальная сеть, и тут никто не сможет увидеть, кого именно вы добавили в друзья (ну, или в телефонную книжку).

Если же вы хотите скрыть контакты от телеграмм, просто заведите аккаунт с компьютерного приложения и никогда не заходите с телефона. Тогда синхронизации с адресной книгой не будет.

Как в telegram скрыть время посещения, статус онлайн, переписку

Более неважные сведенья, на которых не базируется все общение, скрыть можно, но только с мобильного телефона. К сожалению, многие функции безопасности для ПК недоступны. Впрочем, со временем их обещают добавить.

Чтобы убрать из общего доступа свои посещения, сделайте следующее:

Зайдите в меню программы (нажмите на три полоски в верхнем левом углу).
Выберите «Настройки».
Нажмите на «Приватность и безопасность».
Выберите «Последняя активность».
При помощи переключателя сообщите, кто сможет видеть время вашего последнего посещения.

Со статусом «онлайн» все не так однозначно: его не смогут видеть только пользователи из вашего черного списка.

Скрывать переписку ни от кого не нужно: она и так недоступна для чужих глаз. Ну а чтобы избежать ее просмотра с вашего же устройства просто установите код доступа.

Что такое групповой секретный чат в telegram и как он работает

Главная фишка программы, недоступная для desktop version, ― это secret chat. По сути, он является усовершенствованным обычным чатом, использующим почти такой же протокол шифрования, но обладает рядом особенностей.

А именно:

Сообщения не идут на сервер, а хранятся только на компьютере участников чата.
Удаленная переписка не сохраняется ни на одном компьютере ― каждый текст безвозвратно исчезает.
Есть возможность настроить удаление сообщения через определенное время после отправки.

Пользоваться им достаточно легко, если только вы пытаетесь создать секретный чат не на компьютере.

Как создать секретный чат в telegram на pc и телефоне

Чтобы зайти в него, этот самый секретный чат нужно еще и открыть, пригласив всех участников в своеобразную группу.

На телефоне алгоритм следующий:

Зайдите в главное меню.
Выберите «новый секретный чат».
Добавьте всех нужных участников, нажимая на них.

Как видите, сделать это не так и сложно. На ПК же, как мы уже говорили, способов нет.

Что такое секретные боты в телеграмм

К сожалению, такое определение ― лишь слухи, ходящие в сети. Это было бы забавно: робот, спрятанный далеко в коде, и доступный только избранным. Но такого ― увы! ― не существует.

Впрочем, вы можете поиграть в шпиона и создать робота, отвечающего после запутанной и неочевидной команды вроде «Абылварг».

Как удалить секретный чат в telegram

Когда чат надоест вам или станет слишком компрометирующим, его можно будет просто отменить и очистить.

Для начала просто зайдите в переписку, нажмите три точки в правом верхнем углу экрана и выберите «Удалить чат». Искать кнопку «Выйти» не нужно ― вы покинете его самостоятельно, полностью уничтожив всю переписку на всех устройствах.

Почему иногда не работает секретный чат telegram

Стоит различать несколько видов ошибок:

secret chat cancelled. Это значит, что кто-то из группы не в сети. С недавних пор пригласить офлайн-абонентов стало нельзя.
Не приходит уведомление. Посмотрите не на ПК, а на телефоне: для компьютера такого чата не будет существовать.
При логауте удаляются все переписки. Попробуйте переустановить приложение ― это может быть следствием ошибки.

Как работает шифрование в телеграмм

Напоследок разберем, безопасен ли телеграмм и в чем заключается его методика шифрования.

Приводить полный алгоритм мы не будем ― он понятен только профессионалам и доступен на официальном сайте ― а расскажем краткую и понятную версию.

Все происходит следующим образом:

Вы отправляете сообщение.
Специальная программа «шифрует» его по определенным правилам в непонятное сочетание символов.
В таком виде оно сохраняется на компьютере в папке с историей.
Текст переходит на сервер, где хранится в зашифрованном виде.
Сообщение передается на компьютер собеседников.
Оно сохраняется на их компьютерах.
Эта же программа на их устройствах переводит последовательность символов в изначальный текст.

Как включить шифрование сообщений в telegram

Включить или выключить его нельзя ― шифрование есть по умолчанию. И это очень даже хорошо: ни один злоумышленник не сможет прочитать его, даже если перехватит. Ведь в его руках окажется просто последовательность кракозябр.

Выводы

Мы надеемся, что все, рассказанное нами, значительно облегчит вашу жизнь и поможет во многих аспектах современного сетевого общения.

Видеообзор

Данное видео ― это сборник фактов, которые для вас вполне могут стать неожиданными.

Которая быстро превратилась в символ пренебрежительного отношения пользователей к своей приватности. Конечно, еще в большей степени разработка являлась символом идиотизма обитавших там амеб, но сейчас не об этом.

Потом гражданин Дуров клонировал WhatsApp и представил Telegram. В отличии от Вконтакта, акцент на этот раз был сделан на безопасности и приватности. Такой разворот на 180° сбил многих с толку. Некоторые заговорили даже о том, что и стал большим защитником прав на тайну связи и свободный обмен информацией. Но так ли это на самом деле? Эксперты по компьютерной безопасности изучили Telegram и нашли несколько фундаментальных изъянов. Похоже, приватности в новом мессенджере ничуть не больше, чем в предыдущем изделии от Павлентия:

Шифрование выключено. Да-да, по умолчанию переписка не шифруется. Мессенджер, который преподносится разработчиками как суперзащищенный от прослушивания, передает сообщения открытым текстом. Для активации шифрования требуется прервать текущую сессию и установить новое защищенное соединение Secret Chat. Почему не включено шифрование по умолчанию? А вы не догадываетесь?!
Номер телефона. При регистрации сервис требует сообщить свой номер телефона. Проигнорировать это требование нельзя, так как именно на этот номер приходит код активации. Вся пользовательская активность привязывается к этому номеру. Ну и какая тут может быть приватность?!
Контактный лист хранится на сервере. Если у одного из ваших оппонентов изымут (или украдут) телефон, то о вас и ваших связях станет известно, ведь контактный лист может быть повторно запрошен с сервера.
Метаданные. Telegram отправляет просто гигантские объемы служебных данных на сервер. Даже если включено шифрование в рамках защищенной сессии Secret Chat. Это значит, что в любой момент может стать известно с кем вы общаетесь, когда, откуда. Доступ к этим данным могут получить спецслужбы (официально или через эксплуатацию уязвимости).
Надежность шифрования. Проблема в том, что её никто серьезно не проверял. Да, был объявлен конкурс на взлом с денежным призом. Никто не справился. Но давайте разберемся, является ли этот факт доказательством криптографической стойкости и надежности дуровских алгоритмов? Всем известно, что лучшие криптоаналитики работают на АНБ и иные спецслужбы. Можно ли предположить, что могущественное ведомство с многомиллиардным бюджетом сольет найденные и эксплуатируемые дыры, позарившись на денежное вознаграждение от г-на Дурова? Таким образом, конкурс задействовал лишь любителей и энтузиастов, которые не нашли в алгоритме уязвимости. Это единственное доказательство надежности шифрования в Telegram.
Болтливость. Как уже говорилось, «безопасный» Telegram зачем-то отправляет гигантские объемы метаданных на сервера, принадлежащие г-ну Дурову. Но это еще полбеды. Настоящая проблема в том, что часть метаданных рассылается по списку контактов. Злоумышленник может обманом попасть в контактный лист жертвы и снимать часть метаданных. Работающие прототипы, позволяющие получать информацию об активности пользователя, уже представлены. В них эксплуатируется одна странная особенность официального клиента Telegram под Android: программа каждый раз высылает уведомление по всем контактам, когда пользователь делает окно с Telegram активным или переключается на другую программу. Сопоставляя эти данные с активностью других пользователей Telegram, аналитик может вычислять примерный круг общения жертвы.

Эксперты предупреждают: разработчики Telegram выдают свою разработку за средство защищенного общения, однако по факту Telegram им не является. Будьте внимательны и обязательно учитывайте этот факт.

Прошлой весной эксперты с Juliano Rizzo (@julianor) придумали криптографическую атаку на «секретный» чат MTProto из Telegram, которая может быть осуществлена приблизительно за 2^64 операций. Атака осуществляется с позиции человека посередине на серверах Telegram.

Сообщения, отправляемые пользователям вне секретного чата, сохраняются на серверах Telegram таким образом, что позволяют компании просматривать содержимое сообщений и передавать их третьим лицам.

Так происходит всегда, если беседы могут перемещаться между устройствами (например между телефоном и компьютером). Эти чаты не являются приватными, то есть пользователи должны быть очень внимательны, чтобы случайно не отправить инкриминирующую информацию или картинки без включения секретного чата. Групповые чаты к тому же вообще не используют ent-to-end шифрование. Более того, когда кто-нибудь входит в такой чат, он сразу получает доступ к ранее отправленным несекретным сообщениям. Мы к этому вернемся чуть позже.

Секретный чат

Слоган Telegram гласит: «taking back our right to privacy», и имеется в виду секретный чат с end-to-end шифрованием. Эта часть была легко взломана во время первого соревнования по компрометации Telegram с XOR-ключами выдаваемыми сервером.

По сути, end-to-end шифрование «Телеграмма» — это протокол Диффи-Хеллмана для выбора ключа, а затем шифрование по видоизмененной схеме AES. Аутентичность end-to-end шифрования основывается на усеченном SHA-1 хэше общего секретного ключа, который отображается графически в качестве отпечатка. Этот отпечаток каким-то образом нужно передать и сравнить визуально. Если вы криптограф, то мне очень жаль, что вам пришлось это прочитать; я понимаю, как это мучает и противоречит многочисленным наработкам и канонам. По крайней мере инженеры из Telegram хотя бы используют неплохие рекомендации и требования к значениям параметров Диффи-Хеллмана.

Отпечаток, который два пользователя должны сравнить, получается из хэша ключа Диффи-Хэллмана. То есть общий ключ имеет пространство значений 2^2048, хэш-функция SHA-1 производит 160-битный хэш. 160-битных хэш обрезается до 128 бит, которые и используются, чтобы получить отпечаток (см. рисунок).

Важно понимать, что это кошмар крипто-юзабилити. Когда я встречаю кого-нибудь из пользователей Telegram я спрашиваю, как они организовывают аутентификацию секретного чата; и как правило ответы приносят лишь разочарование. Обычно пользователи просто посылают скриншот отпечатка прямо через секретный чат, который они и пытаются установить. Для атакующего человека посередине автоматическая подмена картинки с отпечатком — это совершенно тривиальная задача.

Атака 264

Хорошо, допустим теперь вы все делаете правильно, и производите сравнение отпечатков при личной встрече. А также не допускаете ошибок при сравнении, потому что вы чрезвычайно внимательны.

Первое наблюдение состоит в том, что несмотря на то, что общий секрет находится в пространстве 2048-битных простых чисел, аутентификация, предотвращающая атаку человека посередине, использует лишь 128-битный отпечаток, который сравнивается визуально. Если можно осуществить эффективный перебор параметров ДХ, то человек посередине смог бы подделать отпечаток.

Второе наблюдение состоит в том, что в стандартном поведении протокола человек посередине должен работать лишь с несколькими параметрами. Со стороны второго пользователя не так уж много способов контролировать результирующий общий секрет.

В классическом сценарии атаки на ДХ человек посередине просто выбирает отдельный общий секрет для каждого из пользователей.

В то же время, если атакующий использует социальную инженерию, чтобы второй пользователь начал секретный чат по собственной инициативе, то у него намного больше свободы действий. То есть сейчас атакующий выбирает два публичных ключа (A и B). Человек посередине может создать два общих секрета M1A и M1B с разными экспонентами m1 и m2, тогда как раньше у него была лишь свобода выбора общего секрета с первым пользователем.

Вот это и является атакой. Атакующий перебирает значения m1 и m2, которые дадут одинаковый 128-битный отпечаток для M1A и M2A. Возможность поиска значений и m1, и m2 для разных общих секретов позволяет осуществить атаку «дней рождения» для поиска коллизии. Вместо поиска в пространстве 2128, атакующий перебирает 264 значения ‘m1’ и 264 значения ‘m2’, вероятность успеха около 50%.

С точки зрения сложности атака требует порядка 265 операций. В 2015 году такая сложность является неприемлемо низкой. Для справки, NIST объявил SHA-1 устаревшим ещё в конце 2012 и рекомендовал использовать SHA-256 в качестве замены. Атака «дней рождения» на SHA-256 потребует около 2128 операций. Так что несмотря на высокую стоимость, описанная выше атака вполне осуществима хорошо финансируемым злоумышленником.

С точки зрения реализации, на первый взгляд кажется, что атака все ещё требует чрезмерно высоких ресурсов.

Одним из заблуждений является то, что экспоненцирование такой большой величины в поисках коллизии является слишком тяжелым с вычислительной точки зрения, поскольку приходится экспоненцировать 2048-битные простые числа. На самом деле атакующему нужно выполнять только возведения в квадрат и деление по модулю на каждом шаге.

Другим заблуждением является сложность по памяти в 264. Это тоже неверно, поскольку существуют параллельные и не требующие большого количество памяти атаки «дней рождения», и существуют различные стратегии компромисса между используемой памятью и затраченным временем. Мы написали код, использующий ρ-aлгоритм Полларда для поиска коллизий, не требующий много памяти.

В целом, я бы оценил полную атаку в диапазоне десятков миллионов долларов с точки зрения инфраструктуры и электричества для получения полной коллизии за разумное время. Атакующий также может украсть или арендовать существующую инфраструктуру, например ботнет или суперкомпьютер. Другими словами все вписывается в бюджет суперзлодея.

Оценка стоимости атаки за 260 операций — www.schneier.com/blog/archives/2012/10/when_will_we_se.html

Производительность вычисления SHA при помощи GPU — gist.github.com/epixoip/c0b92196a33b902ec5f3

Telegram ответил на описание данной атаки статьей, где они оценивают атаку в триллион долларов.

Почему суперзлодею не нужна эта атака

Конечно, атакующий может потратить кучу денег с целью получить доступ к серверам Telegram и ещё больше денег, чтобы осуществить атаку, но давайте будет реалистами, есть куда более простые и значительно более выгодные атаки.

Все списки контактов и обычные чаты находятся на серверах Telegram с кучей метаданных, кто с кем общается, как часто, с номерами телефонов и достаточным количеством сохраненных чатов. Если атакующий получил доступ к серверам Telegram, то полученные данные — это уже очень хорошо, и нет необходимости подслушивать секретные чаты. Нет, серьезно, разве это не та информация, за которой охотится суперзлодей?

Теперь, если суперзлодей действительно хочет перехватить секретные чаты, он может рассчитывать, что жертва просто отправит отпечаток через новое секретное соединение. К сожалению, многие пользователи так и поступают. И поскольку мы говорим о суперзлодее, то он может перехватить другие каналы коммуникации, которые пользователь попытается использовать для аутентификации, например SMS; дело ещё и в том, что визуальный отпечаток не может быть передан вербально, поскольку большинство клиентов не показывают отпечаток в читаемой форме. Два отпечатка просто-напросто подменяются суперзлодеем, и до следующей личной встречи пользователи так и не узнают, что их общение было перехвачено.

И ещё кое-что. Допустим, люди используют приватные мессенждеры на телефоне, чтобы избежать уязвимых средств коммуникации, предостовляемых операторами связи. Тем не менее, единственной системой аутентификации в Telegram является SMS-код.

Мы знаем что SMS слабо защищены, и мы знаем, что злоумышленники очень часто это используют. SMS могут быть подслушаны и взломаны, пользователи могут быть подключены к поддельным базовым станциям, а ещё операторы могут быть взломаны (вспомните belgacom) или принуждены к сотрудничеству. То есть если SMS является методом аутентификации, то очевидно, что аккаунт Telegram может быть похищен.

Атака SMS также не требует высоких технологий. Если суперзлодей атакует вруга (frenimy — враг, притворяющийся другом; примечание переводчика), он может просто одолжить телефон (или SIM-карту, если телефон запаролен) на несколько минут и украсть аккаунт. Более того, Telegram сохраняет и показывает старые сообщения. С украденного аккаунта суперзлодей может с помощью социальной инженерии вынудить контакта начать новый секретный чат, чтобы тот сообщил какой-нибудь секрет.

Как починить Telegram

Первого декабря Telegram анонсировал forward secrecy, эта фича добавляет ротацию ключей внутри установленного канала. Но это никак не помешает описанной атаке человека посередине. Есть несколько вещей, которые надо починить в Telegram, и вот список наиболее критичных.

Во-первых , чаты (включая групповые) должны иметь end-to-end шифрование по умолчанию. Это избавит от человеческих ошибок и утечки информации.

Во-вторых , end-to-end шифрование должно перейти от аутентификации при каждом чате к криптографии с публичными ключами для идентификации пользователей. Нет никакого смысла аутентифицировать секретные чаты сессионным ключом. Вместо этого у каждого пользователя должен быть один или несколько публичных ключей, с помощью которых происходит выбор ключа сессии. Пользователи подтверждают друг друга единожды, и все.

В-третьих , аутентификация пользователя — это очень, очень слабая защита для приватного мессенджера, и злоумышленник, который может позволить себе перехват SMS, может легко украсть аккаунт и использовать социальную инженерию или просматривать обычные чаты. Необходима другая схема аутентификации аккаунта, и как можно скорее, пусть даже пароли с двух-факторной аутентификацией. Кстати, этот вектор является наиболее вероятным для реальных атак без взлома серверов Telegram, и это может сделать даже обычный злодей, не обязательно быть суперзлодеем.

И наконец , ради приватности в Telegram нужно сделать возможной коммуникацию без необходимости в адресной книге и телефонном номере, чтобы позволить использовать Telegram анонимно; сейчас это невозможно.

Serzhenko отмечает, что в конце 2014 года в Telegram появились никнеймы. Это избавляет от необходимости знать номер телефона собеседника, но в то же время аутентификация по-прежнему осуществляется по номеру телефона, и на серверах эта информация хранится.

Соревнование Telegram

На данный момент идет соревнование с призом в 300 тысяч долларов за взлом end-to-end шифрования. Можно ли использовать описанную атаку? Дело в том, что само соревнование организовано так, что не позволяет устроить атаку типа «человек посередине». Если бы условия конкурса это позволяли, то у атаки был бы шанс. Ну, правда, скорее всего, вычисления будут стоить больше, чем приз; можно, конечно, использовать крауд-сорсинг.

Читатели, поищите ещё баги и уязвимости в MTProto, как минимум несколько ещё должно быть.

НАШЕ МНЕНИЕ

В отличие от мессенджеров, называющих себя "безопасными", SafeUM - действительно защищенный мессенджер , в котором предусмотрены и реализованы самые .

1. Пользователи SafeUM могут регистрироваться только по логину и паролю, не привязывая учетную запись к номеру телефона. Это гарантирует анонимность учетной записи.

2. Мессенджер Телеграм не имеет надежного способа защиты данных во время их передачи, который реализован в SafeUM. Цифровая подпись - автоматическая технология защиты информации подтверждает аутентичность сторон связи, а также целостность информации. Хакерское использование учетной записи, вторжение в чат и подмена информации полностью исключаются.

3. В SafeUM реализовано шифрование при помощи двух ключей - Открытого и Закрытого . Мы храним на наших серверах только копию Вашего Открытого ключа, это необходимо для аутентификации и верификации собеседников. Закрытый ключ также никогда не передается на серверы SafeUM, он находится ИСКЛЮЧИТЕЛЬНО в оперативной памяти Вашего устройства и после его выключения или перезагрузки стирается.

Как стало известно сегодня, в августе Telegram изменил свою политику конфиденциальности , добавив туда возможность передачи данных спецслужбам. «Если Telegram получит судебное распоряжение, которое подтверждает, что вы подозреваетесь в терроризме, мы можем раскрыть ваш IP-адрес и номер телефона властям», - говорится в обновленной политике мессенджера. О случаях раскрытия данных пользователей Telegram обязуется рассказать в полугодовом отчете . The Village решил разобраться, насколько опасны эти изменения для рядовых российских пользователей, стоит ли задуматься о смене мессенджера тем, кто не хочет оказаться под колпаком у спецслужб, и перестанут ли российские власти блокировать Telegram.

Что говорит основатель Telegram

Павел Дуров

основатель Telegram

Этим летом мы создали полноценную политику конфиденциальности Telegram, чтобы соответствовать новым европейским законам об охране личных данных.

В политике конфиденциальности мы оставили за собой право передавать IP-адрес и номер телефона террористов соответствующим службам по решению суда. Независимо от того, будем ли мы когда-либо пользоваться этим правом, такая мера должна сделать Telegram менее притягательной площадкой для тех, кто занимается здесь рассылкой террористической пропаганды.

Может ли это изменение привести к прекращению попыток блокировки Telegram в России? Думаю, что нет, по двум причинам:

В России от Telegram требуют не номер и IP-адрес террористов по решению суда, а нечто принципиально иное - доступ к сообщениям, причем всех пользователей.

Telegram в России находится вне закона; ежедневно блокируются сотни IP-адресов в попытках пресечь доступ к сервису. В этой связи какие-либо обращения от российских служб мы не рассматриваем, и наша политика конфиденциальности не касается ситуации в России.

Поэтому продолжаем сопротивление.

Что думают эксперты

Сергей Кулешов

заместитель генерального директора «1С-Битрикс»

Telegram, как мы видим, начал шагать навстречу властям. Не думаю, что это только из-за России и РКН, подобные требования применяются сейчас в большей части стран.

Вопрос безопасности тут звучит странно - безопасности от чего? От раскрытия вашего номера телефона и IP-адреса в случае, если вы террорист? В данном случае это будет решать суд, а не спецслужбы. Да и вообще, вопрос манипуляции законом - это все же другая плоскость.

Обычному пользователю не о чем беспокоиться, если он не собирается организовывать теракт.

Касательно сравнения с другими мессенджерами с шифрованием: их много, но это никак не влияет на требования к ним государств, связанные с борьбой с терроризмом и преступностью. Переходить куда-то большого смысла не имеет, все мессенджеры обязаны предоставлять данные. Кто-то просто еще не успел с этим столкнуться или не так публичен. Telegram вообще занимает очень открытую позицию, что вызывает уважение. Кто еще из мессенджеров готов публично признать факт раскрытия данных?

Следует ли теперь ожидать снятия блокировок Telegram в России? А вот это мы в ближайшем будущем и узнаем. И следить будем внимательно. Заранее говорить о том, устроит ли эта позиция наши спецслужбы, сложно.

Александр Калинин

руководитель Центра реагирования на инциденты информационной безопасности (CERT) Group-IB

Простого пользователя изменения никак не коснутся - тайна переписки не нарушается. Любой не очень активный пользователь сам оставляет в сети огромное количество персональной информации о себе - получить и проанализировать их намного проще.

Принципиальной разницы между Telegram и другими мессенджерами, например, Signal, не будет.

Конфиденциальность переписки ни в Signal, ни в Telegram скомпрометирована не была. Signal, как популярный за рубежом мессенджер, также имеет свои Политики Конфиденциальности, в которых прописано, что в случае получения законного запроса они могут передать сведения правоохранительным органам.

Мгновенного снятия блокировок Telegram в России ожидать точно не следует, так как выдача мессенджером по запросу суда ограниченного набора технических сведений об аккаунте (IP, телефонный номер пользователя) - это не передача ключей шифрования переписки, выдачи которых добивалось ФСБ. В кампании по блокировке

Telegram в России победителей не оказалось. Но теперь, хочется верить, конфликт удастся урегулировать в рамках правового поля.

В российских СМИ и блогах распространилась информация о взломе мессенджера Telegram сотрудниками Федеральной службы безопасности России, основанная на неподтверждённых и крайне сомнительных данных западных журналистов. Объясняем, что произошло и стоит ли волноваться.

Что случилось?

Американское издание BuzzFeed опубликовало очень сомнительный доклад о том, что у российских властей есть компромат на Дональда Трама. Он частично основан на выдумке, содержащиеся в нём сведения не подтверждены, известно, что некоторые авторитетные издания отказались от его публикации. Medialeaks о содержании этого доклада и о том, что с этим документом не так.

Но многие российские СМИ стали писать новости, основываясь на этом докладе. В нём, в том числе, утверждается, что мессенджер Telegram был взломан сотрудниками ФСБ.

Общий смысл приведённого фрагмента такой: интерес ФСБ к Telegram основан на том, что в нём общаются политические активисты и оппозиционеры. Её сотрудникам каким-то образом удалось взломать мессенджер, и теперь там не безопасно.

Что говорит Дуров?

Создатель Telegram Павел Дуров в комментарии изданию усомнился как в подлинности доклада, так и в информации о взломе Telegram. Он считает, что за формулировкой о взломе стоит история о перехвате авторизационных сообщений оппозиционеров.

Присоединяюсь к комментариям Дональда Трампа и WikiLeaks. Если доклад имел место (что вряд ли - Buzzfeed не является источником достоверной информации), формулировка «His/her understanding was that the FSB … had cracked this communication software», скорее всего, подразумевает перехват авторизационных SMS Козловского и Албурова в апреле 2016 года. Но если бы доклад был настоящим, он лежал бы в New York Times или Washington Post. - Павел Дуров, создатель telegram

Что за история с перехватом SMS?

В апреле 2016 года оппозиционеры Георгий Албуров и Олег Козловский . Это взволновало многих, так как мессенджер позиционировался как абсолютно защищённый.

Однако создатели оговариваются, что не смогут уберечь вашу переписку в случае, если само устройство попадёт не в те руки: гарантии безопасности касаются только шифрования и передачи зашифрованных данных.

Так был ли он взломан?

Пока эксперты говорят, что верить сообщениям о взломе не стоит - слишком мало подробностей. Технический директор РосКомСвободы Станислав Шакиров рассказал «Открытой России» , что согласен с Дуровым и речь в докладе, скорее всего, идёт о случае перехвата авторизационных сообщений оппозиционеров.

Если бы произошёл взлом, об этом были бы уже опубликованы отчёты, вся информация стала бы доступна общественности. Кроме того, не совсем понятно, что можно называть взломом. Если спецслужбы целиком взламывают инфраструктуру Павла Дурова, конечно, в этом случае, можно получить всю информацию, в том числе из секретных чатов. Основная переписка хранится на серверах Telegram, но она зашифрована. Алгоритмы шифрования, которые используются в Telegram, взломать нельзя. Соответственно, и до секретных чатов добраться практически невозможно. Когда происходят атаки таких серверов, обычно взламывается какая-то инфраструктура, лежащая вокруг шифрования. Обычно такие атаки сразу видны создателям и они пытаются немедленно их пресекать. Конечно, любые сервисы могут быть уязвимы, но в данный момент я не вижу причин, чтобы не пользоваться Telegram. Пока он нигде себя не скомпрометировал. - Станислав Шакиров, Технический директор РосКомСвободы

Пользуйтесь 2-факторной аутентификацией и, если очень важно сохранить переписку конфиденциальной,