Comments 76
В 2019 году Telegram обвинили в раскрытии номеров телефонов участников протестных акций в Гонконге. Компания признала баг с утечкой конфиденциальных данных, но пояснила, что это фича. Она позволяла полиции генерировать контакт-лист с тысячами телефонных номеров по порядку, добавляться в группу протестующих и смотреть, какие пользователи из контакт-листа уже есть в группе.
Хорошая задачка для школьников - мессенджер позволяет заводить аккаунт с N номеров в контакт-листе, и позволяет увидеть - есть ли "друг" из контакт-листа в группе. Сколько полицейских аккаунтов нужно, чтобы однозначно расставить соответствие - аккаунт в мессенджере = номер телефона?
Полицейские аккаунты не нужны. Надо создать файл телефонной книги и скриптом занести туда все номера телефонов, потом этот файл импортировать в телефонную книгу и в телеграм. Все контакты будут подписаны.
Мне ещё такой вопрос в голову приходил. В телеграме же есть фича: когда пользователь регистрируется, то тем пользователям, у которых был его номер в списке контактов, приходит оповещение. Причём беглый гуглеж мне подсказал, что отключить это нельзя. Можно запретить искать тебя по номеру, но это уже после регистрации будет. Теперь вопрос, сколько понадобится полицейских аккаунтов, чтобы гарантированно деанонимизировать любого нового пользователя? Ну если списки контактов этих полицейских аккаунтов просто заполнить неактивными в данный момент номерами.
> Отправляешь картинку в общий чат -> у майора с доступом к логам провайдера есть возможность точно определить кто это сделал.
Это как, если трафик к мессенджеру шифруется? Особенно если мессенджер достаточно популярный и к нему идет огромное количество обращений, соответственно отловить по времени отправки и размеру картинки вряд ли получится.
Товарища майора наконец-то повысили до подполковника
И все бы хорошо, но в современом мире, где "белый" IPv4 адрес уже настолько редкий зверь, что за его использование приходится доплачивать, мне кажется эта функция вряд ли корректно работает в целом. А до IPv6 мы пока еще не доросли...
С учётом того, что большая часть трафика пользователей телеграм приходится на мобильное устройство + мобильный интернет, то добавив к IP-адресу время подключения, и повоздействовав на ОпСоСа можно получить все данные о пользователе мобильного оператора.
Покажите ОпСоСа, который бесплатно даёт белый IP
С учетом количества пользователей телеграм и плотности мобильных устройств в городах, с одного белого IP в один момент времени телеграмом может пользоваться десятки человек. Я понимаю, что если надо найти "кого надо" это сильно сузит область поиска, но не понимаю как можно конкретно идентифицировать пользователя, основываясь только на адресе и времени подключения. Добавляем сюда впн/прокси и всё становится ещё туманней.
P.S. Я не знаю, как работают мобильные сети изнутри, может там есть какие-то нюансы, и рассуждаю в контексте обычной сети
ОпСоСу не обязательно выдавать белый IP. ОпСоС может по своим логам определить, кому был предоставлен указанный IP в указанное время.
Мне Теле2 выдает адрес из 10.0.0.0/8 сети и трассировка показывает прохождение еще через 2 таких до выхода "наружу"
В любом случае ОпСос имеет возможность хранить историю трансляций адресов. Делает он это или нет - вопрос другой.
Наверняка какое-то время хранит. Но если вы не перемещаетесь, как выше верно подметил nidalee, то ценность информации, что вот эти N юзернеймов в конкретном месте, в конкретное время находились в телеге имхо не слишком велика (если среди вас не было Гитлера, конечно).
Про "ещё 2" - это ничего не меняет совсем. Ну будет в логах у провайдера дополнительное поле какой адрес в какой транслируется в данном соединении (или пакете, если они настолько богаты, чтобы хранить логи пакетов, а не соединений), это вроде как любые стандартные логи покажут. Уж какой внутренний адрес какому абоненту они выдали я думаю они разберутся.
ОпСоС зачастую выдает белый IP сразу на много клиентов, по крайней мере я всегда попадал на такой NAT
Все опсосы уже давно работают на IPv6
повоздействовав на ОпСоСа
Повоздействовав на ОпСоСа ордером в рамках ОРМ можно получить все что угодно есть у ОпСоСа на пользователя. А вот если воздействовать "неформально", не обладая правом на проведение ОРМ, можно самому получить статью УК вместо данных.
А где сам сервис? Или это сервис, кого надо сервис?
читал на хабре что-то о таком, вроде МГУшник, эмигрировавший в США в 90х, написал, но не могу никак найти
Сотрудничество с администрацией нужно для торговли премиум аккаунтами и прочей рекламой.
Так что проблема только с популярностью.
Сотрудничество с администрацией нужно для торговли
Торговля - вторична. На первом месте стоит вопрос выживаемости - не будешь сотрудничать, тебя заблокируют на уровне страны. Телеграм это скорее уникальный случай, он всеми силами боролся с блокировками. С обычными (в плане технологии) сайтами типа Facebook такое не пройдет.
Просто стоит поменять бизнес-модель.
Или с самого начала делать как Matrix
Ну допустим New Vector решит сотрудничать — что они дадут то? доступ к аккаунтам на тех бриджах что у них хостятся и доступ к незашифрованным каналам тех серверов что у них хостятся?(а потребовать расшифровать не получится — у сервера тупо нет ключей в пригодном виде).
Наехать на core team чтобы добавил функционал отключения шифрования для спасения детей — так Synapse штука опенсорсная (да и другие серверы пилят).
В клиенте добавить перехват — они тоже опенсорсные.
Ко всем владельцам homeserver'ов приходить — так:
- homeserver не сможет вырубить шифрование если клиент решил что надо
- они в очень разных юрисдикциях
- компании кто готов за денежку малую все настроить и захостить за вас тоже в разных юрисдикциях (и некоторые — privacy любят)
- руками все тоже ставится, готовые скрипты на гитхабе
Дальше что? Сажать за обнаружение клиента на смартфоне? Их больше одного.
Из интересных вещей встречается платный Арабский мессенжер работающий по принципу P2P
Без сервера.
Производитель берет плату за соединение с шифрованным VPN (хотя где карантии что там не дешифруется все)
А вообще любой мессежер который поддерживает групповые чаты больше 2 чиваег - столкнется с проблемой что ключики дешифрования выгоднее хранить на сервере а не каждому чилавегу выписывать отдельный ключ и высылать ему персонально зашифрованные сообщения.
Из бесплатных P2P знаю TOX но не могу дать гарантий что он не палится
Все остальное - давно может быть дешифрвано прямо на сервере.
Хабровчане!
А вы не думали почему Паша Дуров слился и его Телегу перестали блочить в РФ?
А вообще любой мессежер который поддерживает групповые чаты больше 2 чиваег — столкнется с проблемой что ключики дешифрования выгоднее хранить на сервере а не каждому чилавегу выписывать отдельный ключ и высылать ему персонально зашифрованные сообщения.
Я ж говорю — Matrix.
Умеет в групповые чаты с кучей людей и с E2E (но это не по умолчанию и в некоторых случаях не рекомендуется — если чат все равно открытый). Ключей у пользователя разумеется существенно больше одного. Разумеется персонально копии сообщений не высылаются (а вот ключи — высылаются).
Сгруппированное в одном месте описание как работает криптография в Matrix — в https://www.cs.ru.nl/bachelors-theses/2020/Floris_Hendriks___4749294___Analysis_of_key_management_in_Matrix.pdf, описание как реализовывать E2E в клиентах https://matrix.org/docs/guides/end-to-end-encryption-implementation-guide
Насчет гарантий что все это работает как должно — я конечно тоже дать не могу.
Из скажем так особенностей текущих — вход в группу где много народу даже если там нет шифрования — совсем не мгновенный. С хранением ключей есть особенности (cross-signing может тормозить в некоторых случаях).
jabber, irc, matrix, tox, briar и ещё множество поделий разной степени нужности
irc — никакого шифрования
jabber — 100500 XEP'ов и не очень понятно что и где работает в базовом функционале.
нашёл, FireChat называется, разработка прекращена) честно говоря, не заморачивался ещё с мессенджерами. Но, кажется, самое время опенсорсовое что-то брать, лоббировать, поддерживать, рекламировать.
>а телеграм это только иллюзия безопасности.
Даже иллюзии такой нет. Другая проблема - боты, все эти виртуальные симки за 5 рублей, хоть какой-то стопор и то ботов слишком много. В теории, подавляющее большинство людей в телеге ничего противозаконного не делает, им можно хоть через госуслуги авторизацию делать (если это поможет прибить ботов).
В теории, подавляющее большинство людей в телеге ничего противозаконного не делает
сейчас и смайликом нарушить закон можно - так что :
„Отсутствие у вас судимости — это не ваша заслуга, а наша недоработка.“ (с)
В теории, подавляющее большинство людей в телеге ничего противозаконного не делает, им можно хоть через госуслуги авторизацию делать (если это поможет прибить ботов).
Это в теории. А на практике сегодняшние безобидные действия завтра могут объявить незаконными с де факто - обратной силой. Уголовных дел за картинку размещенную 10 лет назад - в изобилии.
Matrix?
Телефон захочешь — не введешь. Не хотят Identity server'ы с ним работать (а можно ими вообще не пользоваться).
E2E шифрование более менее работает и в отличии от телеграма — работает везде где пользователю надо.
Забавно:
источников для определения адреса пользователя телеграм - 64
в источниках в которых тоже есть адрес и другие данные пользователя проблем нет...
проблема только в телеграм
Для поиска людей они получают информацию с нескольких десятков «собственных сайтов»
Т.е. кидаем пользователю персонализированную ссылку и если он по ней переходит, узнаем айпи и UA? Лютый боян.
А тут же есть представители T.Hunter? Могли бы они как-нибудь прокомментировать?
простите - но никак не могу удержаться от постинга бояна...
А у меня такая история и была в 2010ом.
Полетел комп у знакомых, меня они решили не напрягать и вызвали какого-то "мастера по компам". Пришел к ним какой то бомжеватый мужик лет 45-50 и начал нести ерунду, в итоге люди все таки решили позвонить мне, чтобы понять вообще не разводят ли их( мастер им рассказывал, что всё пропало и надо всё менять и у него как раз есть похожая материнка совсем не БУ и он готов по дешевке отдать). Так я когда мастеру стал задавать вопросы про диагностирование проблемы(ранее у материнки была проблема с батарейкой -- севшая была заменена на схожую с другого компа и видимо она тоже решила уйти от нас), а этот "мастер" начал мне угрожать и запугивать, что знает он таких как я и что он то бывалый покажет мне при встрече, если будут в это дело лезть. Я сказал что лезть в это дело не намерен прекращать. Он стал угрожать сильнее, что еще если рыпнусь то найдет). В итоге я стал звать его к себе приехать, даже адрес назвал, и чем больше я предлагал ему приехать и разобраться все таки, тем более он начинал пасовать и рассказывать про свою занятость. Закончилось тем что люди послушали этот диалоги и вежливо попросили "мастера" удалиться))
Ничего не понял. Так как сопоставить хотя бы имя Telegram и IP адрес не имея доступа к серверам Telegram?
Насколько я понял идею: ты ходишь по всяким сайтам, соцсетям и т.п., где светишь своим IP, кукисами и пр. и где можно тебя идентифицировать, а потом с этого же IP заходишь в телегу.
Ну, допустим, конкретный IP зашел в разные соцсети с реальным именем и подключился к одному из серверов Telegram. Как узнать его имя в Telegram?
Цитата из статьи: "а также больше года собирают цифровые следы из Telegram с привязкой к пользователю". Не спрашивайте меня как, понятия не имею. Это магия бигдаты (:
"магия бигдаты" - модное название какого-нибудь трехгрошового скрипта, выдаваемого за Очень Секретную Технологию без единой демонстрации или пруфа. Пользователи заламывают руки с воплями "я же говорил, паша продался ФСБ" и "Всё Всем Было Давно Понятно". Трехгрошовый скрипт продают органам за большой грант, все причастные счастливы.
Повторять до прекращения деятельности ишака или падишаха.
К слову, компания называется "Интернет-Розыск", а этот Бедеров - одиозный персонаж, занимающийся исключительно провластной/антиактивистской деятельностью (в частности, атаки на Навального) под понятно чьим крылышком. Там в анамнезе много "разработок" типа "АРМ сотрудника службы безопасности" или "поиск произвольного телефона по открытым данным".
tl;dr - фуфло
не имея доступа к серверам Telegram
Думаете, это проблема?
Честно говоря, у меня даже к Signal доверия больше, несмотря на недавнюю утечку 1,9 тыс. номеров пользователей.
Что такое "цифровые следы из Telegram с привязкой к пользователю", которые они могут сравнить с данными пользователей других сайтов?
Всё так. На самом деле это давно было известно, и всякие интернет-агенства и силовики открыто писали и сыпали скриншотами ip, геопозиции, imei и цифровыми отпечатками пользователя телеграм, которого "заказывали". Неужели хакеры мирового уровня? Более вероятным кажется, что телеграм просто оставила бэкдор для российского и беларуского силовичья.
А можно, пожалуйста, пример "заказанного" и успешно вычисленного персонажа, про которого заведомо известно, что он попался не по собственной невнимательности (например, потому что не запретил одностороннее добавление своего аккаунта по номеру телефона в контактах, как это предлагается сделать в последнем абзаце статьи)?
С тех пор, как Телеграм долго и упорно пытались блокировать, пользователи приучились сидеть через прокси. Наверняка и сейчас многие так сидят, по привычке и на всякий случай.
Да сейчас сидеть в интернете без VPN - это сплошные неудобства. Да и вполне логично, если не хочешь, чтобы "вычислили по IP" - пользуйся как минимум VPN, как максимум несколько + TOR.
Одна из проблем — сидеть с VPN тоже в некоторых случаях проблема. То же авито — не любит вообще впн. ру-банки и некоторые другие ру-сайты не любят не-Российский VPN.
Вот и получаем — Firefox + MultiContainer + Mozilla VPN/либо MullVad и игры с socks-прокси
Либо хотя бы ControlD (тут можно вообщем сделать так что habr.ru будет открываться с питера а habr.com США но правда habrastorage будет с того что по умолчанию если забыть про его существование).
прокси не защищают от сбора цифрового отпечатка к примеру. А это самый эффективный способ собрать досье на все вами посещенные сайты
От цифрового отпечатка спасает Firefox Focus (мобильный) и Tor Browser (с корректными настройками). В принципе, иметь несколько браузеров для разных "профилей поведения" - уже необходимость, иначе нерелевантная реклама прям огорчает - пока не разделил потоки "для дома" и "для работы", мне постоянно на работе рекламировали всякий дачный инвентарь, а дома услуги по сопровождению ИТ-инфраструктуры, уже несколько лет, как данной проблемы не наблюдаю.
В РФ пользователей Telegram научились вычислять по IP-адресу