Telegram пишет в syslog сообщения вставленные из буфера обмена, в том числе и в секретных чатах

[MichaelBorisov]

из-за публичного твита Кирилла вознаграждать его за уязвимость компания отказалась, о чём и сообщила в официальном письме

Такие мелочные отговорки только подрывают доверие пользователей к программам оплаты поиска уязвимостей. Сколько раз уже встречалось подобное кидалово?

[rbobot]

Ну а в чем кидалово? Их деньги — их правила.

[Sild]

Так себе «мелочная» отговорка. Bug bounty вынуждает в первую очередь репортить разработчикам, и только после фикса доносить до общественности. Как и любой white hat.

[n1nj4p0w3r]

Ну так человек даже базовый этикет не соблюдал, за что ему платить, за подмоченную репутацию?

[prohodil_mimo]

этикет — не этикет, но человек нашёл баг и только благодаря ему его исправили — вот за это по-хорошему и надо было бы платить, а не прятаться за этикет. В следующий раз он найденный баг продаст кому-то, кто готов заплатить — и будет абсолютно прав, потому что ходить кланяться за то, что ты же за разработчиков сделал хороший кусок работы — это неприятно

[kSx]

Никто никуда не прячется. Он этот баг и так уже, по сути, продал, только не за деньги. За что ему ещё платить?

[n1nj4p0w3r]

Телеграм готов платить за баги как и на черном рынке покупатели найдутся, но до того как они(баги) станут общественным достоянием.
Человек получил свою дольку славы вместо денег, кому-что важнее.

[TimsTims]

Не задавайте неудобных вопросов :) (дольше проживёте)

[akaluth]

За счет кошелька Павла Дурова

[bolk]

Как в анекдоте:

— Ты где деньги берёшь?
— В тумбочке!
— А кто в тумбочку деньги кладёт?
— Жена!
— А у неё деньги откуда?
— Я ей даю!
— А у тебя откуда?
— Я из тумбочки беру!

[qazqazasda]

1. Есть правила белого хакерства. Общеизвестные — сначала рапортуешь разработчикам.
2. Человек предпочел славу, а не бабло.

Все честно.

[vasili111]

Открыто публиковать уязвимость без предварительного сообщения разработчику в принципе не правильно.

[Demogor]

Собственно, обычно bug-bounty не в последнюю очередь выплачивается «за молчание», а точнее, за то время, которое понадобится разработчикам на исправление ошибки, что бы в это время ей никто не успел воспользоваться.

Представьте себе ситуацию: в банке находят уязвимость, позволяющую украсть неограниченную сумму, причем так, что отследить затруднительно или невозможно. На фикс бага уйдет, скажем, неделя.
Теперь посмотрим, как может поступить «белый шляп»(только 2 варианта, для сравнения):

1. Зарепортить баг по программе баунти
а) Банк боится репутационных потерь и тем или иным способом стимулирует разработчика не раскрывать эту информацию публично даже после фикса. Человек получает деньги, но не получает минутки славы. Что ж, тоже неплохо.
б) Банк адекватен, потому платит за сам баг, исправляет его, после чего сам выкладывает описание проблемы и имя человека, эту самую проблему решившего. Человек может запостить описание ошибки, бла-бла-бла.
Идеальный расклад — и рыбку съел, и на хабре отписался. Банк же получил исправленную ошибку и сэкономил много-много зеленых енотов, еще и показал свою честность, бла-бла-бла.
2. «Серый шляп» пишет в твиттере, хабре, сайте производителя и в спортлото про ошибку и выкладывает скрипт для эксплуатации бага. За неделю хомячки всего мира запускают этот скрипт, тырят мильйоны долярив, после чего банк накрывается медным тазом. «Шляпник» негодует, что ему ничего не выплатили. Sad, but true.

Вот Вам и причина, почему не стоит платить за подобные действия.

[ITurchenko]

1с) Банк не слишком адекватен, человек отправляется на исправительные работы с возмещением «ущерба».

[Demogor]

Как говорил поручик Ржевский в анекдоте — «случаи разные бывают».

[Eklykti]

Человек отправляется на исправительные работы, возмещать «ущерб» ему оказывается нечем, за время разбирательства баг тихо и незаметно утекает в паблик без каких-либо доказательств, что выложил именно он, сам баг при этом не фиксится, ибо зачем, автора-то всё равно посадят, дальше смотри пункт 2.

[kalterfive]

Пересылать сообщения в syslog, конечно, не нужно, но это не баг и угрожает безопасности обратно пропорционально криптостойкости syslog-a — ну если шифрование включено, конечно.

[Barafu]

Зачем «юзверу вулгарису» шифровать лог? И чем его шифровать, кстати, каким ключом?

[kalterfive]

Ну я полагаю, что в Mac шифрование включено по умолчанию. Это банальное соблюдение безопасности: например, если устройство попадёт в руки злоумышленника, то он никак не сможет оставить своё пребывание бесследно.

Ну а что касается шифрования, то в journald, например, используется Forward Secure Sealing.

[pyrk2142]

На платформе Android запись в логи — это очень популярная проблема. Возьмите почти любое приложение, оно будет писать в логи что-то конфиденциальное. Кто-то пишет просто отдельные сообщения, какие-то почтовые приложения будут писать весь текст писем, а какие-то приложения пишут пароли. Но тот же Microsoft не считает уязвимостью такую запись данных в логи.

[VGrabko]

ну последние не строят пиар компанию вокруг своей безопасности как тележка.

[lopatoid]

В Android начиная с достаточно старой версии 4.3 доступ к этим логам есть только у самого приложения. Ну или у рута или у отладчика на подключённом компьютере. Так что это действительно не уязвимость.

[pyrk2142]

Насколько я понимаю, вредоносное приложение, требующее рут, вполне подходит под описание малвари (вируса) из статьи.

[fRoStBiT]

У малвари с правами рута есть много других возможностей похитить ваши данные.

[mihmig]

А куда пишутся эти логи — на медленную флеш или и без того дефицитную оперативку?
И можно ли (хотя бы на рутованном устройстве) сливать эти логи сразу в /dev/null?
Если разработчик не забудет при сборке релиза отключить логирование — то на какое увеличение производительности можно рассчитывать?

[lopatoid]

>А куда пишутся эти логи
В оперативку.
>сливать эти логи сразу в /dev/null?
Размер буфера журнала всего 256КБ, жалко, что ли? В настройках «для разработчика» можно выставить 64КБ. Меньше нельзя, только какими-нибудь хаками, наверное.
>на какое увеличение производительности можно рассчитывать?
Ни на какое. Ну только если приложение не пишет туда 100 раз в секунду, но я таких не встречал.

А вообще это довольно полезная вещь. Иногда помогает починить телефон. Так я узнал, что один планшет перестал загружаться (я не шучу) из-за игры Iron Man, а один телефон стал сжирать мгновенно батарею из-за висевших всегда в памяти Angry Birds, которые в фоне пытались скачать рекламу.

[mihmig]

А логи смотрели через ADB? Можно пример?

[lopatoid]

Да, команда adb logcat.
Пример? Просто сделайте запрос «adb logcat» в гугл картинках.

[radist2s]

Давно было интересно, для чего существует 2 приложения на маке: Telegram Messenger и Telegram Desktop?

[VGrabko]

дабы были. )

[varnav]

А ещё, в отличие от Viber и Whatsapp, Telegram:

1. Не имеет постоянно включенного E2E шифрования (только для секретных чатов)
2. Хранит переписку на серверах (кроме секретных чатов)

Это не криминал, но по нынешним меркам уровень безопасности телеграма — так себе.

[mva]

А уровень безопасности вотсаппа с баном сторонних клиентов?
// ну и вообще любые централизованные месенджеры, как бы они не кукарекали о безопасности это из оперы «верь мне, что это безопасно! пруфов не будет!»

[LinuxCoder]

Безопасным можно считать только то, что имеет либо открытый исходный код, либо то, что ты написал сам. Я Telegram не пользуюсь (сейчас вот пытаюсь свой аналог защищенного мессенджера сделать, а пока пользуюсь Signal), но тем не менее я знаю, что порой бывает, что логи уходят разработчикам для тестирования.

[Fedcomp]

Так вот, у telegram desktop открытый исходный код. https://github.com/telegramdesktop/tdesktop

[Deosis]

habrahabr.ru/post/239287
В 1998 году известный американский криптограф Брюс Шнайер написал:

>Любой, начиная с самого бестолкового любителя и заканчивая лучшим криптографом, может создать алгоритм, который он сам не в состоянии взломать.

Если вы не специалист по безопасности, то называть самописное ПО безопасным несколько самонадеянно.

[Pakos]

Делает не безопасный, а защищённый. Например, от себя.

[qwerty135]

«купил лэптоп и установил с апстора Telegram» — ну кто ж вам доктор, если вы ставите программу, которую написали по заданию ФСБ. зачем вам телеграм, люди? пользуйтесь вотсапом и не морочте никому голову.

[Isis]

С утра на ногу в метро наступили, думал весь день накрылся, а тут вы, спасибо!

[qazqazasda]

А Ватсап — не АНБ, в таком случае?
Андроидовская версия, к примеру, не руссифицирована вообще.

[JerryBerry]

Ну, это уже политика пошла. Так можно и whatsapp заказом ЦРУ назвать.

[silvansky]

Видимо, NSLog(@"%@", pastedMessage); дебаговый убрать забыли. =)

[silvansky]

Собственно, так и есть: https://github.com/overtake/telegram/issues/313

[OnelaW]

А что за непонятный срач в коментах? Хвастаются у кого анальный зонд с анастезией или без?

[alek0585]

Какие вы всё-таки слова жуткие пишите. Срач, анальный зонд… ну куда годится?

[TimGrey]

С одной стороны, не верится, что он предпочел донести информацию широкой аудитории, нежели доложить непосредственно разработчикам. Возможно, это дело принципа или, на самом деле, захотелось своей «минуты славы».
С другой стороны, все же не верится, так как телеграм считается одним из самых безопасных мессенджеров, который использует end-to-end шифрование, тем самым обеспечивая надежный уровень защиты. Вдобавок, возможность секретного чата. В любом случае, личные данные не могут быть известны третьему лицу.
www.bestvpnrating.com/blog/how-choose-secure-messenger
В данной статье указано, что телеграм по надежности занимает 2 место после WhatsApp. Так что делайте выводы)

[serf]

который использует end-to-end шифрование, тем самым обеспечивая надежный уровень защиты

если не ошибаюсь у Telegram на десктопе до сих пор нет даже опционального end-to-end, не то что по умолчанию.

[avost]

На виндузах нет. А так — есть.

[serf]

Что-то не нахожу как в Linux desktop клиенте активировать end-to-end.

[serf]

https://github.com/telegramdesktop/tdesktop/issues/871

[avost]

Да, я наиболее активно на маке телеграммом пользовался и там они есть, я был сильно удивлён, когда не смог секретно законнектиться с вендовым десктопом. А на линуксы даже не посмотрел. Впрочем, если не ошибаюсь, есть же какой-то альтернативный клиент с секретчатом?

[serf]

Нормального который одинаково хорошо работал бы на всех устройствах я не нашел. Есть Signal, но для декстопа оно сделано в виде Chrome App, что довольно странно. Помимо прочего телеграмм хранит все на сервере, что очевидно увеличивает риски утечки информации или даже изначально преследует цель сбор информации. Есть Tox, который по дизайну на серверах ничего не хранит, но пока что он не слишком работоспособен https://habrahabr.ru/company/eset/blog/306950/#comment_9731634

[n1nj4p0w3r]

Альтернативный клиент ≠ альтернативный сервис.
http://aseman.co/en/products/cutegram/

[serf]

Не нашел работает ли там end-to-end шифрование по умолчанию и для всех ОС. Но даже если так, то в саму идею Телеграма заложена ущербность, так что о хорошей защищенности речи не идет.

[n1nj4p0w3r]

FYI функция в контексте telegram называется «secret chat» и именно по этой комбинации следует ее искать.

[serf]

благодарю

[vma]

Falcongaze вообще на днях заявила о перехвате телеграма:
https://falcongaze.ru/pressroom/news/falcongaze-announces-telegram-under-control-in-securetower.html

[valera5505]

Только никого это не интересует, потому что эту пограмму специально устанавливают на рабочие компьютеры. По сути добровольный троян