Функция Telegram «Люди рядом» раскрывает точные адреса

    image

    Telegram раскрывает точный адрес пользователя, если он активирует функцию «Люди рядом». Данную уязвимость обнаружил исследователь безопасности. Он сообщил о ней разработчикам Telegram, но те ответили, что у них нет планов ее исправлять.

    По умолчанию функция «Люди рядом» выключена. Когда пользователи активирует ее, то его географическое положение могут видеть контакты поблизости, у которых также активна эта функция. Выяснилось, что в списках появляются те, кто находится в пределах 11,3 км, но не более 100 человек.

    Как выяснил независимый исследователь Ахмед Хассан, функция позволяет вычислить точное местоположение пользователя. Используя доступное программное обеспечение и рутированное устройство Android, он научился подделывать местоположение, которое устройство передает серверам Telegram. Это позволило исследователю попасть в группы, которые были зарегистрированы в пределах тех районов, где он якобы находился.

    По словам Хассана, мошенники часто подделывают свое местоположение, чтобы внедриться в такие группы, а затем торгуют полученными оттуда данными или используют информацию иным образом.

    Исследователь подчеркивает, что, фактически, пользователи сообщают свой точный адрес. Это подтверждает его эксперимент, в ходе которого адрес пользователя из Нью-Йорка удалось распознать благодаря бесплатному приложению для подмены GPS. Впоследствии он сам подтвердил автору исследования верность своих данных.

    Хассан отмечает, что данная функция представляет наибольшую угрозу для пользователей Android, поскольку они сообщают о своем местоположении с достаточной степенью детализации. Недавно выпущенная iOS 14, напротив, позволяет пользователям разглашать лишь приблизительное местоположение.

    По словам исследователя, исправить проблему несложно с технической точки зрения. Для этого достаточно добавления случайных битов. Когда в Tinder нашли аналогичную уязвимость, связанную с раскрытием информации, разработчики использовали этот метод, чтобы исправить ее.

    Однако в Telegram данную уязвимость таковой не признали. Зато мессенджер Line, который имел аналогичную функцию, уже отключил ее и заплатил Хассану $1000 в качестве вознаграждения.

    Год назад Telegram выпустил обновление, которое расширило функцию «Люди рядом» для знакомств. Мессенджер предлагает сделать свой профиль публичным, чтобы просматривать страницы пользователей поблизости, общаться и назначать им встречи. Уже тогда отмечалось, что новая функция делает мессенджер похожим на Tinder.
    Реклама
    AdBlock похитил этот баннер, но баннеры не зубы — отрастут

    Подробнее

    Комментарии 81

      +25
      С дуру один раз включил «люди рядом» когда был в Париже. Минуту полистал что есть и выключил. Теперь уже полгода сыпятся проститутки в среднем по одному сообщению в день. Кнопка «заблокировать и пожаловаться» не помогает. Уже вторая сотня заблокированных пошла, а ничего не меняется. Пробовал username менять, не помогает. Видимо я попал в списки рассылки по моему телеграм ID, теперь только удаление и новое подключение сбросит этот ID, но тогда придется потерять всю переписку и историю (если я правильно понимаю).
      Никогда не включайте этот гиморный «люди рядом». Телеграму насрать на спам, он с ним не борется.
        +22
        Почему у телеграма нет простейшей функции «отключить уведомления для всех сообщений кроме моих контактов».
        Аватарки в уведомлениях на которых бабы с раздвинутыми ногами выпрыгивают на мониторе в самый неподходящий момент… Мне уже пришлось 10ти летнему сыну объяснять, что это не мои друзья.
          +4

          С июля 2020 есть такая функция, проверьте раздел Privacy and Security в настройках.


          For users who receive a notable number of messages from non-contacts, a switch was added to automatically archive and mute new chats from people not in their contacts.
          https://telegram.org/evolution#july-2020
            +1
            Странно, но этого нет. Последняя версия и десктопа и мобильного телеграма, может в упор не вижу… В описании обновлений есть, а в настройках никакого switch нет.
              +1
              Никто не может найти ))
              Это такой прикол от телеграма.
                0
                В ТГ вообще с настройками проблема, даже ссылка на свой профиль через ж… копируется…
                  0
                  А не нажимали ли вы там случайно кнопочку «Показывать меня здесь»?
                –4
                Я бы не стал так сильно винить в этом телеграм — я не говорю, что они святые, но точку «утечки» нужно установить с большей гарантией, чем "(Думаю что это из-за того, что) С дуру один раз включил «люди рядом» когда был в Париже".

                1. Все врут и точно не стоит верить на слово в Интернете.
                2. Месье мог иметь общение именно с такими с девушками в Париже, которые ему пишут.
                3. Если смена «Юзера» не помогает — возможно «утек» сам номер телефона — опять же, как он попал тем самым девушкам не ясно.
                Я бы посоветовал (хотя советов-то никто и не просил):
                4. Не хотите спама в любом виде — не ведите публичную деятельность и не пользуйтесь онлайн сервисами и мессенджерами.
                5. Не можете без онлайн присутствия — сделайте себе «спам» телефон и электронную почту.
                  +5
                  Я прям ждал сообщения типа «сам дурак».
                  Рассуждалки и советы наивные и технически и по жизни.
                    –2
                    Наконец адекватный комментарий. У тс явно проблемы личной жизнью, сам нажал кнопку — поделиться местоположением, видимо часто обращается к услугам проституток, но виноват конечно же телеграм.
                  +2
                  Был похожий случай, пришлось спамить в ответку до взаимного понимания и исключения из баз!
                    +11

                    боты очень огорчились вашему спаму

                      0

                      Лол, возьму на заметку.

                      +1

                      От всяких глюков действительно помогает удалить и заново завести учётку. При удалении Телеграм пугает, что "ваш юзернейм может быть недоступен для регистрации несколько дней", но у меня получилось сразу. Потерял всю переписку и несколько важных файлов. ШТОШ...

                        +1
                        Да, можно удалить и потом на тот же номер создать, тогда телеграм ID обновится и это снимет проблему т.к. номер не засвечен. Но при удалении уйдет вся история, а это больно.
                          0
                          В десктопной версии Телеграма можно выгрузить историю чата и, при необходимости, всего аккаунта. Не знаю можно ли сделать импорт обратно, но возможность бэкапа радует.
                            0
                            А где функция выгрузки чата? В каком формате он выгружается?
                              +1

                              Telegram Desktop версия 2.5.1
                              В правом верхнем углу меню, раскрывающееся из трёх точек, при нажатии выпадает меню. 6 пункт меню — это экспорт истории чата. По умолчанию выгружаются сообщения, но можно выгрузить и все вложения. Форматы: читаемый HTML и машиночитаемый JSON.

                                0
                                спасибо
                                  0
                                  Так же можно выгрузить ВСЕ чаты, если зайти в Settings-Advanced-Export Telegram Data.
                                  0
                                  Спасибо. В Telegram на macOS такого, к сожалению, нет(.
                            0

                            В телеграм, зная лишь один Telegram ID невозможно написать человеку. Это не работает, как в том же вконтакте. Необходимо знать юзернейм или номер телефона.

                              0
                              у меня бот шлет только по телеграм ID, больше ничего не нужно
                                +2

                                Это замечательно. Но с ботом необходимо сперва начать беседу, прежде чем бот сможет рассылать сообщения.
                                И я не говорю про Bot API. Я говорю про MTProto, где, действительно, зная "с потолка" только лишь Telegram ID, невозможно написать человеку. Нужно знать юзернейм, либо номер телефона, либо, чтобы данный человек состоял в общей группе с вами, был подписчиком паблика. Понимаете? Но просто взять и разослать перебирая ИД пользователя — невозможно.

                                  0
                                  согласен, технически так и есть, но тогда почему я получаю спам? показ телефона отключен по умолчанию, username менял, но спам идет. даже если я светился в какой то группе или канале, но потом вышел, ничего кроме телеграм ID остаться не должно было. вот тут непонятно.
                                    0
                                    кстати, это интересный вопрос. а что надо минимально что бы написать сообщение напрямую, не через бота. если не телефон, то остается username, а если я username меняю, то он автоматом поменяется и у отправителя и отправитель, в свою очередь, может его передавать другим. наверно поэтому не получается их стряхнуть.
                                      +1
                                      Именно. Чат с вами у спамера сохраняется в виде открытой переписки, и при смене юзернейма спамер видит ваш новый юзернейм в той же переписке.
                                        +1
                                        Но я не чатился ни с кем! (из этой тусовки).
                                        Все, понял как это делается:
                                        без переписки и отправки первого сообщения можно любого юзера добавить в свои контакты, «люди рядом» это позволяет сделать. Достаточно увидеть кто «рядом» и занести его в свои контакты. Потом как вы описали выше, телефон не нужен, а любая смена username видна.
                                          0
                                          <смахивая слезу ностальгии> А ведь еще в ICQ это предусмотрели:
                                          «username удалил вас из своего списка контактов»</>
                                            0
                                            А требуется «username удалил вас из ВАШЕГО списка контактов».
                                            0

                                            Ещё легче: любое сообщение от вас ("%username вошёл в чат" это тоже сообщение и оно "от вас") пересылается в отдельный чат и можете менять юзернеймы и даже номера телефонов хоть каждую минуту — поможет примерно как смена аватарки.


                                            А начать диалог по userID невозможно, как вам уже написали выше. "Бот" который официально бот (и имя заканчивается на bot) не может начать диалог в принципе никогда и никак. А "бот" который на самом деле скрипт, пользующийся клиентом телеги специальным (и для телеги он по всем признакам юзер) — не может написать только по id. Нужно телефон, юзернейм, или любое сообщение которое форварднули, в нем можно нажать на имя отправителя и начать с ним чат.


                                            Предположу, что что-то вы всё-таки написали в тех чатах? Может хоть одно слово?

                                              0
                                              точно не писал, но в группу наверняка заходил, наверно так и зацепили
                                          0

                                          В телеграмме есть несколько полей у пользователя, раньше когда изучал протокол были обязательными id и username, id задавался самим сервером, а имя пользователями. И это два неизменных параметра были. А если пользователь менял имя, то менялось displayname, не помню точно как называется. Думаю по имени пользователя можно отсылать сообщения. Недавно в чатах заблокировали пользователя за спам, хотя он уверял что ничего не отсылал и не знает почему так произошло. Думаю левый клиент поставил где-то, посоветовал ему удалить все сессии и поменять/поставить пароль для входа

                                      0
                                      К сожалению похоже возможно, есть такая кнопочка «поделиться контактом». Если вы у меня в контактах и нет доступа к номеру телефона и нет username, то отправка через «поделиться контактом» и есть отправка телеграм ID. И дальше шли спам сколько хочешь.
                                        0

                                        Я могу ошибаться, но разве эта кнопка доступна, если не известен номер телефона? Я посмотрел прямо сейчас в своем списке диалогов, и наблюдаю кнопку поделиться контактом, только у контактов с номером телефона. Другие же контакты могу только редактировать, удалить, заблокировать. Последняя версия ТГ на Андроиде.

                                      +4
                                      Телеграму насрать на спам, он с ним не борется.

                                      Довольно спорное утверждение.
                                      Довольно часто, если я не сразу увидел спам-сообщение (а у меня они оч редко бывают), к моменту когда я жму «заблокировать и пожаловаться» — аккаунт уже заблокирован
                                        0
                                        Утверждение основано на реальном опыте. Сейчас у меня около 150 заблокированных и ничего не меняется.
                                        Может быть разная политика для разных стран. Что бы фильтровать французский спам надо нанимать французов, а учитывая, что во Франции (а возможно и по всей европе) Телеграм это мессенджер для наркотиков, проституции и оружия (все сидят на Воцапе) то и борьба со спамом на соответствующем уровне.
                                        0
                                        Что-то как-то не верится, что так работает. Друга по приколу искал этой функцией и всё норм — никакие, к сожалению, проститутки ко мне в личку не долбятся.
                                        +4
                                        Когда в Tinder нашли аналогичную уязвимость, связанную с раскрытием информации, разработчики использовали этот метод, чтобы исправить ее.

                                        Они ее исправили банальным загрублением координат. Местоположение пользователя тиндера до сих пор можно определить с точностью до сотой градуса (~1км). Для выяснения точного адреса конечно недостаточно, но и приятного тоже мало

                                          +1

                                          На Хабре была целая статья про проблемы. Суть в том, что простое округление до 1км не поможет

                                            +3

                                            Тиндер
                                            1) округляет координаты пользователей до сотых долей градуса
                                            2) округляет расчетное расстояние между пользователями до целых миль


                                            Точному определению координат мешает только п.1

                                              0

                                              Именно. Получается что он говорит в каком квадрате со стороной 0.01 градус находится пользователь. И никакой информации нельзя из этого получить. Если же округлять до 1км то можно точно также триангулировать

                                                0

                                                Говорит он, что "пользователь находится в 13 милях от вас", из этого можно получить, что пользователь находится в конкретном квадрате 0,01х0,01* (в наших широтах примерно 1х0,6 км).
                                                Домашний адрес это не раскрывает, но приватность нарушает капитально

                                                  +2

                                                  Я все-таки не понимаю притензий. Участвующие во всем этом, очевидно, согласны на то, что окружающие знают, что они 'рядом'.

                                                    0

                                                    Есть тонкая разница между "видеть, кто рядом" и иметь возможность определять местоположение конкретного пользователя.
                                                    Точности в "квадратный километр" для визита на дом конечно недостаточно. Но для, скажем, отслеживания передвижений — вполне себе.

                                                      +3

                                                      С трудом представляю эту разницу. Если есть какая-то граница отсечения тех, кто рядом, то, походив вокруг и отмечая, где флажок 'он рядом' пропадает — ты определяешь его положение.

                                                        0

                                                        Если сейчас этот пользователь "не рядом" вокруг чего вы будете ходить ?

                                                          +3

                                                          'ходить', устанавливая собствевнные координаты, как в статье сделали, по предполагаемой области проживания. В общем, даже общая площать всех городов мира — она не такая уж и большая. Если очень хочется, за какое-то время управится можно.


                                                          Но вообще-то, я не понял контекста вопроса. Мой тезис: "если есть возможность определять 'человек рядом' с какой-то точностью — то это всегда означает возможность отслеживать его координаты (после какой-то подготовки) с той же точностью."


                                                          Для опровержения нужно привести способ реализации 'человек рядом', для которого это неверно.

                                                            0
                                                            В общем, даже общая площать всех городов мира — она не такая уж и большая

                                                            Ну т.е. по сути — брутфорс. От брутфорса можно защищаться рэйтлимитами. Дальше начинается битва щита и меча, способная существенно затруднить определение геолокации пользователя.


                                                            В настоящее же время для определения координат любого* пользователя тиндера нужна лишь крайне небольшая бот-ферма и один запрос к апи от каждого бота. При этом сам пользователь может быть где угодно, хоть на северном плюсе


                                                            (*) со выключенной галкой "скрывать расстояние до меня"

                                                        +1
                                                        Дом может быть поместьем и рядом никаких других домов может не быть, или деревушка какая, с десятком домов на этой площади
                                                          0
                                                          на местоположении человека может оказаться нехилое количество соседей человека. для отслеживания человека надо таки попадать в 100 случайных, что немного усложнит слежку.
                                                          да и в целом, люди таки согласны на это, нажимаю на кнопочку
                                                          примерная аналогия — пользоваться звонками и знать, что твой номер виден собеседникам
                                                            0

                                                            В этой веточке речь про тиндер. Там достаточно знать ид учетки. А находиться она может хоть на другом краю глобуса

                                                0
                                                Стоп, но ведь Тиндер, насколько я знаю, специально предназначен для знакомств поблизости и там эта функция — объективная необходимость bу design.
                                                  0

                                                  К сожалению лобовая реализация этой функции приводит к сомнительной желательности побочным эффектам.

                                                    0
                                                    А нельзя просто уведомить плашкой, что твоё точное местоположение будет доступна всем желающим?
                                                      0

                                                      Боюсь, это несколько отпугнёт страждущих. Одно дело "ваши потенциальные знакомые смогут видить, насколько вы от них далеко", другое — "любой желающий может знать где именно (с точностью до километра) вы находились при каждом запуске нашего приложения"

                                                +1
                                                он научился подделывать местоположение, которое устройство передает серверам Telegram. Это позволило исследователю попасть в группы, которые были зарегистрированы в пределах тех районов, где он якобы находился

                                                Подделать своё местоположение и соответственно попасть в гео_группы несложно,
                                                пример

                                                вот я в Тамбове, а через 2 минуты в МСК.

                                                Уязвимость заключается в точном расчёте координат пользователя (благодаря осмотру пересечению окружностей).

                                                Они ответили через 14 дней, заявив, что их программа вознаграждения за ошибки не решает эту проблему. Цитата из первоисточника

                                                Ну, а что хотел исследователь? Он же читал описание программы баг баунти 'за что Telegram платит' (по своему усмотрению за баги).
                                                Пример программы
                                                image
                                                Это всё описание программы баг баунти Telegram — 'смешно' Источник

                                                ps/ Исследователь молодец (если всё так, как он пишет), а Tg — нет.
                                                  +17
                                                  Ну это тянет на расследование года. Оказывается, если человек включил передачу своей геопозиции, то можно раскрыть его точное местоположение, браво.
                                                    +3

                                                    Это не всегда верно, потому что координаты могут быть тем или иным образом изменены (загрублены, лишены младших разрядов, рандомизированы).

                                                      –10
                                                      facepalm
                                                      Ты сам себя слышишь?
                                                        +5

                                                        Естественно, а вы?
                                                        Я говорю о принципиальной (и реальной, в других приложениях) возможности работы механизма публикации приблизительного местонахождения, а вы о чём, интересно?

                                                        0
                                                        Это всегда верно. Включение передачи геопозиции в любой программе обозначает передачу своей геопозиции целевому получателю.

                                                        И огромное количество разработчиков борется за увеличение точности определения этого самого местоположения.
                                                        А заявлять «надо специально ухудшать геолокацию», приведёт к проблемам что были и ранее, когда пользователь оказывался в ближайшем водоёме. Ну и раздражение этих самих пользователей, что криворукие разработчики не могут триангулировать точное местоположение.
                                                          0

                                                          То, что вы пишете, не имеет отношения к ситуации, когда координаты так или иначе намеренно округляются для сохранения приватности.

                                                            0
                                                            Этого не требуется, ибо пользователь осознанно передаёт свои координаты после прочтения предупреждения.

                                                            Поэтому любые округления вызовут именно раздражение, ибо пользователь сделал это осознанно и не требовал насильных округлений, которые требуете Вы.

                                                            Собственно, тут и возникает главный вопрос «Зачем?».
                                                            Зачем включать и постоянно передавать своё ориентировочное местоположение и беспокоиться о «приватности»?
                                                      +7
                                                      Я зашёл ещё дальше чем выше указанный исследователь, и он говорит не о всех ограничениях.
                                                      Мной были выявлены следующие ограничения:
                                                      1. Люди в 10км до 100шт
                                                      2. Группы в 100м до 10шт
                                                      3. Ограничения по быстрой смене координат, 100 км за 10 сек максимум

                                                      Основное, что я юзал, это telethon,  clickhouse, google maps. Ограничения со скоростью самые муторные, так как ты не можешь быстро просканировать какую-то площадь, особенно большие города. Вопрос был решен бот фермой, боты ложатся по сетке с шагом в 5-10км, (на 100км² мне понадобилось 100 ботов ака аккаунтов, мне не хотелось париться с перемещением ботов в меньшем количестве по сетке) потом все данные у меня падают в clickhouse, а уже от туда я их достаю, произвожу расчёты на основе трилатерации, результаты сохраняю в json файл, остаётся просто подтянуть данный файл со стороны фронта и построить метки на google maps.
                                                      Ах, да, данные которые можно получить, их вообще много, но самые основные, это твои фото, полное имя или частичное, ник, телефон, когда был последний раз в онлайн, и какая дистанция от тебя (в нашем случае бота).
                                                      Скриншот карты с телефона

                                                        0
                                                        Для чего так заморачиваться? С бот-фермой, триангуляцией?
                                                          +4
                                                          1. Для повышения уровня дофамина, исследовательских целей, показать на районе кто тут большой брат, монетизация...?
                                                          2. Бот ферма позволяет очень быстро зазондить большие площади. В теории если они будут в режиме постоянного мониторинга то появиться возможность реалтайм отслеживать перемещения, но до этого я еще не дошел и не знаю какие есть ограничения со стороны телеги.
                                                            0
                                                            В теории если они будут в режиме постоянного мониторинга то появиться возможность реалтайм отслеживать перемещения

                                                            Звучит неплохо, но главным препятствием будет то, что функция по умолчанию выключена.
                                                            0

                                                            Трилатерация. Триангуляция это когда по углам положение определяют, а не по расстояниям.

                                                            0

                                                            Это конечно, круто, а зачем Новую Каховку обфусцировали? :)
                                                            Вообще, вот тоже как эту функцию увидел, стал размышлять что можно следить за каждым человеком, строить маршруты его передвижений, бота пустить, чтобы летал следом, когда выпадает из вида. Где-то читал, что функцию необязательно даже явно включать. Если зашёл в этот диалог, твоё местоположение уже выводится там же в течение какого-то времени. Очень всё это неправильно, конечно.

                                                              0

                                                              Кто знает тот узнает, кто не знает будет все равно)

                                                            +1

                                                            Если я не ошибаюсь, пару лет назад у Тиндера был такой-же косяк. Они, кстати, исправили

                                                              0
                                                              Не косяк, а фича. В общем-то интересная реализация идеи, но явно не во времена, когда все пекутся за свои данные. Думаю, что ТГ исправит это, когда начнется монетизация и кол-во пользователей в разы увеличится.
                                                              +1
                                                              Когда пользователи активирует ее, то его географическое положение могут видеть контакты поблизости, у которых также активна эта функция.

                                                              Вообще там отдельная кнопка для шаринга профиля и написано, что телефон мой не расшарит.


                                                              Я бы сделал опционально с загрублением и вообще с показом точных координат, мб человек шарящий профиль хочет чтобы его нашли.

                                                                0
                                                                Разумная идея про отдельный СПАМ-телефон
                                                                  –1
                                                                  Казалось бы, что может быть проще:
                                                                  |----------0-| Функция включена, и тогда
                                                                  |----------0-| Спрятать имя
                                                                  |----------0-| Спрятать что-то ещё
                                                                  |---2--0--1-| Насколько и как зарандомить координаты
                                                                  |----------0-| При отключении, спрятать всех, кто нашёлся при её активации
                                                                  То же самое, что и отдельный «сквер»-ный профиль.
                                                                  |##########|
                                                                  Маловато. Добавим поле тегов цели общения, находятся имеющие совпадения, а ещё даже с логическими условиями, всякими скобочками, управляющими проверкой совпадения тегов в этом поле.
                                                                    0
                                                                    Статья немного устарела. После появления такой функции возможно было быстро менять местоположение, сейчас же Telegram установили лимиты на «скорость передвижения». Во всяком случае у меня при частых сменах местоположения информация о расстояниях не обновляется
                                                                      0
                                                                      Что-то про Telegram стали часто на Хабре писать…
                                                                        0
                                                                        Так вон, в соседней статье фейсбук на PR ватсаппа потратил кучу денег.
                                                                        +1
                                                                        Все хотят узнать личные данные

                                                                        Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                                        Самое читаемое