Перейти к содержанию

Насколько безопасно пользоваться Telegram? | Блог Касперского


Рекомендуемые сообщения

Создатели Telegram позиционируют свой мессенджер как безопасный и защищенный. Но на практике это не совсем так: дело в том, что у «Телеги» есть ряд особенностей, из-за которых защитить свою переписку в реальной жизни оказывается не слишком легко, — и связаны они вовсе не со сложностями криптографии, а с гораздо более прозаическими вещами. Давайте поговорим про несколько весьма неоднозначных решений в интерфейсе и общей логике работы Telegram, делающих его совсем не таким безопасным, как принято считать.

Оттенки безопасности переписки

Для начала разберемся, как работает защищенный (или безопасный) мессенджер. Первое, что стоит понимать: практически все существующие системы обмена сообщениями уже давно используют шифрование данных при их передаче с устройства пользователя на сервер. Это тот минимум, который должен обеспечивать любой современный мессенджер. Однако этого недостаточно, чтобы считать систему обмена сообщениями защищенной, поскольку это не гарантирует полной безопасности переписки.

И вот почему: если доступ к сообщениям, помимо участников беседы, есть и у сервиса, то это создает дополнительные риски. Например, сами владельцы сервиса могут оказаться излишне любопытными или жадными. Или допустим даже, что нынешние владельцы кристально честны и не суют нос в данные пользователей, — кто гарантирует, что это не сделают следующие, к которым мессенджер перейдет после продажи? В конце концов, сервис может кто-то взломать — и в этом случае доступ к переписке может получить взломщик.

Есть очень эффективный способ избежать всех этих опасностей и сразу закрыть вопрос о том, можно ли сервису доверять, — для этого используют сквозное шифрование. Оно предполагает, что информация шифруется на устройстве отправителя и расшифровывается только на устройстве получателя. Таким образом, сам сервис пересылает туда-сюда только зашифрованные данные и доступа к содержанию сообщений не имеет. Это автоматически обеспечивает защиту переписки от любопытства нынешних и будущих владельцев сервиса и от всех неприятностей, которые с ним могут произойти.

Итак, мы приходим к очень простой формуле: защищенный мессенджер — это такой мессенджер, который использует сквозное шифрование. Теперь самое время перейти к тому, как с этим обстоят дела у Telegram.

 

View the full article

Ссылка на комментарий
Поделиться на другие сайты

  • Ответов 36
  • Created
  • Последний ответ

Top Posters In This Topic

  • Umnik

    13

  • Mrak

    9

  • sputnikk

    6

  • ska79

    4

Почти никто не делает e2ee. Это просто очень дорого в сопровождении и накладывает тонну ограничений. Честный e2ee есть лишь в горстке мессенджеров и всё. Тот же Zoom тоже не поддерживает его. Они _заявили что будут поддерживать_ (это раз) и только для корпоративных за отдельные деньги (это два).

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

мне кажется разработчики телеграм ни когда на это не пойдут, т.к. большей части пользователей это не понравится из-за того, что при внедрении e2ee исчезнет возможность синхронизации между устройствами, а многие используют телеграм на смартфоне, и не одном, плюс еще и ПК

Ссылка на комментарий
Поделиться на другие сайты

18 hours ago, Mrak said:

Какова вероятность внедрения в телеграмм сквозного шифрования по умолчанию во всех чатах?

Во всех прям? Нулевая. В только 1 на 1 - могут и сделать. Правда в других клиентах придётся авторизовываться через QR или похожим методом, как сейчас делают остальные. В таком случае общение идёт через один клиент, а все остальные на самом деле пишут ему. То есть у тебя чат создан с телефона. Ты заходишь с компа и комп на самом деле пишет телефону, а телефон прозрачно передаёт от имени компа.

 

В групповых чатах это будет невозможно в принципе. У тебя в чате 15 человек, их них онлайн - 5. Заходит новый человек и рассылает всем свой ключ. Все присылают свои ему. Теперь он может общаться, но только с теми, кто был онлайн. Другие то не прислали ему ключи и не получили его. Начнётся свистопляска с передачей ключей. Это реализуемо (там, где я работаю - именно e2ee на абсолютно всё и другого варианта чатов не существует), но требует целенаправленной работы. То есть если инвесторы решат, что эта фича будет хороша для маркетинга - сделают. Решат, что не нужна и достаточно только того, что есть сейчас - рекламный слоган защиты и отсутствие защиты по умолчанию на самом деле - не будут делать.

 

Только если с сообщениями ещё туда-сюда, то со звонками капец. Нам пришлось приложить много усилий для групповых звонков, потому что эти звонки. Ведь нельзя гнать видео просто на сервер, а сервер уже формирует картинку (так делает zoom и вообще абсолютно все, у кого есть групповые видеозвонки без e2ee) - ведь трафик зашифрован. Сервер ничего не понимает. В итоге, на самом деле, все участники шлют всем другим участникам свои видеопотоки (15 человек - значит 1 человек шлёт на 14 одновременно) и получают от всех (1 человек получает 14 видеопотоков). Это прям очень тяжело для мобилок. У нас такое есть, но мы искусственно ухудшаем качество видео и ограничиваем сверху количество возможных участников видеозвонка. ТГ так не сделает массово, ведь у них рекламная фишка - чаты на сотни человек. По этой же причине так не делает zoom. По этой же причине многие мессенджеры, которые умеют в e2ee, просто не поддерживают групповые видео вообще или поддерживают с большими ограничениями.

 

7 hours ago, sputnikk said:

в ICQ упомято шифрование звонков https://icq.com/security-calls/ru

Для 1 на 1. Здесь всё просто. Когда речь про групповые, то туши свет. Только лучшие на такое способны :) // да, я назвал нас лучшими, потому что слежу за конкурентами и конкурентов у нас пока нет

  • Like (+1) 1
  • Спасибо (+1) 2
Ссылка на комментарий
Поделиться на другие сайты

2 minutes ago, sputnikk said:

у кого у вас?

Не скажу. Во-первых мне нельзя особо распространяться о месте работы. Во-вторых мы делаем продукты под конкретный сегмент. В общем, они не публичные, обычным пользователям не доступны, к моему сожалению.

Изменено пользователем Umnik
Ссылка на комментарий
Поделиться на другие сайты

  • 4 weeks later...
22.02.2023 в 16:28, sputnikk сказал:

Способ решения проблемы умиляет - потерять все чаты, переписки:

Цитата

Они посоветовали лишь включать двухфакторную авторизацию и при смене номера телефона не менять его в настройках WhatsApp, а удалять учетную запись и регистрировать новую.

Как я понимаю, при удалении учетки, нужно, чтобы человека вновь в каждый чат добавили, но переписка все равно не сохранится. 

Ссылка на комментарий
Поделиться на другие сайты

ВотсАпп не позволяет читать переписку всем и каждому, потому что, в отличие от Телеграма, не хранит её на своих серверах. Ей просто неоткуда взяться. ВотсАпп имеет проблему, которая может помочь злоумышленнику ввести собеседников жертвы в заблуждение - это да. Такая проблема есть у всех, кто регается по симке. Аналогично и с банками, и с кучей 2FA. Люди очень часто используют SMS как второй фактор и это тоже огромная ошибка. Визг из ничего.

 

1. Нужно включать второй фактор в мессенджерах. В Сигнале чуть хитрее - нужно включить блокировку регистрации. Но суть не меняет, это тоже второй фактор

2. Нельзя никогда использовать телефонный номер как второй фактор ни в одном сервисе

  • Like (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Ранее мы рассказывали, почему перед началом использования беговых трекеров обязательно нужно настроить конфиденциальность и приватность как в целом на смартфоне, так и в самом трекинговом приложении, — для минимизации утечки ваших персональных данных, включая геопозицию, в открытый доступ. Вы же не хотите, чтобы любой желающий мог подписаться на информацию о ваших пробежках и точно знать, где и когда вас можно найти офлайн?
      Вы можете изучить уже опубликованные инструкции по настройке смартфонов и популярных беговых приложений Strava и Nike Run Club, а сегодня мы поговорим о настройках приватности в MapMyRun.
      У приложения MapMyRun (версии для Android и iOS) очень любопытная история. В сентябре 2024 года оно было приобретено в составе пакета приложений MapMyFitness медиакомпанией Outside под руководством генерального директора Робина Терстона у американского производителя спортивной обуви и одежды Under Armour. A Under Armour, в свою очередь, приобрела этот пакет аппов за $150 млн в 2013 году у некоего… Робина Терстона, основавшего MapMyFitness в 2007 году! Таким образом, через 11 лет Робин вернул себе компанию, основанную им 17 лет назад.
      Настраиваем приватность в MapMyRun
      Найти в этом приложении настройки приватности, нажав на кнопку с шестеренкой в правом верхнем углу основного экрана, как обычно, не получится — это снова настройки тренировки. Вместо этого надо нажать на кнопку с тремя точками в правом нижнем углу (для iOS) или на «бургер-меню» из трех линий в верхнем левом углу (для Android), далее выбрать пункт Настройки (не Центр конфиденциальности — это другое) и уже на открывшейся странице выбрать Конфиденциальность.
      Где найти настройки приватности в приложении MapMyRun: ••• → Настройки → Конфиденциальность
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Мы уже рассказывали, что большинство приложений для фитнеса и трекинга при занятиях спортом (например, бегом) при настройках по умолчанию практически никак не защищают ваши персональные данные. Маршруты и время тренировок, фотографии с пробежек, данные о вашей физической форме в большинстве случаев выкладываются в открытый доступ в Интернет, если вы явно это не запретите. А результаты, как мы уже писали, могут быть катастрофическими — от утечек местоположения секретных объектов до сталкинга и покушений на убийство.
      Чтобы избежать этого, необходимо настроить как сами смартфоны, так и беговые приложения. По ссылкам вы найдете инструкции по настройке наиболее популярных трекеров бега: Strava, Nike Run Club, MapMyRun, adidas Running.
      Завершая обзор настроек приватности беговых приложений, сегодня мы расскажем, как правильно настроить ASICS Runkeeper (версии для Android и iOS).
      Как и другие крупные производители спортивной обуви и амуниции Nike и adidas, японская компания ASICS, хорошо известная своей беговой обувью, не стала изобретать велосипед, а просто приобрела популярное приложение для трекинга бега Runkeeper и даже не переименовала его, добавив лишь собственное имя — ASICS Runkeeper.
      Настройки приватности в ASICS Runkeeper, как, впрочем, и в других беговых приложениях, находятся в не вполне очевидном месте. Если на основном экране щелкнуть на шестеренку в левом верхнем углу, то там вы их не найдете — это настройки тренировки. Вместо этого нажмите на кнопку Я в левом нижнем углу, далее нажмите на шестеренку в правом верхнем углу и на открывшейся странице выберите Настройки приватности.
      Где найти настройки приватности в приложении ASICS Runkeeper: Я → Настройки → Настройки приватности
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      В предыдущем посте, посвященном приватности беговых приложений в целом, мы подробно рассказывали, почему эти приложения — настоящий Клондайк персональных данных для мошенников и преступников всех сортов. Увы, по умолчанию они делятся с кем попало вашей конфиденциальной информацией, включая точную геопозицию. Результаты, как мы уже писали, могут быть катастрофическими — от утечек местоположения секретных объектов до сталкинга и покушений на убийство.
      Там же мы поделились подробной инструкцией по общей настройке смартфонов для минимизации этих рисков. В этом и следующих постах мы поговорим о тонких настройках наиболее популярных беговых приложений. Начнем со Strava.
      Strava (версии для Android и iOS) — вероятно, самое популярное приложение для отслеживания тренировок по бегу, велоспорту и просто пеших прогулок. И последнее, сохраняющее независимость: все остальные «большие» беговые приложения уже куплены производителями спортивной одежды и обуви. Кстати, именно оно стало героем нескольких инцидентов с использованием открытых данных — например, публикацией карты, выдавшей местоположение массы секретных объектов.
      Также Strava, как правило, становится центральным объектом претензий каждый раз, когда встает вопрос о том, как одни пользователи следят за другими через фитнес-приложения. Не могу не отметить, что упреки эти по-прежнему справедливы: по умолчанию пользовательский профиль в Strava настроен совершенно не приватно — приложение очень хочет, чтобы вы делились своими данными со всем Интернетом.
      Но это можно исправить — благо, в Strava есть довольно много настроек приватности. Чтобы до них добраться, нажмите кнопку Вы в правом нижнем углу экрана, потом нажмите кнопку с шестеренкой в правом верхнем углу экрана и в открывшемся окне выберите пункт Конфиденциальность.
      Где найти настройки приватности в приложении Strava: Вы → Настройки → Конфиденциальность
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Как мы уже рассказывали, нельзя просто так взять и начать использовать приложения для трекинга бега, не настроив предварительно конфиденциальность и приватность как в целом на смартфоне, так и в самом трекинговом приложении. При настройках по умолчанию эти приложения делятся со всем Интернетом полной информацией о ваших тренировках, включая точную геопозицию. А мошенники и преступники умеют использовать эти данные в своих целях.
      Если вы хоть немного заботитесь о своей приватности, изучите уже опубликованные инструкции по настройке смартфонов и популярных беговых приложений — Strava, Nike Run Club, MapMyRun. А сегодняшний пост — для всех ценителей трех полосок: настроим приватность в трекинговом приложении adidas Running (версии для Android и iOS).
      Ранее известное как Runtastic, это фитнес-приложение теперь принадлежит крупнейшему европейскому производителю спортивной одежды и обуви и называется просто adidas Running. Настроек приватности в adidas Running не так много, как, например, в Strava. Тем не менее стоит убедиться в том, что все сконфигурировано правильно.
      Чтобы попасть в настройки приватности приложения adidas Running, нажмите на кнопку Профиль в правом нижнем углу, затем на кнопку с шестеренкой в правом верхнем углу и выберите пункт Конфиденциальность (в списке есть два пункта с таким названием, вам нужен верхний — с иконкой, на которой изображен ключ).
      Где найти настройки приватности в приложении adidas Running (Runtastic): Профиль → Настройки → Конфиденциальность
      Содержимое этого раздела почему-то забыли перевести на русский язык. В первую очередь здесь вас интересует пункт Maps (кому видны ваши карты) — убедитесь в том, что галочка стоит напротив Followers (подписчикам), а еще лучше — Only me (только мне).
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Мы уже рассказывали, почему в приложениях для фитнеса перед началом использования обязательно нужно настроить конфиденциальность и приватность ваших персональных данных. Там же мы поделились подробной инструкцией по общей настройке смартфонов для минимизации рисков.
      Дело в том, что приложения для трекинга тренировок делятся вашей конфиденциальной информацией, включая точную геопозицию. Особенно отличается этим Strava, которая по умолчанию делится в открытом доступе практически всей информацией о ваших пробежках, и мы уже подробно разбирали, как настроить приватность в Strava.
      В остальных беговых приложениях настройки приватности не так многочисленны, как в Strava, — и по умолчанию они установлены в более жесткие значения (по крайней мере, для новых пользователей, регистрирующихся сейчас). Тем не менее пробежаться по ним также стоит — кое-что будет полезно отключить.
      В приложении крупнейшего производителя спортивной одежды и обуви — Nike Run Club (версии для Android и iOS) — настройки приватности спрятаны так, что может быть не вполне очевидно, как до них добраться. Вот что вам нужно сделать: в левом верхнем углу нажмите на круглую серую иконку с вашими инициалами. Далее нажмите на кнопку Настройки. В открывшемся окне не будет как такового единого пункта «Приватность», нужно выбрать несколько отдельных настроек.
      Где найти настройки приватности в приложении Nike Run Club
      Во-первых, убедитесь в том, что ваш профиль непубличен: для этого нажмите на Видимость профиля и проверьте, где стоит галочка. Правильным выбором с точки зрения приватности тут будет Друзья (социальный доступ), а еще лучше — Только я (личный доступ).
       
      View the full article
×
×
  • Создать...