搜索

[10385] 2016-08-08_近期接连爆出的Telegram漏洞到底是怎么回事？

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2016-08-08_近期接连爆出的Telegram漏洞到底是怎么回事？ 近 期 接 连 爆 出 的 T e l e g r a m 漏 洞 到 底 是 怎 么 回 事 ？ S p h i n x   F r e e B u f   2 0 1 6 - 0 8 - 0 8 最 近 这 两 天 ， 号 称 最 近 这 两 天 ， 号 称 “ 最 安 全 最 安 全 ” 的 通 讯 应 用 的 通 讯 应 用 T e l e g r a m 接 连 爆 出 漏 洞 ， 又 是 剪 贴 板 信 息 泄 露 ， 又 是 接 连 爆 出 漏 洞 ， 又 是 剪 贴 板 信 息 泄 露 ， 又 是 1 5 0 0 万 伊 朗 用 户 手 机 号 曝 光 ， 万 伊 朗 用 户 手 机 号 曝 光 ， 究 竟 这 两 个 漏 洞 有 多 危 险 呢 ？ 究 竟 这 两 个 漏 洞 有 多 危 险 呢 ？ 漏 洞 漏 洞 1 ： 粘 贴 信 息 泄 露 ： 粘 贴 信 息 泄 露 研 究 员 K i r i l l   F i r s o v 发 现 了 这 个 漏 洞 ： 在 O S   X 版 本 的 T e l e g r a m 中 ， 复 制 粘 贴 到 T e l e g r a m 上 的 文 本 会 被 记 录 到 / v a r / l o g / s y s t e m . l o g ( s y s l o g ) 中 。 这 样 某 些 私 密 的 聊 天 记 录 就 被 保 存 了 下 来 。
M a c 系 统 一 般 会 保 存 7 天 的 日 志 ， 不 过 攻 击 者 得 要 有 物 理 接 触 才 能 访 问 到 日 志 。 不 过 在 企 业 环 境 系 统 下 ， 日 志 信 息 会 发 送 到 专 门 的 日 志 服 务 器 ， 这 样 就 可 能 会 带 来 更 大 的 安 全 隐 患 。 对 此 ， T e l e g r a m 创 始 人 P a v e l   D u r o v 解 释 称 ， 读 取 日 志 的 难 度 很 大 ， 而 且 实 际 上 相 比 普 通 的 剪 切 板 复 制 粘 贴 安 全 得 多 ， 因 为 任 何 应 用 都 可 以 读 取 你 的 剪 切 板 。 不 过 P a v e l   D u r o v 说 ， T e l e g r a m 还 是 在 漏 洞 公 开 后 马 上 修 复 了 ， 所 以 现 在 用 户 们 用 的 软 件 应 该 都 没 什 么 问 题 了 。 漏 洞 漏 洞 2 ： ： 1 5 0 0 万 伊 朗 用 户 手 机 号 泄 露 万 伊 朗 用 户 手 机 号 泄 露
就 在 粘 贴 信 息 泄 露 爆 出 的 第 二 天 ， 又 有 伊 朗 黑 客 声 称 ， 他 们 攻 陷 了 数 十 个 T e l e g r a m 账 号 ， 然 后 泄 露 了 1 5 0 0 万 伊 朗 用 户 手 机 号 。 T e l e g r a m 在 全 球 有 一 亿 用 户 ， 而 在 伊 朗 的 T e l e g r a m 用 户 大 约 有 2 0 0 0 万 ， 这 主 要 是 因 为 T e l e g r a m 提 供 了 端 对 端 的 加 密 ， 能 够 保 障 用 户 密 钥 只 有 用 户 拥 有 ， 即 便 是 T e l e g r a m 公 司 也 无 法 访 问 到 消 息 数 据 。 而 在 伊 朗 这 样 的 国 家 ， 大 量 的 异 见 人 士 、 新 闻 记 者 、 甚 至 普 通 群 众 对 通 讯 安 全 十 分 重 视 ， 因 此 它 吸 引 了 大 量 用 户 。 1 5 0 0 万 用 户 手 机 号 泄 露 ， 看 起 来 已 经 把 7 5 % 的 伊 朗 用 户 手 机 号 泄 露 完 了 ， 那 这 个 漏 洞 严 不 严 重 呢 ？ T e l e g r a m 的 博 客 对 此 作 出 了 解 释 ： 有 人 检 查 了 那 些 手 机 号 码 有 没 有 在 T e l e g r a m 进 行 注 册 ， 然 后 确 认 了 这 1 5 0 0 万 个 手 机 号 。 结 果 黑 客 只 是 获 得 了 那 些 公 开 数 据 ， 并 没 有 进 入 过 那 些 账 号 。 T e l e g r a m 还 说 ， 黑 客 使 用 A P I 对 手 机 有 没 有 注 册 T e l e g r a m 进 行 了 测 试 ， 而 公 司 今 年 会 引 入 一 种 对 A P I 查 询 的 限 制 ， 可 以 阻 止 这 种 大 量 检 测 。 “ 不 过 ， T e l e g r a m 是 基 于 手 机 通 讯 录 的 ， 任 何 人 还 是 能 够 查 到 某 个 手 机 号 有 没 有 注 册 账 号 ” ， T e l e g r a m 补 充 说 ， ” 各 大 基 于 通 讯 录 的 聊 天 软 件 也 都 是 这 样 做 的 （ W h a t s A p p ,   M e s s e n g e r 等 ） 。 ” 黑 客 在 报 告 中 所 提 的 另 一 点 是 ： 登 录 过 程 中 的 验 证 短 信 可 能 被 他 人 获 取 ， 他 们 就 是 使 用 S S 7 获 取 验 证 短 信 从 而 登 录 了 那 几 十 个 账 号 。 由 于 伊 朗 的 手 机 通 讯 供 应 商 都 掌 握 在 政 府 手 中 ， 黑 客 担 心 伊 朗 政 府 可 能 会 利 用 这 一 点 ， 截 取 异 见 人 士 的 验 证 短 信 ， 进 而 登 录 他 们 的 账 号 。 T e l e g r a m 在 博 客 中 表 示 ， 截 获 验 证 短 信 其 实 已 经 很 难 说 是 新 威 胁 了 ， 公 司 一 直 在 警 告 某 些 国 家 的 用 户 小 心 短 信 被 截 取 。 建 议 用 户 们 开 启 两 部 验 证 来 防 范 这 种 攻 击 。 事 实 上 发 送 验 证 短 信 是 各 大 通 信 软 件 的 通 行 做 法 ， 这 在 一 般 人 看 来 好 像 没 什 么 问 题 ， 但 伊 朗 用 户 对 于 安 全 的 重 视 程 度 要 比 事 实 上 发 送 验 证 短 信 是 各 大 通 信 软 件 的 通 行 做 法 ， 这 在 一 般 人 看 来 好 像 没 什 么 问 题 ， 但 伊 朗 用 户 对 于 安 全 的 重 视 程 度 要 比 一 般 人 高 得 多 ， 因 此 ， 对 于 他 们 来 说 ， 这 样 的 安 全 措 施 还 是 不 够 的 。 一 般 人 高 得 多 ， 因 此 ， 对 于 他 们 来 说 ， 这 样 的 安 全 措 施 还 是 不 够 的 。 * 参 考 来 源 ： R e u t e r s   &   Z D N e t   &   T e l e g r a m   &   N a k e d S e c u r i t y ， F B 小 编 S p h i n x 编 译 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理