В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

Не успел Telegram анонсировать нововведение под названием Passport, как пользователи начали находить в нем проблемы безопасности. Об одной из таких уязвимостей сообщил пользователь Habr, известный под псевдонимом Scratch.

Согласно сообщению Scratch, в Telegram Passport есть бреши, которые потенциально могут помочь злоумышленникам похитить персональные данные.

Исследователь утверждает, что вся проблема кроется в алгоритмах шифрования, которые используются в новом сервисе от популярного мессенджера.

Похоже, что компания просто перемудрила, так как разработчики не используют сквозное шифрование в прямом смысле, а задействуют собственную разработку. Таким образом, схема выглядит приблизительно так: в облако передаются зашифрованные личные данные, случайный криптографический ключ и хеш этих данных, смешанный со случайными байтами.

Эксперт уверяет, что всего вышеозначенного достаточно для успешного проведения атаки вида брутфорс, которая позволит киберпреступникам завладеть информацией пользователя.

«Это далеко не “случайный шум”, тут есть всё необходимое, включая ключ шифрования, защищенный паролем. И это позволяет добраться до данных пользователей гораздо, гораздо быстрее, чем перебирать все возможные комбинации ключей AES (2^256). Также большому сомнению подвергаются такие изобретённые авторами Telegram механизмы, как проверка ключа на валидность с помощью суммы байт, участия самих данных в формировании ключа их же шифрования и хэша от данных вместо HMAC», — пишет Scratch.

В качестве одного из методов защиты эксперты предлагает использовать длинные пароли (не менее 8 символов), в этом случае преступникам будет куда сложнее подобрать необходимые для доступа данные.

Напомним, что Telegram Passport на днях также подвергся критике со стороны Антона Розенберга, бывшего партнера Павла Дурова. Господин Розенберг считает, что новый сервис непрозрачен и небезопасен.

Американские разработчики ИИ-моделей выявляют и банят россиян

Разработчики моделей искусственного интеллекта (ИИ) Claude, ChatGPT и Gemini активно выявляют пользователей из неподдерживаемых регионов, включая Россию, и блокируют им доступ. При этом чем крупнее проект, тем выше риск столкнуться с ограничениями.

Недавно стало известно о масштабной блокировке российских пользователей компанией Anthropic, которой принадлежит ИИ-модель Claude. По данным СМИ, она затронула сотни людей и компаний. При этом удалялись все данные и аналитика, хотя деньги за подписки возвращались.

Как отметил директор по экспериментальным продуктам MWS AI, входящей в МТС Web Services, Сергей Пономаренко в беседе с РИА Новости, зарубежные разработчики продолжат применять такую практику в отношении россиян. По его оценке, под наиболее серьёзной угрозой находятся крупные проекты, по которым есть признаки корпоративного использования. Это связано с соблюдением санкционных ограничений, введённых властями США ещё в 2024 году.

«Американские компании-разработчики ИИ Anthropic, OpenAI и Google активно применяют инструменты выявления пользователей из неподдерживаемого региона и будут дальше совершенствовать их, поэтому россиян ждут новые волны блокировок в Claude, ChatGPT и Gemini», — предупредил Сергей Пономаренко.

По его словам, ограничения вводятся постепенно. Российские IP-адреса долгое время могли помечаться в базах, которыми пользуются зарубежные компании, как европейские, однако со временем такие данные уточняются. В результате сетевые адреса начинают определяться как российские, после чего к ним применяются ограничения.

Использование прокси и VPN зарубежные компании также могут отслеживать. «Подозрение могут вызвать постоянные входы из разных стран за короткое время, использование известных VPN или прокси, слишком большое количество запросов, массовое создание аккаунтов, а также попытки обойти блокировки или фильтры безопасности», — пояснил эксперт.

Часто сомнительные учётные записи сначала отправляют на проверку и не блокируют полностью. Доступ к ним могут восстановить после обращения в техническую поддержку. Однако при удалении аккаунта уничтожаются все данные. При этом сами диалоги владельцы ИИ-моделей могут сохранять, что создаёт дополнительные риски утечки информации.

RSS: Новости на портале Anti-Malware.ru