В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

В Telegram Passport найдена лазейка для удачной брутфорс-атаки

Не успел Telegram анонсировать нововведение под названием Passport, как пользователи начали находить в нем проблемы безопасности. Об одной из таких уязвимостей сообщил пользователь Habr, известный под псевдонимом Scratch.

Согласно сообщению Scratch, в Telegram Passport есть бреши, которые потенциально могут помочь злоумышленникам похитить персональные данные.

Исследователь утверждает, что вся проблема кроется в алгоритмах шифрования, которые используются в новом сервисе от популярного мессенджера.

Похоже, что компания просто перемудрила, так как разработчики не используют сквозное шифрование в прямом смысле, а задействуют собственную разработку. Таким образом, схема выглядит приблизительно так: в облако передаются зашифрованные личные данные, случайный криптографический ключ и хеш этих данных, смешанный со случайными байтами.

Эксперт уверяет, что всего вышеозначенного достаточно для успешного проведения атаки вида брутфорс, которая позволит киберпреступникам завладеть информацией пользователя.

«Это далеко не “случайный шум”, тут есть всё необходимое, включая ключ шифрования, защищенный паролем. И это позволяет добраться до данных пользователей гораздо, гораздо быстрее, чем перебирать все возможные комбинации ключей AES (2^256). Также большому сомнению подвергаются такие изобретённые авторами Telegram механизмы, как проверка ключа на валидность с помощью суммы байт, участия самих данных в формировании ключа их же шифрования и хэша от данных вместо HMAC», — пишет Scratch.

В качестве одного из методов защиты эксперты предлагает использовать длинные пароли (не менее 8 символов), в этом случае преступникам будет куда сложнее подобрать необходимые для доступа данные.

Напомним, что Telegram Passport на днях также подвергся критике со стороны Антона Розенберга, бывшего партнера Павла Дурова. Господин Розенберг считает, что новый сервис непрозрачен и небезопасен.

В Беларуси пресечена шпионская прослушка разговоров пилотов авиации

В этом году контрразведка Беларуси выявила и ликвидировала обширную сеть зарубежных спецслужб, которые с помощью местных пособников прослушивали переговоры пилотов гражданской и военной авиации страны.

С этой целью на территории Беларуси были установлены специальные технические средства. Зафиксирован также спутниковый мониторинг объектов оборонного значения, ж/д транспорта, логистики, крупных предприятий (МАЗ, БЕЛАЗ).

«Очень активно ведется радиотехническая и радиоэлектронная разведка, — заявил журналистам глава КГБ Беларуси Иван Тертель. — Практически мы под электронным колпаком находимся».

По его словам, западные спецслужбы также прослушивают телефонные разговоры и проникают в ИКТ-сети, используя их как плацдарм для осуществления терактов за пределами страны.

«Мы эти попытки пресекаем, работаем, но не расслабляемся, потому что понимаем, что в случае изменения какой-то ситуации эти каналы могут быть использованы на территории Беларуси», — подчеркнул председатель КГБ.

Недавно стало известно о еще одной шпионской кампании в Беларуси. На Android-устройства граждан внедряется специализированный, очень скрытный троян ResidentBat (по утверждению правозащитников, его вручную устанавливают местные силовики в ходе допросов диссидентов).

При установке зловред запрашивает десятки разрешений, в том числе на доступ к Accessibility Service, а при запуске уделяет особое внимание перепискам в зашифрованных мессенджерах.

RSS: Новости на портале Anti-Malware.ru