Pagsasamasama ng Maraming Tao para sa Mas Ligtas na Kinabukasan

UPDATE: See ang pahinang ito para sa pinakabagong mga detalye tungkol sa Programa ng Bug Bounty ng Telegram.

Ilang araw na ang nakalipas inilunsad namin ang isang paligsahan upang mapabuti ang seguridad ng Telegram at kami ay natutuwa na mayroon na kaming mga unang resulta. A Komunidad ng IT ng Russia Natukoy ng gumagamit ang isang posibleng mahina na bahagi sa aming pagpapatupad ng lihim na chat. Bagaman ito ay hindi makakatulong sa kanya na maintindihan ang trapiko at manalo ang paligsahan, ang kanyang tagumpay ay nararapat sa pansin — at isang malaking gantimpala.

Ang gumagamit ng habrahabr x7mz natuklasan na kung sakaling ang server na Telegram ay makuha ng isang malisyosong ikatlong partido, maaari nitong magpadala ng iba't ibang numero ng nonce sa bawat isa sa mga kliyente na lumalahok sa isang lihim na pag-uusap.

Ang mga nonce na numerong ito ay ipinakilala upang dagdagan ang kaunting kalabuan sa mga lihim na chat key, karamihan dahil sa posibleng hindi pa natutuklasang kahinaan ng mga random generator sa mga mobile na device (halimbawa, isang ganitong kahinaan ay natuklasan nitong Agosto sa mga teleponong android).

Gaya ng ipinakita, ang solusyong ito ay magpapahintulot din na maging magkapareho ang mga visual na representasyon ng ibinahaging lihim na susi sakaling magkaroon ng man-in-the-middle na pag-atake — kung ang naturang pag-atake ay ginawa ng nakumpiskang server. Maliwanag, ang server ay nasa kontrol na ni Telegram sa lahat ng panahong ito, kaya ang teoritikal na banta na ito ay hindi kailanman nagkaroon ng pagkakataong maisakatuparan.

Ang developer na nakahanap ng posibleng kahinaan ay nakatanggap ng gantimpala na $100,000Nakipag-ugnayan kami sa kanya upang alamin kung paano niya nais kunin ang kanyang premyo.

Isang katulad na gantimpala ang naghihintay sa sinumang makakahanap ng mga mabisang paraan ng pagpapahina MTProto’s seguridad (at mayroong natitirang gantimpala na $200,000 para sa pag-decode ng trapiko ng Telegram). Lahat ng pagsusumite sa [email protected] na nagreresulta sa pagbabago ng code o konfigurasyon ay karapat-dapat sa mga gantimpala, mula sa $500 to $100,000 o higit pa, depende sa tindi ng isyu.

Ipinapakita ng kuwentong ito ang kahalagahan ng pagpapanatili ng tukoy ng protokol and pinagmulan ng kodigo buksan — sa ganitong paraan, libu-libong matatalinong isipan mula sa buong mundo ang makakatulong sa amin na mahanap ang mga posibleng kahinaan at mapabuti ang protocol.

Patuloy nating hanapin ang anumang mahinang bahagi. Sama-sama nating gagawin ang Telegram na hindi mababasag.

Disyembre 21, 2013
Ang Koponan ng Telegram