Memanfaatkan Crowdsourcing untuk Masa Depan yang Lebih Aman

Pembaruan: See halaman ini untuk detail terbaru tentang Program Bug Bounty Telegram.

Beberapa hari yang lalu kami meluncurkan sebuah kontes untuk meningkatkan keamanan Telegram dan sangat senang sudah memiliki hasil pertama. A Komunitas TI Rusia pengguna mengidentifikasi titik yang berpotensi rentan dalam implementasi obrolan rahasia kami. Meskipun ini tidak akan membantunya memecahkan lalu lintas dan menang kontes, pencapaiannya pantas mendapat perhatian — dan hadiah besar.

Pengguna habrahabr x7mz telah menemukan bahwa jika server Telegram dapat direbut oleh pihak ketiga yang jahat, itu bisa mengirim nomor nonce yang berbeda kepada setiap klien yang berpartisipasi dalam obrolan rahasia.

Angka nonce ini diperkenalkan untuk menambahkan lebih banyak keacakan pada kunci obrolan rahasia, sebagian besar karena kemungkinan adanya kerentanan yang belum ditemukan pada generator acak di perangkat seluler (misalnya, salah satu kerentanan seperti itu ditemukan Agustus ini di ponsel Android).

Seperti yang telah disebutkan, solusi ini juga akan memungkinkan representasi visual dari kunci rahasia bersama menjadi identik dalam kasus serangan man-in-the-middle — asalkan serangan tersebut dilakukan oleh server yang disita. Jelas, server tersebut selama ini berada di bawah kendali Telegram, sehingga ancaman teoretis ini tidak pernah memiliki kesempatan untuk terjadi.

Pengembang yang menemukan potensi kelemahan telah mendapatkan hadiah sebesar $100,000. Kami telah menghubunginya untuk mengetahui bagaimana dia ingin mengambil hadiahnya.

Hadiah serupa menanti siapa pun yang menemukan cara-cara layak untuk melakukan kompromi MTProto’s keamanan (dan ada hadiah sebesar $200.000 untuk mendemkripsi lalu lintas Telegram). Semua pengiriman ke [email protected] yang mengakibatkan perubahan kode atau konfigurasi berhak mendapatkan hadiah, mulai dari $500 to $100,000 atau lebih, tergantung pada tingkat keparahan masalah.

Cerita ini menampilkan pentingnya menjaga spesifikasi protokol and kode sumber terbuka — dengan cara ini ribuan pemikir cemerlang dari seluruh dunia dapat membantu kami menemukan potensi kerentanan dan meningkatkan protokol.

Mari terus mencari setiap titik lemah. Bersama-sama kita bisa membuat Telegram tak terkalahkan.

21 Desember 2013
Tim Telegram