Huy động cộng đồng cho một tương lai an toàn hơn

CẬP NHẬT: See trang này về các chi tiết mới nhất về Chương trình Tìm lỗi Nhận thưởng.

Vài ngày trước chúng tôi đã ra mắt một cuộc thi để cải thiện bảo mật của Telegram và rất vui mừng khi đã có kết quả đầu tiên. Cộng đồng IT Nga người dùng đã xác định một điểm có khả năng dễ bị tấn công trong việc triển khai trò chuyện bí mật của chúng tôi. Mặc dù điều này sẽ không giúp anh ta giải mã lưu lượng và chiến thắng cuộc thi, thành tựu của anh ấy xứng đáng được chú ý — và một giải thưởng lớn.

Người dùng habrahabr x7mz đã phát hiện ra rằng trong trường hợp máy chủ Telegram có thể bị chiếm đoạt bởi một bên thứ ba ác ý, nó có thể gửi các số nonce khác nhau đến từng khách hàng tham gia vào một cuộc trò chuyện bí mật.

Những con số nonce này được giới thiệu để thêm nhiều tính ngẫu nhiên hơn cho các khóa trò chuyện bí mật, chủ yếu là do các khả năng tồn tại lỗ hổng chưa được phát hiện của bộ tạo số ngẫu nhiên trên thiết bị di động (ví dụ, một lỗ hổng như vậy đã được tìm thấy vào tháng Tám này trong điện thoại Android).

Như đã được chỉ ra, giải pháp này cũng sẽ làm cho các biểu diễn trực quan của khóa bí mật chia sẻ có thể giống hệt nhau trong trường hợp có một cuộc tấn công trung gian — với điều kiện cuộc tấn công đó được thực hiện bởi máy chủ bị chiếm đoạt. Rõ ràng, máy chủ đã nằm dưới quyền kiểm soát của Telegram suốt thời gian qua, vì vậy mối đe dọa lý thuyết này chưa bao giờ có cơ hội xảy ra.

Nhà phát triển đã phát hiện ra điểm yếu tiềm ẩn đã nhận được phần thưởng là $100,000. Chúng tôi đã liên hệ với anh ấy để tìm hiểu cách anh ấy muốn nhận giải thưởng của mình.

Một phần thưởng tương tự đang chờ đợi bất kỳ ai tìm ra những cách hợp lý để xâm nhập của MTProto bảo mật (và hiện có một phần thưởng 200.000 USD cho giải mã lưu lượng Telegram). Tất cả các bài gửi đến [email protected] mà dẫn đến thay đổi mã hoặc cấu hình đều đủ điều kiện nhận phần thưởng, từ $500 to $100,000 trở lên, tùy thuộc vào mức độ nghiêm trọng của vấn đề.

Câu chuyện này cho thấy tầm quan trọng của việc giữ thông số kỹ thuật giao thức and mã nguồn mở — theo cách này, hàng nghìn bộ óc sáng tạo từ khắp nơi trên thế giới có thể giúp chúng tôi tìm ra các lỗ hổng tiềm ẩn và cải thiện giao thức.

Hãy tiếp tục tìm kiếm bất kỳ điểm yếu nào. Cùng nhau chúng ta có thể làm cho Telegram trở nên không thể phá vỡ.

Ngày 21 tháng 12, 2013
Đội ngũ Telegram