Datenschutz-Schwachstelle im Telegram – APP
https://telegram.org/
Ich habe mal etwas getüftelt und eine Datenschutz-Schwachstelle in der Telegram APP entdeckt, die es einem Telegram-Benutzer (der Angreifer) erlaubt, unter bestimmten Bedingungen, Namen und Telefonnummern anderer Telegram-Nutzer auszulesen (Die Opfer).
Somit kommt man an viele andere Namen und Telefonnummern anderer Telegram Benutzer ran, samit ihren Avatars.
Voraussetzung für den “Angriff”:
Die Möglichkeit an die Einträge der Opfer ranzukommen ist dann gegeben, wenn:
A) Der Angreifer die Mobilfunknummer des Opfers kennt und ggf. mit ihm bereits ein Chat hatte
B) Das Opfer mit anderen Telegram-Teilnehmern bereits eine Telegram Konversation hatte, die dann vom Angreifer samt Name und Nummer wie es beim Opfer gespeichert wurde, abgegriffen werden
C) Der Angreifer das gleiche Handymodell sowie die gleiche Baseband (vereinfacht: gleiches OS-Image+Gerät)) wie das Opfer besitzt
Der Fehler:
Der Fehler(Nach meinen ersten Einschätzungen):
Telegram erlaubt es einem Benutzer auf beliebigen Geräten eine Sitzung zu eröffnen und somit in der Lage zu sein, eine Identität auf mehreren Geräten zu haben. Das hat den Vorteil, dass man mit einer einzigen Telefonnummer auf X beliebigen Geräten mit den gleichen Gesprächspartnern kommunizieren kann (z.B. Smartphone, tablet, Laptop mit UMTS etc.)
Damit Telegram sich jedoch mit einem Gerät nach einer ersten PIN Verfifikation fest verdrahten kann, benötigt es eindeutige Merkmale des Gerätes. Bei Whatsapp wird z.B. eine Kombination aus Telefonnummer und IMEI genutzt (grob erklärt). Jedoch die Sitzungsgeräte nicht immer eine Handy-spezifische IMEI haben, werden Merkmale wie OS-Image/Baseband-Version/Gerätetyp als eindeutiges Merkmal genutzt. Jeder Benutzer kann dann in den Einstellungen von telegram unter Privatsphäre/Sicherheit einsehen, mit welchen Geräten seine Identität bereits eine Sitzung aufgebaut hat. Sind jedoch die Geräte des Opfers und des Angreifers absolut identisch und kennen sich Opfer und Angreifer im Telefonbuch, pusht Telegram die Kontakte der bereits getätigten Chat Sitzungen des Opfers automatisch nach Installation in das Telefonbuch des Angreifers. Somit kommt er an Kontakte seines Opfers ran, die er garnicht kennen sollte!
Ist also OS-Image/Baseband-Version/Gerät gleich, versucht Telegram nicht nur die neue Nummer des Angreifers in die Telefonbücher seiner Kontakte zu pushen die ebenfalls Telegram nutzen, sondern auch auf dem umgekehrten Weg die Kontakte aus anderen Telefonbüchern der Opfer mit dem gleichen Gerät aus bereits vorhandenen Chat Sitzungen.
Dieses Problem wird insbesondere dadurch begünstigt, da die Smartphone Hersteller ihre Geräte sozusagen am Fliessband herstellen und die Geräte bis auf wenige Merkmale in ihrer Hardware und Software ab Werk absolut identisch sind. Unterschiedliche Merkmale in der Software kommen dann z.B. durch Updates/Modellpflege der Hersteller zu stande.
Also Jungs, wenn ihr mal eure Freundinnen ausspionieren wollt, kauft euch zusammen am gleichen Tag im gleichen Markt die gleichen Handys und animiert sie dazu Telegram zu nutzen haha
Meine Testgeräte waren zwei KAZAM Trooper 2 50 Smartphones, gekauft August 2015 in Abstand von ca. 2 Wochen im gleichen Markt.
Getestete Versionen:
Telegram for Android Client Version: 3.2.6 und 3.3.1
Android 4.2.2, Kernel 3.4.5 KAZAM@android115#1
