Пользователей Telega предупредили: клиент читает переписку и фото

Альтернативный Telegram-клиент «Телега», позиционирующийся как удобное решение для обхода замедления мессенджера в России, вновь оказался в центре скандала. Пользователь «Хабра» под псевдонимом fox52 опубликовал детальный технический разбор Android-версии приложения 2.4.2, в котором пришел к выводу, что оператор сервиса способен получить полный доступ к переписке и медиафайлам пользователей, выступая не просто посредником, а полноценной стороной шифрования.

Согласно выводам исследователя, при первом запуске клиент запрашивает у собственного сервиса список IP-адресов, после чего подключается к ним как к легитимным узлам Telegram. Таким образом, весь трафик направляется не на серверы мессенджера, а на инфраструктуру, подконтрольную АО «Телега». Автор разбора также утверждает, что в нативной библиотеке приложения вшит дополнительный RSA-ключ, отсутствующий в официальном клиенте, благодаря чему серверы оператора воспринимаются как доверенные участники криптографического обмена. На этом основании fox52 делает вывод, что заявления разработчиков о том, что данные пользователей «защищены шифрованием Telegram», с технической точки зрения являются некорректными, поскольку оператор оказывается не транзитным звеном, а полноценной стороной, способной видеть содержимое трафика.

Особое внимание в разборе уделено работе с медиафайлами. Исследователь пишет, что отправляемые через «Телегу» фотографии перекодируются на сервере оператора: визуально картинка остается прежней, однако ее хеш-сумма и параметры сжатия изменяются. Из этого следует, что серверная инфраструктура видит содержимое снимков в расшифрованном виде и теоретически может вмешиваться в такие вложения. Кроме того, по утверждению fox52, секретные чаты в приложении либо не функционируют должным образом, либо фактически скомпрометированы, а в коде обнаружены механизмы удаленной модерации и отправки дополнительной телеметрии.

В ходе динамического эксперимента на контролируемом стенде исследователь зафиксировал, что после авторизации в «Телеге» в официальном клиенте Telegram появлялась новая активная сессия, которую он сам не создавал. Характерными признаками этой сессии стали строка «iOS SDK 34» в поле версии системы и геолокация, определенная по IP-адресу из инфраструктуры оператора. Это, по мнению автора, является прямым свидетельством того, что процедура установки защищенного соединения проходит через промежуточные серверы.

Напомним, что 9 апреля приложение «Телега» было удалено из магазина App Store, а в тот же день сервис Cloudflare Radar присвоил доменам проекта статус spyware (шпионское ПО). Позднее, 10 апреля, после предоставления разработчиками дополнительной информации, данная метка была снята, однако TLS-сертификат остается отозванным, а само приложение в каталог Apple пока не вернулось. При этом в Google Play клиент по-прежнему доступен для скачивания.