टेलीग्राम में भेद्यता के माध्यम से टेलीफोन नंबर और जियोलोकेशन का खुलासा

हाल ही में, टेलीग्राम लोगों के माध्यम से तोड़ने और व्यक्तिगत डेटा लीक करने के विषय पर तेजी से चर्चा कर रहा है। मैं सोच रहा था कि टेलीग्राम इकोसिस्टम खुद इस तरह के लीक के प्रतिरोधी है।

कट के तहत कहानी है कि कैसे मुझे टेलीग्राम में एक बग मिला। बग आपको उपयोगकर्ता को गुमराह करने की अनुमति देता है, और उसे अनजाने में अपना डेटा - जियोलोकेशन और फोन नंबर साझा करने के लिए धक्का देता है।

यहां देखिए यह कैसे काम करता है:


सिस्टम की जटिलता हमेशा सुरक्षा की दुश्मन रही है।

टेलीग्राम बड़ा हो गया है, सिर्फ एक संदेशवाहक बन कर रह गया है, और समृद्ध कार्यक्षमता वाले बड़े मीडिया प्लेटफॉर्म पर विकसित हो गया है। टेलीग्राम बॉट एपीआई एक अलग घर के रूप में बाहर खड़ा है, जो आपको मैसेंजर के अंदर पूरे अनुप्रयोगों का निर्माण करने की अनुमति देता है - तथाकथित बॉट्स।

सबसे अधिक संभावना है, जो हर कोई अपना बॉट बनाने की कोशिश करता है, वह पहले से ही जानता है कि उपयोगकर्ता को एक विशेष बटन का उपयोग करके अपने फोन नंबर के लिए अनुरोध भेजा जा सकता है।

इस बटन पर पाठ किसी भी सेट किया जा सकता है। इसके अलावा, बॉट अन्य इंटरैक्शन के लिए एक ही बटन का उपयोग कर सकता है:



बटन पर क्लिक करने के बाद, उपयोगकर्ता को निश्चित रूप से एक चेतावनी दिखाई जाएगी कि उसका संपर्क अब बॉट में भेजा जाएगा:



यह संदेश डीनकरण के जोखिम के बारे में काफी स्पष्ट रूप से बोलता है, और विचारशील उपयोगकर्ता को उसके लिए खतरनाक कार्यों से चेतावनी देता है।

एपीआई अपडेट के माध्यम से जाने पर, मुझे याद आया कि कुछ बिंदु पर टेलीग्राम ने उपयोगकर्ताओं को दूत का अपना स्थानीयकरण करने का अवसर दिया। ऐसे उदाहरण थे जब इंटरफ़ेस के कॉमिक परिवर्तनों के लिए स्थानीयकरण का उपयोग किया गया था। उस समय, मेरे साथ भी यही विचार आया था कि अब आप हो सकते हैं:

लेकिन क्या होगा यदि आप किसी उपयोगकर्ता को किसी फोन नंबर को बॉट में स्थानांतरित करने के बारे में चेतावनी देने वाले संवाद बॉक्स को "टेक्स्ट ट्रांसलेट" करने की कोशिश करते हैं, जिससे उसका टेक्स्ट बदल जाए?



सबसे पहले, मैंने सोचा था कि एप्लिकेशन में एक एक्सट्रॉनल xml फ़ाइल स्थानीयकरण को स्थापित करने के लिए एक उपयोगकर्ता प्राप्त करना शेयर संपर्क पर क्लिक करने के लिए आश्वस्त करने की तुलना में बहुत अधिक कठिन होगा। वास्तव में, एक xml फ़ाइल का उपयोग करते हुए, टेलीग्राम ने अपने स्थानीयकरणों को वार्ताकारों के बीच वितरित करने की पेशकश की।

इसलिए मैंने सोचा, जब तक कि मैं एंड्रॉइड एप्लिकेशन स्रोत कोड में सेटलैंगेज लिंक हैंडलर के पार नहीं आया हूं ।



वास्तव में क्या जरूरत है!

यह पता चला कि टेलीग्राम ने बहुत पहले ही एक अनुवाद मंच बना दिया था, जोकि सभी टेलीग्राम उपयोगकर्ताओं के लिए पहुँचा।



बस लिंक पर क्लिक करें t.me/setlanguage/%lang%, जिसके बाद उपयोगकर्ता एक संवाद बॉक्स देखेगा, जो आपसे एक नई भाषा स्थापित करने के लिए कहेगा। और यह विंडो फोन नंबर अनुरोध के बारे में संदेश की तुलना में बहुत कम डराने वाली है:

यह काम किस प्रकार करता है?

पर रजिस्टर translations.telegram.org ।

अपनी भाषा जोड़ें, आवश्यक इंटरफ़ेस तत्वों और कुछ और लोगों का अनुवाद करें ।

स्थानीयकरण में, आप अपनी इच्छानुसार कुछ भी लिख सकते हैं। हम जियोलोकेशन और फोन नंबर साझा करने के बारे में एक भयानक चेतावनी के बजाय एक हानिरहित पाठ लिखेंगे। हम अन्य प्लेटफार्मों के लिए भी ऐसा ही करते हैं।

हमारी जहरीली भाषा तैयार है। यह उपयोगकर्ता के लिए पर्ची करने के लिए बनी हुई है।



मुझे अभी भी यह पता लगाने का कोई तरीका नहीं मिला है कि क्या उपयोगकर्ता ने उसे पेश किए गए स्थानीयकरण को स्थापित किया है। अनुवादों पर कोई भाषा आँकड़े नहीं थे। न ही उपयोगकर्ता प्रोफाइल, और न ही उपयोगकर्ता प्रोफ़ाइल में परिवर्तन। बॉट एप आपको language_code पैरामीटर के माध्यम से उपयोगकर्ता की भाषा का पता लगाने की अनुमति देता है, लेकिन इसका मूल्य सिस्टम सेटिंग्स से लिया गया है। एप्लिकेशन में भाषा बदलने से पैरामीटर प्रभावित नहीं होता है।

ठीक है, तो बस भाषा के लिंक के साथ संदेश के बाद थोड़ा विलंब जोड़ें। भाषा चुनने के बाद, हम उपयोगकर्ता को बॉट मेनू से परिचित करने का सुझाव देते हैं। जब आप इस संवाद बॉक्स में ओके पर क्लिक करते हैं, तो नंबर एक संदेश के साथ बॉट पर लीक होता है, और बॉट तुरंत इस संदेश को हटा देता है। यदि बॉट अपडेट प्राप्त करने के लिए webhook का उपयोग करता है, तो संदेश तेजी से हटा दिया जाता है और उपयोगकर्ता यह नहीं समझ सकता है कि उसने अभी अपना संपर्क भेजा है।

वैसे, एक संपर्क अनुरोध के समान, एक बॉट उपयोगकर्ता को अपने जियोलोकेशन को साझा करने के लिए कह सकता है। हां, और यह संवाद बॉक्स "अनुवादित" भी हो सकता है।

कैसे ठीक करना है

जाहिर है, आपको उपयोगकर्ताओं को बिना मॉडरेशन के पूरे इंटरफ़ेस का अनुवाद करने की अनुमति नहीं देनी चाहिए। वैसे, अनुवाद मॉडरेशन के लिए सक्षम है, उदाहरण के लिए, यह संवाद बॉक्स अनुवाद .telegram.org/rutech/ios/unsorted/AuthCode.Alert । मॉडरेशन की आवश्यकता क्रिटिकल लेबल द्वारा हमें बताई गई है।



यह पता चला है कि संख्याओं और जियोलोकेशन के बारे में संवाद के लिए एक क्रिटिकल लेबल की कमी के कारण इस तरह के एक छोटे चूक से रिसाव होता है। बहुत संवेदनशील डेटा का एक रिसाव, गोपनीयता / सुरक्षा के आसपास अपने संदेशवाहक के निर्माण के लिए के रूप में।

परिभाषा के अनुसार, आपके निजी फ़ोन नंबर से जुड़ा एक संदेशवाहक निजी नहीं हो सकता। यह केवल आपकी पहचान प्रकट करने की लागत को बढ़ा सकता है।

यह भेद्यता बग बाउंटी टेलीग्राम प्रोग्राम में गिर गई और इसे 100 € में रेट किया गया।

PS

टेलीग्राम चैट @secinfosec पर हमारे पास आएं । वहां हम अपने अनुभव साझा करते हैं और सूचना सुरक्षा से संबंधित हर चीज पर चर्चा करते हैं: एक भरपूर बग, पेंटेस्ट, पेपर और व्यावहारिक सुरक्षा, नए खतरे और उनसे निपटने के तरीके।