کاروتک

تکنولوژی و علمی

تلویزیون و سینما

تلویزیون کاروتک

محققان امنیتی راه ساده‌ای را برای دور زدن ویژگی پیام‌های خود تخریب‌کننده در پیامرسان محبوب تلگرام کشف کرده‌اند.

در یک پست وبلاگی، شرکت امنیتی Trustwave دو آسیب‌پذیری جداگانه در تلگرام برای macOS را شرح داده است، که هر دو اثر بخشی ویژگی حریم خصوصی را به خطر می‌اندازد.

اولین مورد می‌تواند برای بازیابی داده‌های یک پیام مثل تصاویر، پیام‌های ویدئویی، صدای ضبط شده و لوکیشن‌های ارسال می‌باشد، حتی پس از شروع فرآیند خود تخریب این پیام‌ها، مورد سوءاستفاده قرار گیرد. مورد دوم هم به شخصی اجازه می‌دهد بدون باز کردن پیام و تنظیم تایمر خود تخریب به پیام‌های رسانه‌ای مثل عکس و ویدیو دسترسی پیدا کند.

قابلیت پیام‌های خود تخریب در حالت چت محرمانه تلگرام قرار دارد که به کاربران یک لایه اضافی از حریم خصوصی و امنیت ارائه می‌دهد و از رمزگذاری end-to-end برخوردار است. این رمزگذاری به این شکل است که هیچ شخص ثالثی به پیام‌های ارسال شده به این طرف و آن طرف، از جمله خود تلگرام، دسترسی ندارد.

پیام‌های خود تخریب حتی پا را فراتر می‌گذارند و به کاربران اجازه می‌دهند تایمری را تنظیم کنند که پس از آن پیام‌ها و پیام‌های رسانه‌ای مرتبط، از هر دو دستگاه بدون ردیابی حذف شوند؛ اما به نظر می‌رسد که دو اشکال کشف شده توسط Trustwave، این ویژگی را عملا منسوخ کرده است.

Trustwave می‌گوید که هر دو مشکل امنیتی را به تلگرام گزارش کرده که برای رفع مورد اول اقدام کرد، اما در مورد دیگری کاری نکرد. در زمان نگارش این مطلب، هنوز می‌توان از تلگرام برای macOS برای دسترسی به فایل‌های رسانه‌ای بدون باز کردن یک پیام خود تخریب سوء استفاده کرد.

تلگرام به عنوان توجیهی برای تصمیم‌گیری مبنی بر عدم توجه به مورد، بیانیه زیر را در اختیار محققان قرار داد:

لطفا توجه داشته باشید که هدف اصلی تایمر خود تخریب آن است که به عنوان راهی ساده برای حذف خودکار پیام‌ها عمل کند. با این حال، راه‌هایی برای انجام کارهایی در مورد آن وجود دارد که خارج از آنچه برنامه تلگرام می‌تواند کنترل کند (مانند کپی پوشه برنامه) است، و ما به وضوح در مورد چنین شرایطی به کاربران هشدار می‌دهیم.

در این پست وبلاگی، Trustwave همچنین خاطرنشان می‌کند که مجبور شد پیشنهاد پاداش مربوط به پیدا کردن باگ را رد کند، زیرا دریافت آن مانع از آن می‌شد که محققان یافته های خود را برای عموم فاش کنند.

Reegun Jayapaul می‌نویسد:

پاداش‌های مربوط به پیدا کردن باگ، پاداش خوبی برای افراد محقق است که منجر به تولید محصولی بهتر و پایگاهی امن‌تر برای کاربران می‌شود. اما با توجه به این موضوع، پاداش‌های مربوط پیدا کردن باگ که در آن نیاز به سکوت دائمی در مورد آسیب پذیری است، به جامعه و شرکت‌ها به صورت وسیع‌تری کمک نمی‌کند تا شیوه‌های امنیتی خود را بهبود ببخشند.

تلگرام هنوز به درخواست رسانه‌ها برای پاسخ به این انتقاد جوابی نداده است.