Rambler's Top100
 
 
Блоги Алексей ЛУКАЦКИЙ

Как Telegram на самом деле хранит ваши данные в облаке

  30 августа 2016 Страница персоны
Во все еще неопубликованной методике моделирования угроз ФСТЭК есть такой пункт, как необходимость включить в модель угроз описание информационной системы, что позволит правильно очертить границы защищаемого объекта и учесть все угрозы, связанные с ним, в том числе и неявные (вот тут я про это более подробно рассказывал).
И вот, находясь в командировке с последующим отпуском в США, я столкнулся с интересным кейсом, который иллюстрирует классическую ошибку (о ней же говорит и ФСТЭК) при очерчивании границ информационной системы в модели угроз.

Итак, возьмем популярный мессенджер Telegram, который считается одним из самых защищенных в своей нише. Во время поездки iPhone вдруг в какой-то момент перестал загружаться и все танцы с бубном не привели к его восстановлению. Оставалось только зайти в ближайший Apple Store и решать проблемы с поддержкой Apple, которая отработала на ура и после нескольких попыток вернуть смартфон к жизни предложила просто поменять его на новое устройство ввиду отсутствия у старого железа желания возвращаться к жизни. По приходу в гостиницу я решил залить на новый смартфон резервную копию, но, торопясь, ткнул мышкой не в последнюю версию, а в январскую (то есть более чем полугодовой давности). Первоначально я этого не заметил и после ее установки стал "добавить" устройство отсутствующими приложениями. Одним из них оказался и Telegram, которого в январе у меня еще не было (я его установил только в апреле). Каким же было мое лицо, когда после установки Telegram с нуля я увидел в нем всю переписку, которая велась в нем еще на старом устройстве!

WTF, подумал я, по привычке перейдя на американский. Как на абсолютно новом устройстве могли появиться данные, которых там никогда не было и которых не было в резервной копии, которая была залита на устройство? Где хваленая безопасность Telegram?.. Стал разбираться и выяснилась занятная для меня вещь. Оказывается, Telegram автоматически (я не помню, чтобы он меня об это спрашивал при установке) включает функцию хранения данных в своем облаке. Очень интересная "фича", которая сразу приводит нас к сценарию атаки на людей, с чьей перепиской мы бы хотели ознакомиться:
  • клонируется SIM-карта жертвы (технически или путем получения клона у мобильного оператора)
  • в новом iPhone восстанавливается вся история переписки Telegram.
В день публикации меня зачморили за эту публикацию, указав на ряд технических ошибок. Мол и хранит Telegram данные в своем облаке (а я писал про iCloud), и эта функция явно указана на сайте. Да, тут я сплоховал, не проверив все до конца, каюсь. Однако меня смутила данная функция с точки зрения именно безопасности и не так уж и важно, где хранятся данные Telegram. Заметка писалась изначально с совершенно иной целью, которая и была озвучена в первых абзацах.

При установке Telegram (а он у меня появился позже Viber и WhatsApp), я был уверен, что данный "защищенный" мессенджер будет поступать ровно также, как и другие мессенджеры, а именно хранить данные на моем устройстве и при его потере или краже я не смогу получить данные к переписке. Оказалось не так. Облако смешало мои карты, существенно расширив модель угроз для моего устройства.

И Telegram - не единственное приложение на смартфоне, которое пользуется облаками. Например, бесплатные 5 Гб в iCloud Drive, которые бесплатно доступны любому пользователю продукции Apple. По умолчанию к ним имеют доступ все приложения на телефоне, которые замечательно этой возможностью пользуются.

Отключить эту функцию в настройках приложениях зачастую нельзя (там нет соответствующего пункта меню) и мы можем просто не знать о такой "фиче". Найти ее можно только если идти в "Настройки - iCloud - iCloud Drive", где нас может поджидать множество сюрпризов.

К чему эта заметка? У нее есть две цели. Во-первых, если вас интересует конфиденциальность вашей переписки в Telegram стоит ответить для себя на простой вопрос, хранить ли переписку в облаке или нет? Кстати, ни Viber, ни WhatsApp, которые, судя по скриншоту выше, тоже что-то хранят в iCloud, переписку оттуда мне не подтянули, из чего можно сделать вывод, что они ее там и не держат (по крайней мере явно).

А во-вторых, хотел бы вернуться к тому, с чего я начал. При моделировании угроз очень важно четко описать границы системы, для которой моделируются угрозы. Особенно это важно в современных условиях, когда "теневые" облака активно используются сотрудниками практически любой компании. А помимо облаков еще есть 3G/4G-модемы, Wi-Fi и другие технологии, позволяющие существенно расширить как границы системы, так и список потенциальных угроз. Конечно же часть этих угроз может быть признана неактуальной, но сделать это можно только после того, как будет составлен их полный перечень, о чем и говорит пока еще не вышедшая методика ФСТЭК.

Источник
Поделиться:

Оставить свой комментарий:

Для комментирования необходимо авторизоваться!

Комментарии по материалу

15.06 0:04 خرید پیج اینستاگرام :
تاثیر خرید پیج اینستاگرام در کار شما چیست ؟
شما یک شرکت یا فروشگاه بزرگ در کشورهستید امروزه با گسترده شدن شبکه های اجتماعی و پیشرفت الکترونیک شما هم باید به رقابت با دیگران بپردازید با خرید یک پیج اینستاگرام می توانید محصولات خود و یا شرکت خود را در شبکه های اجتماعی برای دیگران معرفی کنید می توانید محصولات جدید و خبرهای جدید در مورد کار خود را در صفحات اجتماعی به نمایش بگذارید
چرا پیج اینستاگرام بخریم ؟
قیمت ارزان و مناسب پیج اینستاگرام برای شما مشتریان عزیز
تحویل سریع و آسان پس از خرید
عموم افراد اغلب دارای صفحات اجتماعی شخصی می باشند
بیش از 20 میلیون کاربر فعال ایرانی در اینستاگرام
بیش از 80000 میلیون کاربر فعال در کل دنیا در اینستاکرام
ارزان ترین ساده ترین و مطمئن ترین راه برند سازی
دسترسی سریع و راحت برای گذاشتن مطالب در پیج اینستاگرام خریداری شده
اشتراک گذاشتن محصولات ومعرفی کار خود در شبکه های اجتماعی
پرداخت شما از طریق 3 درگاه پرداخت امن بانکی پرداخت الکترونیک پارسیان , به پرداخت ملت ، درگاه پرداخت بانک سامان انجام میشود
پس ار اتمام خرید و پرداخت برای شما فاکتور صادره شده و به ایمیل شما ارسال میشود تمامی پرداخت ها قابل پیگیری است و ثبت میشوند
سیستم پرداخت الکترونیک پارسیان , به پرداخت ملت ، درگاه پرداخت بانک سامان تمامی کارت های عضو شتاب را پشتیبانی میکند
در صورت که می خواهید یک پیج اینستاگرام خوب داشته باشید حتما سایت اینستاگلد را کامل بررسی نمایید
10.05 1:30 buy telegram :
Why buy telegram members? Most people who set up a telegram channel want to create an internet business, but how can we make money from our telegram and channel? The prerequisite for answering this question is how much membership we have. Usually, at the beginning of the road, an buy telegram members will be a very difficult and time-consuming task and you should not expect growth and revenue from your channel or group until you have a large number of members.
To buy real telegram members, you can easily search for the Increase telegram member on Google and then select a reputable advertising company and give them the job.
Forced Add is a method of adding users to channels, which is done by some unofficial telegrams. As buy telegram channel members and is widely used in various countries, many informal telegrams have entered the competition arena. These unofficial telegrams add a lot of functionality to the main telegram.
In this way, the Increase telegram member will send a message to users buy telegram group members, and people will only see what your channel name is and if they want or need your channel, they will join your channel.
Similar to the buy telegram channel subscribers, push notification is used, except that the message you send contains your photo and ad text like a banner.
10.05 1:31 buy telegram :
https://www.buy-telegram-members.com