Телеграм прокололся с безопаснотстью

[vitus_wagner]

https://www.schneier.com/blog/archives/2021/01/finding-the-location-of-telegram-users.html

Шнайер пишет, что используя телеграмовскую фичу People Nearby можно очень легко определить точное положение какого-то абонента. Телеграм показывает расстояние от него до нас.

Соответственно, если мы умеем подсунуть телеграму поддельные координаты, можно даже со стула не вставать. Берем меряем расстояния от юзера до трех известных точек, три движения циркулем по карте и вот он, родимый.

Если же определением местоположения занимается не хакер, а обычный человек, который пользоваться отладочными функциями андроида не умеет, ему придется всего лишь посетить эти три точки лично, выбрав момент, когда целевая персона никуда двигаться не собирается.

Comments

[dmitrmax.livejournal.com]

А зачем ему давать права на геолокацию? Бага, которую можно отключить, называется фичей =)

[avryabov]

Это ничего, что по умолчанию клиент телеграмма не ищется на карте? Что там надо нажать кнопочку "Make myself visible"? Где вообще-то есть предупреждение?
ИМХО это ничто иное как эпизод PR-войны против телеграмма.

[vitus_wagner]

Это ничего. Проблема исключительно в том, что либо всем, либо никому. Вот если бы там управление кому ты показываешь свои координаты делалось на per user basis, это было бы нормально.

[dmarck]

... а это делается через другую функцию "share my live location"

не вполне последовательно, да

[avryabov]

Вы простите о чём? Эта функция специально сделана чтобы искать новых знакомых которых вы ещё не знаете. Тех кто готов познакомится и принимает на себя риски знакомства с новыми людьми. Понятно что большинству эти риски не нужны, и ровно поэтому эта функция отключена по умолчанию. Это как bluetooth в режиме видимости. Нужно для создания новых связей. Потом имеет смысл отключать.

[edo-rus.livejournal.com]

придется всего лишь посетить эти три точки лично, выбрав момент, когда целевая персона никуда двигаться не собирается.

ИМХО проще написать нескольким знакомым

[vitus_wagner]

Это уже называется "Меня окружали милые и славные люди. Медленно сжимая кольцо".

[juan_gandhi]

Ха, действительно. Но надо же быть nearby, все-таки. А если не знаешь, где человек находится?

[vitus_wagner]

Ну если не знаешь, то эта техника не работает. Но скажем, если девушка подозревает, что ее парень пошел пикапить других девчонок и для этого включил у себя в смартфоне фичу "People nearby", может его легко отлоцироваь.

[beldmit]

Парень будет искать девочек в Тиндере, а не в Телеграме

[vitus_wagner]

Не факт. Телеграм тут давеча спамил что преодолел отметку в полмиллиарда аккаунтов. Так что, возможно, в нем уже выбор больше чем в Тиндере. А если парню еще и поговорить хочется...

[inkelyad]

Но скажем, если девушка подозревает, что ее парень пошел пикапить других девчонок и для этого включил у себя в смартфоне фичу "People nearby", может его легко отлоцироваь.
И при этом спалится. Потому что, как я понимаю, парню тоже покажут, что та девушка, что его ищет - рядом.

Так что фича работает совершенно нормально. Все друг друга видят и знают, что другие их видят.

[karpion]

Почему надо три точки? Вроде, в большинстве случаев достаточно двух точек.

[bugabuga]

Шаг один -- ручками включить видимость для всех-всех-всех чтобы посмотреть есть-ли рядом крутые цыпочки
Шаг два -- вредитель оказавшийся рядом узнает что вы в онлайне и сделает триангуляцию.

Паника %)

Вывод: не шарьте свою позицию всем-всем-всем включая её насильно в "увидеть людей рядом". Всё.

Ну ок, пусть добавят большое красное сообщение. ВАША ПОЗИЦИЯ БУДЕТ ВИДНА ДРУГИМ ЛЮДЯМ (потому что вы включили опцию показывать себя другим людям)

Если будут дальше верещать, добавить случайный разброс метров на 500 :)

[kotopes]

В смысле прокололся?
Какбе доступ к координатам это намеренно, также как сделать общедоступным свой телефонный номер.

[vlad_suh]

Ну вот, теперь мы можем воочию наблюдать, как в инструкциях появляются те самые предупреждения для тупых американцев, которые так любили высмеивать в прошлом веке.

ВНИМАНИЕ! Если вы включите опцию показывать своё местоположение всем, то ваше местоположение смогут видеть все!

[vitus_wagner]

На самом деле это тоже проблема. См историю про хакера и солонки .

[vlad_suh]

Именно поэтому в общепите соль раздают фасованную в порционных пакетиках.

[fhunter]

Там она вроде как не очень очевидно прописана, как минимум по-английски?

И вроде бы делала пользователя видимым по факту запуска диалога, а не по факту "сделать меня видимым". Но возможно я не внимательно читал текст, а желания ставить telegram и регистрировать два аккаунта для тестов у меня особо нет.

PS. Telegram это как бы не о "безопасности".

[vlad_suh]

Та фраза - как по-моему должно выглядеть предупреждение пользователя при активации этой опции.