تعد مزامنة برنامج المراسلة مع جهات الاتصال من دفتر العناوين (اكتشاف جهات الاتصال) وظيفة مريحة للغاية. عندما يقوم شخص جديد بتثبيت التطبيق ، تتم إضافة قائمة كبيرة من جهات الاتصال إليه تلقائيًا ، وإذا قام شخص ما بتثبيت برنامج المراسلة أولاً ، فسيصل إشعار بهذا إلى جميع أصدقائه. لسوء الحظ ، يمكن للوكالات الحكومية والمهاجمين الآخرين استخدام هذه الميزة لتعقب الأشخاص. طرق الحماية الحالية ليست فعالة للغاية بعد.
تم تقدير حجم التسريبات من قبل خبراء من جامعة فورتسبورغ وجامعة دارمشتات للتكنولوجيا (ألمانيا) ، والتي أجرت أكبر دراسة في التاريخ.مع الزحف إلى أرقام الهواتف في ثلاث برامج مراسلة: WhatsApp و Telegram و Signal. النتائج مخيبة للآمال: WhatsApp و Signal يسربان أرقام المستخدمين على نطاق واسع.
على الرغم من أن Telegram لديها قيود صارمة للغاية على عدد طلبات API ، إلا أنها ليست آمنة تمامًا.
بروتوكولات تقاطع المجموعة المغلقة
للبحث عبر جهات الاتصال دون الكشف عن المعلومات ، يتم استخدام بروتوكولات التشفير لتقاطع المجموعات الخاصة (تقاطع المجموعة الخاصة). تحسب هذه التقنية تقاطع مجموعة الإدخال من جانب واحد ("العميل") مع مجموعة الإدخال من الجانب الثاني ("الخادم") بحيث يعرف العميل فقط مجموعة التقاطعات ، ولا يعرف الخادم إلا حجم مجموعة الإدخال الخاصة بالعميل.
ومع ذلك ، فإن هذه البروتوكولات ليست فعالة حاليًا بما يكفي لتطبيقات الهاتف المحمول التي تضم مليارات المستخدمين. بالإضافة إلى ذلك ، لا تزال PSI لا تحل تمامًا جميع مشكلات الخصوصية ، نظرًا لأنها لا تستطيع منع هجمات القوة الغاشمة.
رسم بياني اجتماعي متسرب
في مؤتمر أمان الكمبيوتر USENIX Security 2019 العام الماضي ، تم تقديم تقرير يثبت أن العديد من برامج المراسلة المحمولة (بما في ذلك WhatsApp) تسهل العثور على جهات الاتصال عن طريق تحميل كل شيء على الخادم.جهات الاتصال من دفتر عناوين المستخدم ، ثم قم بتخزينها على الخادم ، حتى إذا لم يتم العثور على تطابق. بفضل هذا ، يمكن للخدمة إخطار المستخدم بجهات الاتصال الجديدة المسجلة ، بالإضافة إلى إنشاء رسم بياني اجتماعي كامل لكل شخص. يتم استكمال هذه الأعمدة بمعلومات من مصادر أخرى. تتمثل مشكلة الخصوصية الرئيسية في إمكانية تسريب معلومات الاتصال للجمهور واستخدامها في الاحتيال أو التمييز أو الابتزاز أو الإضرار بالسمعة أو تحقيقات الشرطة. يمكن أيضًا اختراق الخادم ، مما يؤدي إلى الكشف عن معلومات سرية ، حتى لو لم يقم مطورو برنامج المراسلة أنفسهم ببيع القاعدة المتراكمة.
للحماية من هذا التهديد ، تقوم بعض تطبيقات الأجهزة المحمولة (بما في ذلك Signal) بتجزئة جهات الاتصال. لسوء الحظ ، فإن انخفاض إنتروبيا أرقام الهواتف يجعل من السهل عكس (فك تشفير) التجزئة ، لذا فإن هذه الحماية غير فعالة.
زحف
لكن الطريقة الرئيسية لجمع معلومات الاتصال هي الزحف . نظرًا لأن الخدمات عادةً لا تفرض قيودًا على تسجيل المستخدمين الجدد ، يمكنك تسجيل أي عدد من الحسابات المزيفة مع مجموعة عشوائية من جهات الاتصال في دفتر العناوين. وبالتالي ، يمكنك التحقق من وجود كل رقم هاتف في قاعدة البيانات - وجمع المعلومات المتاحة عن أصحابها.
لا تستطيع الخدمات منع مثل هذا الهجوم تمامًا ، حيث يجب أن يكون المستخدمون قادرين على طلب معلومات حول جهات الاتصال من الخادم. طريقة الدفاع الوحيدة هي تحديد عدد الطلبات (انظر الجدول أدناه في القسم الذي يصف الهجوم).
بمساعدة الزحف ، يتم جمع قاعدة المستخدمين. بالإضافة إلى رقم الهاتف ، قد تتضمن قاعدة البيانات هذه معلومات أخرى أشار إليها المستخدم عن نفسه وفتحها ليراها الجميع. تعتمد المعلومات التي سيتم تضمينها في قاعدة البيانات على إعدادات الخصوصية. نظرًا لأن الغالبية العظمى من المستخدمين لا يغيرون الإعدادات الافتراضية ، فإن هذا الجانب يخضع أيضًا لسيطرة مطوري برامج المراسلة.
أظهر العمل العلمي السابق أنه من خلال تتبع البيانات الوصفية للمستخدم في برامج المراسلة (وقت الظهور عبر الإنترنت) ، من الممكن بناء نماذج دقيقة للسلوك .
تتيح مقارنة هذه المعلومات مع الشبكات الاجتماعية الأخرى ومصادر البيانات المتاحة للجمهور للأطراف الثالثة إنشاء ملفات تعريف أكثر تفصيلاً .
في التجارة ، تُستخدم هذه المعرفة للإعلان المستهدف أو الاحتيال ، من وجهة نظر شخصية - للابتزاز أو التخطيط لجريمة ، ومن وجهة نظر الدولة - لمقاضاة المواطنين . هذه هي الطريقة التي اكتشفت بها سلطات هونغ كونغ المستخدمين الأعضاء في مجموعات الاحتجاج على Telegram. البيانات من عدة آلاف من مستخدمي القناة برقية نشرت في روسيا في 2019 (كما أظهر التحقيق، ومصدر البيانات وزارة الداخلية).
من المعروف أن برنامج Insider Telegram deanonymizer يعمل على الزحف إلى المستخدمين الروس. يقول المطورون إن تعداد الأرقام سمح بتجميع قاعدة بيانات لأكثر من 10 ملايين مستخدم. يُزعم أن الخدمة تُظهر رقم الهاتف الذي يتوافق مع حساب Telegram.
تعمل Insider Telegram كجزء من نظام Laplace Demon (فقط للكيانات القانونية والوكالات الحكومية) ، وهناك شائعات حول نظام Cryptoscan مماثل وتطورات أخرى.
هناك أدلة على أن هياكل الطاقة في بيلاروسيا بدأت أيضًا في استخدام تقنيات الزحف المماثلة كما هو الحال في روسيا ، حيث أصبحت Telegram الآن أداة الاتصال الرئيسية للمواطنين.
الهجوم على الرسل: النتائج
أظهر باحثون ألمان نوعين من الهجمات على برامج المراسلة الفورية في عملهم العلمي:
- انعكاس التجزئة: إنشاء قواميس كبيرة مع جميع قيم التجزئة الممكنة لجميع أرقام الهواتف في العالم ، والقوة الغاشمة في التجزئة ، وجداول قوس قزح بتصميم جديد.
- : 10% WhatsApp 100% Signal. .
| Signal | Telegram | ||
|---|---|---|---|
| 60 . | 120 . | 5 . + 100 | |
| UI Automator | () API | API | |
| 46,2 | 505,7 | 0,1 | |
| 10% | 100% | 0,02% | |
| 9,8% | 0,5% | 0,9% | |
| 5,0 | 2,5 | 908 | |
| () | 49,6 | 2,5 | 4,6 |
| : | |||
| — | |||
| — | |||
للزحف ، استخدم الباحثون موارد متواضعة:
- تطبيق مجاني Hushed لتسجيل العملاء بأرقام هواتف جديدة ؛
- اشتراك VPN لتغيير عناوين IP ؛
- كمبيوتر محمول واحد مزود بمحاكيات لأجهزة أندرويد متعددة.
للزحف إلى جهات اتصال WhatsApp ، تم إطلاق تطبيق رسمي في المحاكي ، بواجهة تفاعل إطار عمل UI Automator. بادئ ذي بدء ، تم إدخال 60.000 رقم هاتف في دفتر عناوين الجهاز. إذا كان أحدهم مسجلاً في WhatsApp ، فسيتم استرداد بيانات ملفه الشخصي. تم تسجيل حسابات WhatsApp الجديدة يدويًا عبر أرقام هواتف Hushed الوهمية.
تم التواصل مع Telegram من خلال مكتبة TDLib الرسمية ، والتي يتم إصدارها للعديد من اللغات والمنصات. يمكن تمرير أي تطبيق كعميل Telegram إذا قمت بدمج مكتبة TDLib وحصلت على رمز المصادقة ، وهو ما يتم بأقل جهد ممكن.
تمت كتابة نص Python لـ Signal لإرسال طلبات التسجيل والعثور على جهات الاتصال.
اكتشف الباحثون حدود عدد الطلبات في كل رسول ، بالإضافة إلى عدد من الحقائق الأخرى المثيرة للاهتمام. على سبيل المثال ، تكشف Telegram API عن بيانات وصفية سرية ، بما في ذلك حول الهواتف غير المسجلة في Telegram وعدد المستخدمين الذين لديهم هذا الرقم غير المسجل في دفتر عناوينهم (انظر وصف المتغير
importer_countفي وثائق Telegram API ).
ينقل WhatsApp و Telegram معلومات الاتصال بنص واضح (عبر القنوات المشفرة). يقوم WhatsApp بتخزين عدد المستخدمين المسجلين على الخوادم بنص واضح ، ويقوم بتجزئة أعداد المستخدمين غير المسجلين في MD5.
لا يخزن تطبيق Signal جهات الاتصال من دفاتر عناوين المستخدمين على الخادم. بدلاً من ذلك ، يرسل كل عميل بشكل دوري تجزئات لجميع جهات الاتصال الخاصة به إلى الخادم للتحقق من قاعدة بيانات المستخدمين المسجلين. لكن من السهل فك رموز هذه التجزئة.
الاستنتاجات
في ورقة علمية ، حدد الباحثون الجهود التي يبذلها المهاجمون لجمع بيانات المستخدم الحساسة على نطاق واسع. لسوء الحظ ، لا يزال هذا ممكنًا حتى مع موارد الهجوم المتواضعة نسبيًا.
الآن 50٪ من مستخدمي WhatsApp لديهم صورة من حساباتهم منشورة في المجال العام ، و 90٪ لديهم معلومات "نبذة عني" مفتوحة. ومن المثير للاهتمام ، أن 40٪ من مستخدمي Signal الآمن والخاص لديهم ملفات تعريف WhatsApp مفتوحة بالكامل.
قبل نشر هذا العمل ، تم إرسال النتائج إلى WhatsApp و Signal و Telegram. أقر Signal بالمشكلة ، وقلل من حدود الطلب ، ووعد بتنفيذ طرق أخرى لمكافحة الزحف. دفع Facebook للباحثين مكافأة مقابل نقاط الضعف التي وجدوها ونشروا حماية محسنة لمزامنة جهات اتصال WhatsApp. أخيرًا ، طور Telegram إجراءات مضادة إضافية ضد تجريف البيانات ضمن الحدود الموضوعة. الآن يحاول النظام تحديد الزحف إلى قاعدة الأرقام بمعايير محددة - ويمنعها بعد 20-100 مطابقة بدلاً من 5000.
اليوم Telegram هو أفضل برنامج مراسلة في مكافحة الزحف للمستخدمين. بعد احتجاجات هونغ كونغ لعام 2019 مع تسريب البيانات الشخصية لمستخدمي مجموعة الاحتجاجيحتوي Telegram على حدود ومهلة ضيقة تجعل الزحف مهمة فنية صعبة للغاية.
وفقًا للمؤلفين ، فإن إجراء الحماية الأكثر فعالية حاليًا للمستخدمين هو مراجعة إعدادات الخصوصية الخاصة بهم. من غير المرغوب فيه للغاية ترك القيم الافتراضية. لتحقيق أقصى درجات الأمان في ظروف المراقبة الحكومية ، من الأفضل تسجيل حساب في برنامج المراسلة برقم وهمي.
إعلان
تأمين VDS للطلب الذي تحتاجه فقط بريدك الإلكتروني ، ولا تحتاج إلى بيانات شخصية أخرى! نستخدم أحدث الأجهزة ذات العلامات التجارية ، وكل خادم محمي بشكل موثوق به من هجمات DDoS.
