Telegram раскрывает точный адрес пользователя, если он активирует функцию «Люди рядом». Данную уязвимость обнаружил исследователь безопасности. Он сообщил о ней разработчикам Telegram, но те ответили, что у них нет планов ее исправлять.
По умолчанию функция «Люди рядом» выключена. Когда пользователи активирует ее, то его географическое положение могут видеть контакты поблизости, у которых также активна эта функция. Выяснилось, что в списках появляются те, кто находится в пределах 11,3 км, но не более 100 человек.
Как выяснил независимый исследователь Ахмед Хассан, функция позволяет вычислить точное местоположение пользователя. Используя доступное программное обеспечение и рутированное устройство Android, он научился подделывать местоположение, которое устройство передает серверам Telegram. Это позволило исследователю попасть в группы, которые были зарегистрированы в пределах тех районов, где он якобы находился.
По словам Хассана, мошенники часто подделывают свое местоположение, чтобы внедриться в такие группы, а затем торгуют полученными оттуда данными или используют информацию иным образом.
Исследователь подчеркивает, что, фактически, пользователи сообщают свой точный адрес. Это подтверждает его эксперимент, в ходе которого адрес пользователя из Нью-Йорка удалось распознать благодаря бесплатному приложению для подмены GPS. Впоследствии он сам подтвердил автору исследования верность своих данных.
Хассан отмечает, что данная функция представляет наибольшую угрозу для пользователей Android, поскольку они сообщают о своем местоположении с достаточной степенью детализации. Недавно выпущенная iOS 14, напротив, позволяет пользователям разглашать лишь приблизительное местоположение.
По словам исследователя, исправить проблему несложно с технической точки зрения. Для этого достаточно добавления случайных битов. Когда в Tinder нашли аналогичную уязвимость, связанную с раскрытием информации, разработчики использовали этот метод, чтобы исправить ее.
Однако в Telegram данную уязвимость таковой не признали. Зато мессенджер Line, который имел аналогичную функцию, уже отключил ее и заплатил Хассану $1000 в качестве вознаграждения.
Год назад Telegram выпустил обновление, которое расширило функцию «Люди рядом» для знакомств. Мессенджер предлагает сделать свой профиль публичным, чтобы просматривать страницы пользователей поблизости, общаться и назначать им встречи. Уже тогда отмечалось, что новая функция делает мессенджер похожим на Tinder.
Источник статьи: https://habr.com/ru/news/t/536346/