[Netzwelt] Über ein Dutzend Benutzerkonten des Messengers Telegram kompromittiert

Laut einem Bericht von Reuters konnten iranische Hacker über ein Dutzend Benutzerkonten des Messengers Telegram kompromittieren. Bei Telegram handelt es sich um einen Instant-Messenger bei dem der Fokus auf Sicherheit liegt.

Laut Collin Anderson und Claudio Guarnieri, die das ganze entdeckt haben, liegt das Sicherheitsproblem an der Verwendung von SMS um neue Geräte zu aktivieren. Will man ein neues Gerät mit Telegram nutzen bekommt man einen Code per SMS zugeschickt. Dieser könne von der jeweiligen Telefongesellschaft abgefangen und an die Hacker weitergeleitet werden. Bzw. die Hacker könnten die Telefongesellschaft kompromittieren und so an die Codes gelangen. Über diese Codes ist es dann möglich dass Hacker neue Geräte einbinden und somit Zugriff auf den bisherigen Gesprächsverlauf als auch auf alle zukünftigen Nachrichten erhalten.

Gerade in Ländern in denen die Telefongesellschaften eng mit den jeweiligen Regierungen zusammenarbeiten bzw. zusammenarbeiten müssen ist dies sehr kritisch.

Die Betreiber von Telegram sehen das Problem als nicht sehr groß an. Laut dem Pressesprecher Markus Ra lässt sich ein Telegram-Konto auch über ein Passwort absichern und im Notfall über eine "Recovery-Email" zurücksetzen. Dies ist allerdings für den Nutzer optional.

Quelle: Reuters.com

 

[electric.larry]

Ich höre in letzter Zeit immer wieder, dass WhatsApp verweigerer doch Telegram verwenden könnten, weil es hinsichtlich der Privatsphäre etwas unbedenklicher wäre. Mich würd sehr interessieren, ob da etwas dran ist.

Afaik wird/wurde Telegram auch von einem Social Network finanziert und die serverseitigen Teile des Messengers sind auch eine Blackbox. Genau wie bei WA wird mein Telefonbuch irgendwo hin transferiert und mit anderen Kontakten abgeglichen.

Das einzige Argument für mich wäre noch, dass bei Telegram im Hintergrund kein Profil in einem Social Network steckt, mit dem mein Chat-Verhalten abgeglichen werden kann, bzw. das Projekt angeblich nicht von Werbeeinnahmen abhängig ist.

 

[Hector]

Telegram hat einen hervorragenden Client. Sowohl Mobil als auch auf dem Desktop. Funktionen, Bedienung. Alles passt. Daher ziehe ich den im privaten Bereich eh vor. Diese Lücke, über die hier berichtet wird, könnte bei jeder Authentifizierung, die über SMS läuft, ausgenutzt werden....

 

[electric.larry]

@Hector, das mit der Lücke sehe ich genau so wie du. Die Frage für mich ist eher, ob man dem Unternehmen/Entwickler hinter Telegram mehr vertrauen schenken kann, als zB Facebook oder anderen Chat-Anbietern.

 

[mathmos]

Diese Lücke, über die hier berichtet wird, könnte bei jeder Authentifizierung, die über SMS läuft, ausgenutzt werden....

Die Frage die sich mir stellt ist, warum setzt eine Instant-Messenger der Sicherheit zum Ziel hat, auf SMS für solche Sachen? Und warum kommt dann vom Pressesprecher von Telegram so eine Reaktion?

Ich zitiere mal aus den FAQ von Telegram.

At Telegram we think that the two most important components of Internet privacy should be instead:

Protecting your private conversations from snooping third parties, such as officials, employers, etc.
Protecting your personal data from third parties, such as marketers, advertisers, etc.

@electric.larry:

Sicher sein kann man nie. Aber ich tendiere immer mehr zu XMPP und OTR. Ist aber auf mobilen Geräten nicht wirklich einfach.

 

[werner]

Nein, nutzen kann man das mit dem SMS nicht überall, zB bei Whatsapp nicht. Telegram speichert den Chatverlauf serverseitig, Whatsapp nicht. Das gilt auch für die Kontakte (zumindest hat man als WA User darauf keinen Zugriff mehr)

 

[Chegwidden]

Ich nutze für wichtige Sachen mit wichtigen Leuten () auch Threema. Die Schweizer sind recht gut.
Manchmal, aber wirklich äußerst selten, dauert es ein/zwei Minuten, bis die Nachricht übermittelt ist.

Den Vorteil sehe ich in der echten End-zu-End-Verschlüsselung und dass man das Gegenüber verifizieren kann.

Und einmalig 2 Euro sind ja nun nicht die Welt, oder?

 

[Pleitgengeier]

Was haltet ihr von Signal?
Das soll das auch alles können und dann noch OSS sein

 

[electric.larry]

Signal sieht super aus, nur leider nutzt das keiner den ich kenn. Gleich wie Jabber/xmpp, Threema, IRC ...

 

[werner]

Threema ist sogar recht bekannt, wenn auch wenig genutzt. Inzwsichen hat ja auch Whatsapp End-to-End Encryption. Also noch ein Grund mehr für die meisten, nicht zu wechseln

 

[alter_Bekannter]

Du vergisst bei deinen Aussagen zu Whatsapp immer den wichtigen Fakt "laut eigener Aussage".

Korrekt wäre:
Laut eigener Aussage speichert Whatsapp keine Chatlogs.
Laut eigener Aussage verschlüsselt Whatsapp Ende-zu-Ende.

Denn für beides gibt es keine Beweise außer das Wort eines US Unternehmens.

 

[mathmos]

Gleich wie Jabber/xmpp

mathmos@deshalbfrei.org

 

[Metal_Warrior]

Aber ich tendiere immer mehr zu XMPP und OTR. Ist aber auf mobilen Geräten nicht wirklich einfach.

Ich auch, ist der einzige Messenger auf meinem Smartphone. Das Problem ist nur, dass es keine einheitliche Regelung bezüglich Multidevices und OTR gibt. Keine saubere Vorgabe, wie Prioritäten bei Abwesenheit etc. eingestellt werden, wie das übermittelt wird, ein ordentlicher Switch zwischen Zielsystemen mittels OTR etc. Pidgin zum Beispiel kann keine Prioritäten, Empathy dafür kein OTR. Alles derzeit ein ziemlicher Clusterfuck, sonst wäre das System nämlich echt genial.

 

[sia]

Pidgin zum Beispiel kann keine Prioritäten

Doch:

Mich stört eher, dass OTR by design nicht mehrere Sessions gleichzeitig offen halten kann. Selbst bei synchronisierten Keys bricht OTR bei instabilen Verbindungen (UMTS!) gerne mal ab und man muss das Gespräch neu starten.

Hätte XMPP endlich mal Push und OTR-Roaming…

Ich will demnächst alle meiner betreuten Firmen von XMPP auf Matrix/Vector umstellen. Und damit dann auch interne eMails abschaffen. Das wird ein Mammutprojekt

 

[virtus]

Ich höre in letzter Zeit immer wieder, dass WhatsApp verweigerer doch Telegram verwenden könnten, weil es hinsichtlich der Privatsphäre etwas unbedenklicher wäre. Mich würd sehr interessieren, ob da etwas dran ist.

Zu der konkreten Implementierung von Telegram kann ich dir nichts sagen.

Afaik wird/wurde Telegram auch von einem Social Network finanziert und die serverseitigen Teile des Messengers sind auch eine Blackbox.

Bei einer sauberen E2E Verschlüsselung wäre das unproblematisch. E2E Verschlüsselung ist dazu gedacht über potentiell unsichere Netze, also das Internet oder genauer eben über einen Server des Betreibers bzw. Angreifers zu kommunizieren, so dass dieser, trotz Zugriff auf den Datenstrom nicht den Inhalt mitlesen oder selbigen manipulieren kann.
Ich habe den obigen Abschnitt allerdings absichtlich in einem eigenen Absatz beantwortet und auch hier noch mal Anfangs eine Prämisse angeführt: E2E Verschlüsselung muss dafür sauber implementiert werden. Ob das bei Telegram der Fall ist, kann ich dir nicht sagen. Dazu müsstest du die Antworten der Techis abwarten, die sich speziell mit Telegram auseinander gesetzt haben.

Genau wie bei WA wird mein Telefonbuch irgendwo hin transferiert und mit anderen Kontakten abgeglichen.

Das kann, muss allerdings nicht zwangsweise negativ sein. Letztlich sieht ein potentieller Angreifer auf diese Weise nur, dass du mit einer bestimmten Person kommunizierst, bzw. bei einer Übertragung der Nummer erst mal nur, dass du in Besitz der Nummer bist. Das ist allerdings für die meisten Privatsphäre-Angriffe eher unproblematisch.

Das einzige Argument für mich wäre noch, dass bei Telegram im Hintergrund kein Profil in einem Social Network steckt, mit dem mein Chat-Verhalten abgeglichen werden kann, bzw. das Projekt angeblich nicht von Werbeeinnahmen abhängig ist.

Wie im vorigen Abschnitt gebe ich noch mal zu bedenken, dass ich nichts zu Telegram selbst sagen kann, ich will daher nur allgemein/ fiktiv die Problematik skizzieren:
Stell dir vor, Telegram würde[fiktive Annahme!] mit Facebook kooperieren. Bei der Validierung deiner Mobilfunknummer, würde ein Abgleich mit der Datenbank von Facebook stattfinden. So könnte eine Verknüpfung von Telegram- und Facebook-Profil stattfinden ohne dass du das bemerkst. Hat dein Kommunikationspartner ebenfalls seine Mobilfunknummer bei facebook hinterlegt, könnte eben auch erfasst werden, mit wem du wann geschrieben hast. Einzig die Inhalte der Kommunikation wären geschützt. Wie eng du mit einer Person in Kontakt stehst, wäre damit zumindest klassifizierbar und auch darüber könnten Analysen stattfinden.
Wie auch schon weiter oben gesagt, kommt es sicher auf deine persönliche Situation an, ob das für dich ein Problem darstellt.
Dazu will ich zwei Beispiele skizzieren:
Es wird "öffentlich", dass du und mit deiner Frau kommunizierst - das wäre vermutlich eher unproblematisch.
Es wird "öffentlich", dass du als Mitglied des nordkoreanischen Geheimdienstes mit dem US Geheimdienst in Verbindung stehst - das wäre, ungeachtet der Kommunikationsinhalte eher problematisch.

@mathmos Du kannst immer noch die Schlüssel manuell abgleichen. Die SMS-Validierung ist, soweit ich weiß, optional und dient nur der Vereinfachung. Vereinfachung im Bereich Krypto ist in der Regel gleich zusetzen mit Schwachstellen. Allerdings würde ich die Lücke auch nur als bedingt kritisch einstufen. Immerhin haben die wenigsten Angreifer die technischen Voraussetzungen um einen derartigen Angriff durchzuführen. In Diktaturen oder allgemein gegenüber Regierungen sieht das wieder anders aus.

@Pleitgengeier Soweit ich mich erinnere ist Signal tatsächlich sicherheitstechnisch "besser". Allerdings gibt es nicht für alle Devices Clients und das ist tatsächlich eher ein Nachteil.

@werner WA nutzt eine E2E Verschlüsselung, die vom WA-Server jederzeit terminiert werden kann. Das heißt, der Server gibt vor, ob Verschlüsselt werden soll oder nicht. Er kann die Verschlüsselung jederzeit aussetzen, so dass ein Angreifer mitlesen kann. Ob dies dem Nutzer kenntlich gemacht wird, ist unklar. Außerdem ist die Schlüsselgenerierung ein Blackbox-System. Wie die Schlüssel generiert werden und wie insbesondere Verschlüsselt wird, ist unbekannt. Whatsapp könnte[Konjunktiv!] bspw. so verschlüsseln, dass sowohl der Publickey des Empfängers, als auch ein zusätzlicher Publickey von WA selbst oder von einem Dritten (z.B. NSA) eingearbeitet wird. In dem Fall hätte WA bzw. der Dritte soetwas wie einen Generalschlüssel, mit dem er jede Nachricht entschlüsseln kann. Wie gesagt rede ich hier im Konjunktiv, jedoch ist allein die Tatsache, dass WA die nötigen Codestellen nicht offen legt ausreichend dafür, der Geschichte zu misstrauen. Als US-Unternehmen könnten sie leicht gezwungen worden sein, einen solchen Generalschlüssel einzuarbeiten und darüber Stillschweigen zu bewahren.

Mich stört eher, dass OTR by design nicht mehrere Sessions gleichzeitig offen halten kann.

Wort

 

[sia]

Telegrams geheime Chats sind vollkommen sicher, die normalen Chats sind nur transportverschlüsselt.

Das kam schon einmal in einem Audit heraus. Die EFF hat dazu auch eine Messenger Scorecard:

https://www.eff.org/secure-messaging-scorecard

"check back soon" steht da aber auch schon eine Weile.

 

[Novgorod]

ist die SMS-authentifizierung optional? d.h. kann man sich ansonsten auch ganz normal mit benurtzername/passwort an jedem gerät einloggen bzw. einen account erstellen? wenn ja, sehe ich das problem nicht ..

 

[sia]

Ich glaube, die SMS ist bei der Einrichtung zwingend und ansonsten kann man auf jeden Fall ein Passwort einrichten, welches allerdings optional ist. Noobs machen das nicht.

 

[Novgorod]

"SMS ist bei der Einrichtung zwingend" wäre schon ein ausschlusskriterium - welchen zweck hat das?! selbst skype und google kommen mit einer normalen account-registrierung aus.. also diese telefonnummer-bindung bei reinen internet-anwendungen hab ich noch nie verstanden.. was ist wenn man einen reinen datentarif hat oder ausschließlich WLAN nutzt?

 

[Pleitgengeier]

Korrekt wäre:
Laut eigener Aussage speichert Whatsapp keine Chatlogs.
Laut eigener Aussage verschlüsselt Whatsapp Ende-zu-Ende.

Denn für beides gibt es keine Beweise außer das Wort eines US Unternehmens.

Und für das gilt wie wir wissen die Verpflichtung, Spionage zu unterstützen und aktiv zu verheimlichen.
Somit sind obige Aussagen das gleiche wie "Niemand hat die Absicht, eine Mauer zu bauen"