Aggiornamento 2017-11-01: l'analisi della sicurezza del MIT di Telegram lo trova insicuro.
Citazione dal seguente articolo ... "il nostro sondaggio mostra che Telegram ha avuto problemi gravi e semplici nel protocollo (ad esempio, cambio di chiave Buggy Diffie-Hellman modificato) che qualsiasi esperto esperto di sicurezza poteva penetrare."
link
Terminano anche il loro articolo con una dichiarazione ben formulata sul Telegram:
"Infine, la nostra conclusione è che Telegram, proprio come qualsiasi altra applicazione, presenta vulnerabilità. Gli utenti devono essere consapevoli di questo fatto, ma sfortunatamente le richieste delle aziende fanno credere agli utenti non esperti di tecnologia che i loro messaggi non sono leggibili da terzi. "
Aggiornamento precedente con input interessanti: Snowden dubita della sicurezza di Telegram
link
Snowden ha un grande punto qui. Perché il server dovrebbe mai avere accesso al messaggio in testo non crittografato o memorizzato.
Un sacco di domande qui:
Sicuro in transito? Nulla è perfetto ma l'uso di un'implementazione non standard aumenta il rischio di errori umani e probabilmente aumenta la superficie di attacco. Nota: l'uso del protocollo Diffie-Hellman non significa affatto che l'implementazione dei dati in transito sia sicura. Potrei usare DH per presunta generazione di chiavi, quindi ignorare prontamente i risultati e utilizzare Rot-13 o qualche altro schema di crittografia rotto per i dati in transito.
Devi valutare il sistema nel suo complesso per determinare la forza dei controlli combinati. Basta guardare una parte e dire che è sicuro che l'intera faccenda è sicura è una dichiarazione errata nella migliore delle ipotesi.
Proteggi da chiunque abbia accesso al sistema operativo del telefono o dei dispositivi mobili? No, i tipi di controlli di sicurezza necessari non sono presenti sui moderni sistemi operativi mobili.
Telegram usa DH o homebrew? Non è / o la risposta è entrambi .
Sembra che stiano ancora utilizzando e difendendo la loro implementazione nazionale. Nota: non sto dicendo che questa sia una brutta cosa, i progressi sono fatti da cambiamenti, ma è da notare che non c'è alcuna convalida di terze parti del loro processo sul loro sito web. Per me questa è una situazione matura perché le affermazioni su un sito web siano "tecnicamente veritiere" ma non dipingono l'intero quadro. Sostengono che i messaggi sono al sicuro da "attacchi di hacker" e in un certo senso potrebbe essere vero, ma è l'unico scenario che ti preoccupa? Rispondono alla domanda relativa alle minacce che ti preoccupano? Se no, perché no? Questo è sicuro per le persone che vivono in paesi con governi repressivi che controllano pesantemente le comunicazioni? Questa è una domanda completamente diversa e una che non affrontano.
link
Personalmente sarei curioso di sapere come gestire le chiavi e la loro implementazione più di ogni altra cosa. Altre domande che indago sono:
Potrebbero condividere le chiavi con fornitori di servizi e governi senza la conoscenza degli utenti finali? (So che dicono di no, ma potrebbero?) Come si conformano ai mandati? Hanno mai pubblicamente rispettato un mandato per tali informazioni? I sistemi di monitoraggio dei dipendenti offrono il supporto per decrittografare le comunicazioni di Telegram ancora?
In definitiva la sicurezza è un po 'relativa e penso che per la maggior parte delle persone la loro soluzione probabilmente funzioni bene.
