Wartime Pigeons
0 likes•603 views
An analysis on the Telegram Android app (OWASP Saitama MTG #7, talk #2)
![TEXT
WHAT I DO
▸ Security research and development
▸ iOS/Android Apps
→Financial, Games, IoT related, etc. (>200)
→trueseeing: Non-decompiling Android Application
Vulnerability Scanner [2017]
▸ Windows/Mac/Web/HTML5 Apps
→POS, RAD tools etc.
▸ Network/Web penetration testing
→PCI-DSS etc.
▸ Search engine reconnaissance
(aka. Google Hacking)
▸ Whitebox testing
▸ Forensic analysis](https://image.slidesharecdn.com/wartime-220401055930/85/Wartime-Pigeons-4-320.jpg)
Wartime Pigeons
- 1. WARTIME PIGEONS 2022.3.29 OWASP SAITAMA MTG #7, TALK #2
- 2. TEXT SESSION FLAGS ▸ 録画・録音・公開: OK Image by Nico Kaiser on flickr, CC-BY 2.0
- 3. TEXT WHO I AM ▸ Takahiro Yoshimura (@alterakey) https://keybase.io/alterakey ▸ Monolith Works Inc. Co-founder, CTO Security researcher ▸ 明治大学サイバーセキュリティ研究所 客員研究員
- 4. TEXT WHAT I DO ▸ Security research and development ▸ iOS/Android Apps →Financial, Games, IoT related, etc. (>200) →trueseeing: Non-decompiling Android Application Vulnerability Scanner [2017] ▸ Windows/Mac/Web/HTML5 Apps →POS, RAD tools etc. ▸ Network/Web penetration testing →PCI-DSS etc. ▸ Search engine reconnaissance (aka. Google Hacking) ▸ Whitebox testing ▸ Forensic analysis
- 5. TEXT WHAT I DO ▸ CTF ▸ Enemy10, Sutegoma2 ▸ METI CTFCJ 2012 Qual.: Won ▸ METI CTFCJ 2012: 3rd ▸ DEF CON 21 CTF: 6th ▸ DEF CON 22 OpenCTF: 4th ▸ 発表・講演など DEF CON 25 Demo Labs (2017) DEF CON 27 AI Village (2019) CODE BLUE (2017, 2019) CYDEF (2020) etc. Image by Wiyre Media on flickr, CC-BY 2.0
- 6. TEXT BACKGROUND ▸ ロシアによるウクライナ侵攻 ▸ IT Army of Ukraine ウクライナが指揮するサイバー義勇軍 ▸ 加入要件: 特になし ▸ 情報伝達: Telegram
- 7. TEXT TELEGRAM ▸ Telegram ▸ ロシアでVKを興したDurov兄弟が書いた IMプラットフォーム →VKはプーチン政権に接収され、Pavelが圧力 を嫌って国外移住した後、残ったNikolaiを金銭 的に支援しMTProto (前身) が出来た… ▸ 英国バージン諸島とドバイにHQがある ▸ 営利を目的としない、だが非営利団体ではない
- 8. TEXT TELEGRAM ▸ Telegram ▸ L&FとしてはLINEに近い →多分対象聴衆が近いのでは ▸ 日本では詐欺集団が指揮命令系統に採用 ▸ Self-destruction / E2EE ▸ 追跡が難しいということで嫌われる ▸ プラットフォーム的には悪いものではない
- 9. TEXT TELEGRAM ▸ Telegram ▸ 暗号系の欠陥 → 一時期あったが、現在は改修 されている (Royal Holloway/ETH Zurich) ※政権による干渉については情報がない ▸ 高度な暗号化？→ E2EEは個人間だけ ▸ 高度な匿名性？ → 電話番号に紐付け Self-destructionはSnapchat/Whatsappでも 割と普通にある
- 10. TEXT OPEN QUESTIONS ▸ サーバはどこにあるのか ▸ 政権の手が届く可能性は？ ▸ 義勇軍の指揮に耐えるような安全性なのか ▸ ユーザの身元が割れる可能性は？ ▸ ユーザの周辺人物が割れる可能性は？ ▸ 裏切りかねない隠し機能などの存在は？ Image by ☼☼Jo Zimny Photos☼☼ on flickr, CC-BY-NC-ND 2.0
- 11. TEXT TELEGRAM ▸ Telegram ▸ クライアントはFLOSS (GPL-2) ▸ UI/UXは非常に優れていると感じる ▸ サーバも当初公開するとしていたのだが… 公開に向けた動きは今のところない
- 12. TEXT ANALYSIS ▸ Telegram for Android 8.6.2 (最新) ▸ ツールキット ▸ Trueseeing 2.1.2 ▸ github (FLOSSということで) Swiss Army Knife on black by Edgar Pierce on flickr, CC-BY 2.0
- 13. TEXT MANIFEST ANALYSIS ▸ API: 23∼ (target: 30) ▸ Network Security Con fi g: なし ▸ 権限要求: 非常に多いが、まだ妥当な範囲
- 15. TEXT DATACENTER GEOLOCATION ▸ NL/GB: 95.161.76.100:443 ▸ Telegram Messenger Inc (AS62041) ▸ Global Network Management Inc (AG) ; AS31500 ▸ Vodafone Group PLC (GB) ; AS1273 ▸ Telecom Italia S.p.A (IT) ; AS3269 ▸ Amsterdam Internet Exchange B.V. (NL) ; AS6777
- 16. TEXT FINDINGS ▸ AS62041の代表者はNikolai ▸ 国外移住したのは弟のPavelの方なはず ▸ Wikipediaが間違っている？ ▸ 露内にいつつ国外企業のCEOをしている？
- 17. TEXT FINDINGS ▸ API: 23∼ (target: 30) Network Security Con fi g: なし ▸ TLS interception (API == 23) ▸ 現時点でAPI 23を救済する理由とは…
- 18. TEXT FINDINGS ▸ 平文通信 ▸ Google Map Directions: 現在地と行き先が漏 れる可能性
- 20. TEXT FINDINGS ▸ 平文通信 ▸ 内蔵WebViewにおいてMIXED_MODEの明示 的有効化の示唆 → マルウェア挿入可能性
- 21. TEXT REPORTING POLICY? ▸ Issueの運用がない, PRのマージが極端に少ない →透明な印象は受けない
- 22. TEXT FINDINGS ▸ 電話番号の広範な使用 ▸ なぜ電話番号に関連付けたがるのか… ▸ 初期contactsの生成
- 23. TEXT PHONE NUMBERS AS IDS ▸ 電話番号の広範な使用 ▸ Signalなどでもこの傾向 ▸ Sessionがこれを排する実験をしているが…
- 24. TEXT TAKEAWAYS ▸ IT Armyの指揮にTelegramが使用されている ▸ TelegramクライアントはFLOSS ▸ サーバは英国またはオランダ ▸ 目立って安全というわけではない ▸ むしろ若干の不安が残る →いくつかの問題、加えて運営が不透明 →個人的には使いたくない
- 26. TEXT OPEN QUESTIONS, REVISITED ▸ サーバはどこにあるのか ▸ 政権の手が届く可能性は？ → 多分ない ▸ 義勇軍の指揮に耐えるような安全性なのか ▸ ユーザの身元が割れる可能性は？→ある ▸ ユーザの周辺人物が割れる可能性は？→ある ▸ 裏切りかねない隠し機能などの存在は？ →多分ない Image by ☼☼Jo Zimny Photos☼☼ on flickr, CC-BY-NC-ND 2.0
- 27. FIN. 2022.3.29 TAKAHIRO YOSHIMURA (@ALTERAKEY)