Wartime Pigeons
0 likes603 views
An analysis on the Telegram Android app (OWASP Saitama MTG #7, talk #2)
![TEXT
WHAT I DO
? Security research and development
? iOS/Android Apps
?
→Financial, Games, IoT related, etc. (>200)
?
→trueseeing: Non-decompiling Android Application
Vulnerability Scanner [2017]
? Windows/Mac/Web/HTML5 Apps
?
→POS, RAD tools etc.
? Network/Web penetration testing
?
→PCI-DSS etc.
? Search engine reconnaissance
?
(aka. Google Hacking)
? Whitebox testing
? Forensic analysis](https://image.slidesharecdn.com/wartime-220401055930/85/Wartime-Pigeons-4-320.jpg)
Wartime Pigeons
- 1. WARTIME PIGEONS 2022.3.29 OWASP SAITAMA MTG #7, TALK #2
- 2. TEXT SESSION FLAGS ? 録画?録音?公開: OK Image by Nico Kaiser on flickr, CC-BY 2.0
- 3. TEXT WHO I AM ? Takahiro Yoshimura (@alterakey) ? https://keybase.io/alterakey ? Monolith Works Inc. ? Co-founder, CTO ? Security researcher ? 明治大学サイバーセキュリティ研究所 ? 客員研究員
- 4. TEXT WHAT I DO ? Security research and development ? iOS/Android Apps ? →Financial, Games, IoT related, etc. (>200) ? →trueseeing: Non-decompiling Android Application Vulnerability Scanner [2017] ? Windows/Mac/Web/HTML5 Apps ? →POS, RAD tools etc. ? Network/Web penetration testing ? →PCI-DSS etc. ? Search engine reconnaissance ? (aka. Google Hacking) ? Whitebox testing ? Forensic analysis
- 5. TEXT WHAT I DO ? CTF ? Enemy10, Sutegoma2 ? METI CTFCJ 2012 Qual.: Won ? METI CTFCJ 2012: 3rd ? DEF CON 21 CTF: 6th ? DEF CON 22 OpenCTF: 4th ? 発表?講演など ? DEF CON 25 Demo Labs (2017) ? DEF CON 27 AI Village (2019) ? CODE BLUE (2017, 2019) ? CYDEF (2020) etc. Image by Wiyre Media on flickr, CC-BY 2.0
- 6. TEXT BACKGROUND ? ロシアによるウクライナ侵攻 ? IT Army of Ukraine ? ウクライナが指揮するサイバー義勇軍 ? 加入要件: 特になし ? 情報伝達: Telegram
- 7. TEXT TELEGRAM ? Telegram ? ロシアでVKを興したDurov兄弟が書いた ? IMプラットフォーム ? →VKはプーチン政権に接収され、Pavelが圧力 を嫌って国外移住した後、残ったNikolaiを金銭 的に支援しMTProto (前身) が出来た… ? 英国バージン諸島とドバイにHQがある ? 営利を目的としない、だが非営利団体ではない
- 8. TEXT TELEGRAM ? Telegram ? L&FとしてはLINEに近い ? →多分対象聴衆が近いのでは ? 日本では詐欺集団が指揮命令系統に採用 ? Self-destruction / E2EE ? 追跡が難しいということで嫌われる ? プラットフォーム的には悪いものではない
- 9. TEXT TELEGRAM ? Telegram ? 暗号系の欠陥 → 一時期あったが、現在は改修 されている (Royal Holloway/ETH Zurich) ? ※政権による干渉については情報がない ? 高度な暗号化？→ E2EEは個人間だけ ? 高度な匿名性？ → 電話番号に紐付け ? Self-destructionはSnapchat/Whatsappでも 割と普通にある
- 10. TEXT OPEN QUESTIONS ? サーバはどこにあるのか ? 政権の手が届く可能性は？ ? 義勇軍の指揮に耐えるような安全性なのか ? ユーザの身元が割れる可能性は？ ? ユーザの周辺人物が割れる可能性は？ ? 裏切りかねない隠し機能などの存在は？ Image by ??Jo Zimny Photos?? on flickr, CC-BY-NC-ND 2.0
- 11. TEXT TELEGRAM ? Telegram ? クライアントはFLOSS (GPL-2) ? UI/UXは非常に優れていると感じる ? サーバも当初公開するとしていたのだが… ? 公開に向けた動きは今のところない
- 12. TEXT ANALYSIS ? Telegram for Android 8.6.2 (最新) ? ツールキット ? Trueseeing 2.1.2 ? github (FLOSSということで) Swiss Army Knife on black by Edgar Pierce on flickr, CC-BY 2.0
- 13. TEXT MANIFEST ANALYSIS ? API: 23～ (target: 30) ? Network Security Con fi g: なし ? 権限要求: 非常に多いが、まだ妥当な範囲
- 15. TEXT DATACENTER GEOLOCATION ? NL/GB: ? 95.161.76.100:443 ? Telegram Messenger Inc (AS62041) ? Global Network Management Inc (AG) ; AS31500 ? Vodafone Group PLC (GB) ; AS1273 ? Telecom Italia S.p.A (IT) ; AS3269 ? Amsterdam Internet Exchange B.V. (NL) ; AS6777
- 16. TEXT FINDINGS ? AS62041の代表者はNikolai ? 国外移住したのは弟のPavelの方なはず ? Wikipediaが間違っている？ ? 露内にいつつ国外企業のCEOをしている？
- 17. TEXT FINDINGS ? API: 23～ (target: 30) ? Network Security Con fi g: なし ? TLS interception (API == 23) ? 現時点でAPI 23を救済する理由とは…
- 18. TEXT FINDINGS ? 平文通信 ? Google Map Directions: 現在地と行き先が漏 れる可能性
- 20. TEXT FINDINGS ? 平文通信 ? 内蔵WebViewにおいてMIXED_MODEの明示 的有効化の示唆 → マルウェア挿入可能性
- 21. TEXT REPORTING POLICY? ? Issueの運用がない, PRのマージが極端に少ない ? →透明な印象は受けない
- 22. TEXT FINDINGS ? 電話番号の広範な使用 ? なぜ電話番号に関連付けたがるのか… ? 初期肠辞苍迟补肠迟蝉の生成
- 23. TEXT PHONE NUMBERS AS IDS ? 電話番号の広範な使用 ? Signalなどでもこの傾向 ? Sessionがこれを排する実験をしているが…
- 24. TEXT TAKEAWAYS ? IT Armyの指揮にTelegramが使用されている ? TelegramクライアントはFLOSS ? サーバは英国またはオランダ ? 目立って安全というわけではない ? むしろ若干の不安が残る ? →いくつかの問題、加えて運営が不透明 ? →個人的には使いたくない
- 26. TEXT OPEN QUESTIONS, REVISITED ? サーバはどこにあるのか ? 政権の手が届く可能性は？ → 多分ない ? 義勇軍の指揮に耐えるような安全性なのか ? ユーザの身元が割れる可能性は？→ある ? ユーザの周辺人物が割れる可能性は？→ある ? 裏切りかねない隠し機能などの存在は？ ? →多分ない Image by ??Jo Zimny Photos?? on flickr, CC-BY-NC-ND 2.0
- 27. FIN. 2022.3.29 TAKAHIRO YOSHIMURA (@ALTERAKEY)