Tietoturvatutkijat varoittavat: Telegramin välityspalvelinlinkit voivat paljastaa IP-osoitteen ilman varoitusta. Lue, miten suojautua ja mitä Telegram lupaa tehdä.
© E. Vartanyan
Tietoturvatutkijat ovat paljastaneet uuden uhan Telegram-käyttäjien nimettömyydelle: erityisesti muotoillut linkit välityspalvelimen asetuksia varten mahdollistavat pahantahtoisille toimijoille yksilöiden tunnistamisen ilman lisävahvistuksia tai varoituksia. Nämä välityspalvelinlinkit näyttävät tavallisilta t.me-osoitteilta ja voidaan naamioida käyttäjätunnuksiksi, mutta napsautettaessa pikaviestin yrittää automaattisesti muodostaa yhteyden välityspalvelimeen, lähettäen suoran verkkopyynnön laitteelta, mikä paljastaa käyttäjän todellisen IP-osoitteen, vaikka tämä olisi halunnut pysyä piilossa ja käyttänyt välityspalvelinta.
Hyödyntämismekanismi on yksinkertainen mutta tehokas: Telegram Androidilla ja iOS:llä tarkistaa välityspalvelimen saatavuuden jo ennen kuin se lisätään asetuksiin. Tämän seurauksena välityspalvelimen omistaja, johon linkki johtaa, saa uhrien IP-osoitteen kiertäen kaikki yksityisyysasetukset. Asiantuntijat varoittavat, että tämä voi johtaa likimääräisen sijainnin määrittämiseen, kohdennettuihin hyökkäyksiin, DDoS-hyökkäyksiin ja jatkavaan käyttäjäprofilointiin. Tämä on erityisen vaarallista toimittajille, aktivisteille ja niille, jotka käyttävät tietoisesti välityspalvelimia nimettömyyden vuoksi.
Telegram ei virallisesti pidä tätä tilannetta kriittisenä haavoittuvuutena, vakuuttaen, että mikä tahansa verkkosivusto tai välityspalvelin internetissä näkee kävijän IP-osoitteen, eikä tämä ole ainutlaatuista heidän alustalleen. Siitä huolimatta yhtiö on luvannut lisätä varoituksia välityspalvelinlinkkejä napsautettaessa, jotta käyttäjät tietävät tarkalleen, mitä avaavat. Milloin tämä ominaisuus tulee Telegram-sovelluksiin, ei ole vielä määritelty.
Kyberturva-asiantuntijat neuvovat olemaan erittäin varovaisia: älä napsauta epäilyttäviä t.me-linkkejä, vaikka ne näyttäisivät käyttäjätunnuksilta, ja kiinnitä erityistä huomiota tällaisiin linkkeihin mobiililaitteissa välttääksesi todellisen IP-osoitteesi välitöntä vuotamista.