Encryptie van Telegram blijkt niet 100% waterdicht
De app Telegram moet een veilig alternatief bieden voor populaire chatapps als WhatsApp. Geen enkele software is echter honderd procent waterdicht, ook Telegram niet. Twee beveiligingsonderzoekers hebben een kwetsbaarheid in Telegram aangetroffen waarmee versleutelde gesprekken kunnen worden gekraakt.
De kwetsbaarheid is ontdekt door Alex Rad en Juliano Rizzo. Het beveiligingsgat heeft vooral te maken met de wijze waarop gebruikers omgaan met de beveiliging van Telegram. Gebruikers van de beveiligde chatapp kunnen gebruik maken van end-to-end-encryptie. Wie dit wil zal visuele vingerafdrukken moeten vergelijken, die kan worden afgeleid uit de gedeelde geheime sleutel.
Visuele vingerafdruk uitwisselen
Gebruikers zijn vaak echter niet bij elkaar in de buurt aanwezig en kunnen dus niet zo maar naar elkaar toelopen om de visuele vingerafdruk te vergelijken. Veel gebruikers kiezen er daarom voor een screenshot te maken van de vingerafdruk en deze door te sturen naar hun gesprekspartner. Hier gaat het dan ook fout. Deze screenshot kan namelijk via een man-in-the-middle-aanval worden onderschept, waardoor de visuele vingerafdruk in handen valt van een aanvaller.
Door de mogelijkheid de visuele vingerafdruk af te leiden van de gedeelde geheime sleutel kunnen aanvallers daarnaast zelf een nepversie van de visuele vingerafdruk maken. Hier is echter wel een enorme hoeveelheid rekenkracht voor nodig. In de praktijk kan dan ook alleen een aanvaller die de beschikking heeft over een supercomputer of botnet een dergelijke visuele vingerafdruk namaken.
‘Aanvallen zijn zeer kostbaar’
Telegram stelt dan ook misbruik van de kwetsbaarheid in de praktijk niet haalbaar is. Gebruikers zouden maar liefst een biljoen dollar en 50 miljard kWh aan elektriciteit moeten inzetten om de beveiliging van een gesprek te kraken en deze af te kunnen luisteren. Voor geen enkel gesprek zou deze investering de moeite waard zijn. Telegram stelt dan ook dat gebruikers geen gevaar lopen.
Meer over
Lees ook
TYPO3 CMS bevat ernstige beveiligingslek
TYPO3 waarschuwt voor een ernstige kwetsbaarheid in het content management systeem TYPO3 CMS 4.5.x. Aanvallers kunnen de authentificatie van het CMS omzeilen en inloggen met uitsluitend een gebruikersnaam. Versies 4.3.0 tot 4.3.14, 4.4.0 tot 4.4.15, 4.5.0 tot 4.5.39 en 4.6.0 tot 4.6.18 zijn door de kwetsbaarheid getroffen. Aanvallers blijken als f1
Open source-tool UnZip bevat kritieke kwetsbaarheid
De open source-tool UnZip om gecomprimeerde bestanden mee uit te pakken bevat een kritieke kwetsbaarheid. Hackers blijken een buffer overflow te kunnen veroorzaken, waardoor zij op afstand willekeurige code op een systeem kunnen uitvoeren. De kwetsbaarheid is ontdekt door het Google Security Team en deze maand gemeld door Michael Spagnualo, lid va1
PayPal-accounts blijken eenvoudig te kapen door kwetsbaarheid
PayPal blijkt een ernstige kwetsbaarheid te hebben bevat waarmee aanvallers accounts van nietsvermoedende gebruikers eenvoudig konden overnemen. Het probleem zat in de tokens, die door PayPal worden gebruikt om activiteiten van gebruikers te autoriseren. Het blijkt echter mogelijk deze tokens te kapen en hergebruiken. Dit stelt Yasser Ali, de beve1