Баг в Telegram VoIP, который позволяет узнать адрес собеседника

в 15:27, , рубрики: telegram, telegram messenger, voip, баги, деанонимизация, информационная безопасность

Итак, всем Привет! После появления VoIP В Telegram (пока в мобильных клиентах), чисто случайно заметил одну неприятную вещь, это открытый дебаг…

Введение

В общем, дело было вечером, делал себе приложение для управления RPI из серии «лень встать и выключить свет» )

Следовательно телефон был подключен по ADB чтобы можно было увидеть 2 несчастные кнопки для различных тестов и в телеграмме позвонил товарищ, при этом телефон был еще в ADB, решил ради интереса посмотреть логи телеграмма.

Далее все интереснее, там была информация о звонке и комментарий примерно такого рода «Нажмите 10 на имя абонента, чтобы увидеть инфу о звонке».

Недолго думая, нажал и увидел интересную статистику:

image

Где [UDP_RELAY]/[UDP_RELAY_IN_USE] — сервера телеграмма, через которые проходит трафик и самое интересное [UDP_P2P_INET] — IP адрес собеседника(если статический — то уже можно и развлекаться)

Бежим в саппорт

Сразу же побежал писать в саппорт и в твиттере, ссылаясь на ленту телеграмма, но ответ пришел весьма удивляющий…

image

Далее немного подумал и решил на следующий день дальше находить плюшки… На клиенте для iOS окно дебага весьма интересно выглядит, так как можно менять настройки разговора.

image

Это все конечно хорошо, но если посмотреть скриншот выше, то можно заметить, что редактирования настроек на яблочном клиенте есть и можно выключить P2P и адрес собеседнику виден не будет.

Ну и последнее, Clear Voice и битрейт до 35 kbit — такое себе )

Автор: barbariska1080

Источник


* - обязательные к заполнению поля


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js