一名研究人員發(fā)現(xiàn)，MacOS上的Telegram的一個高級隱私功能存在漏洞，該功能可以為發(fā)件人和收件人的設(shè)備上的信息設(shè)置了一個 “自毀 ”計時器，但是該漏洞使得這些信息即使已經(jīng)被刪除了，但也能讓人檢索到這些信息。

　　Trustwave SpiderLabs首席架構(gòu)師Reegun Richard Jayapaul在Telegram MacOS的自毀功能中發(fā)現(xiàn)了這一漏洞，該功能是該消息應(yīng)用程序聊天功能的一部分，可以使得消息端到端加密。

　　他在周四發(fā)表的一篇關(guān)于他的發(fā)現(xiàn)的博文中說，這種加密即使是Telegram管理員也沒有解密秘鑰，該功能是為那些關(guān)心他們聊天記錄的安全和隱私的人準(zhǔn)備的。

　　事實(shí)上，Telegram總體上被廣泛認(rèn)為是最安全的消息應(yīng)用程序之一。許多用戶選擇從Facebook的WhatsApp轉(zhuǎn)到Telegram，就是因?yàn)樗麄儞?dān)心自己的隱私問題。

　　Jayapaul與Telegram合作修補(bǔ)了這一漏洞，該漏洞可使用戶的隱私在兩種情況下受到侵犯。他說，在這個過程中，他了解到該公司漏洞披露計劃的一個注意事項(xiàng)，如果研究人員同意接受漏洞賞金，就不能披露漏洞。但是Jayapaul說他不同意這樣做。

　　他寫道，在第一種情況下，即使這些信息已經(jīng)在發(fā)送者和接收者的設(shè)備上定時自毀，共享位置、視頻和音頻信息也仍然可能會被泄露。在第二種情況下，這些同樣的信息可以在收件人沒有打開或刪除信息的情況下泄露。

　　然而，雖然Telegram修復(fù)了產(chǎn)生第一種情況的問題，但該公司拒絕修復(fù)第二種情況。正因?yàn)槿绱?，Trustwave的研究人員拒絕了Telegram的漏洞賞金，Jayapaul寫道：“因?yàn)樗鼤刮覀儫o法向社區(qū)披露這項(xiàng)研究?！?/p>

　　他說：“我們認(rèn)為要求對漏洞永遠(yuǎn)保持沉默，這樣對于改善他們的安全問題沒有任何幫助。我們應(yīng)該是向賞金支付者報告漏洞還是向更廣泛的社區(qū)保持沉默呢？”在這種情況下，這一點(diǎn)尤其嚴(yán)重，因?yàn)樗鶊蟾娴膯栴}還沒有得到完全解決。

　　它是如何被利用的

　　Jayapaul在macOS Telegram 7.5版本中發(fā)現(xiàn)了這個漏洞，通過該應(yīng)用發(fā)送的任何共享位置、音頻、視頻或文件都會被存儲在Telegram的緩存中，路徑如下：/Users/Admin/Library/Group Containers/XXXXXXX.ru.keepcoder.Telegram/appstore/account/1271742300XXXX/postbox/media?！?/p>

　　Telegram將Secret-Chat存儲在這個目錄中，文件前綴為 ”secret-file-xxxxxx“。他在帖子中解釋說：”默認(rèn)情況下，任何發(fā)送到Telegram的媒體文件，除了附件，都會被下載到上述緩存文件夾中，并且共享位置是以圖片形式存儲的?！?/p>

　　在他的披露中，Jayapaul詳細(xì)概述了該漏洞是如何在兩種情況下被利用的。一種是侵犯信息或位置的發(fā)送者和接收者的隱私，另一種是只有發(fā)送者受到影響。

　　在第一種情況下，有人發(fā)送語音記錄、視頻信息或圖像，或分享他或她的位置，然后啟用 ”自毀 “功能。一旦收件人閱讀了信息，根據(jù)該功能的工作原理，它確實(shí)會被刪除。Jayapaul說：”然而，這些文件仍然保存在本地的緩存文件夾內(nèi)，可以被恢復(fù)出來?！?/p>

　　第二種情況取決于信息接收者的緩存文件夾中設(shè)置為自毀的文件，或者在Telegram應(yīng)用程序中不閱讀信息就刪除這兩種情況。根據(jù)該帖子所說，無論哪種情況，發(fā)件人都不會知道信息是否被閱讀，而收件人則會將永久保留信息的副本。

　　Telegram的回應(yīng)和漏洞的披露

　　當(dāng)Jayapaul聯(lián)系Telegram時，該公司則迅速做出了回應(yīng)，修復(fù)了第一種情況下的漏洞，該漏洞是 ”即使程序在打開信息后該信息已經(jīng)自我刪除，但是任何聊天記錄/媒體都可以從緩存中恢復(fù)。“ 他說，雖然最初的修復(fù)情況并沒有對共享位置進(jìn)行修復(fù)，但該公司最終也發(fā)布了這方面的補(bǔ)丁。

　　然而，該公司拒絕為第二種情況下的媒體文件的緩存問題打補(bǔ)丁，理由是 ”有些方法可以繞過應(yīng)用程序中的自毀計時器，這已經(jīng)超出了應(yīng)用程序可以控制的范圍。“ Telegram承認(rèn)，它在其網(wǎng)站的常見問題頁面上警告用戶有這種情況。

　　Jayapaul說，他認(rèn)為修復(fù)方法會很簡單，只需要應(yīng)用自毀聊天記錄并且對附件使用相同的緩存方法即可。

　　Jayapaul解釋說：”如果你將媒體文件附在信息中，在點(diǎn)擊信息之前，附件不能在緩存中被訪問，只有在應(yīng)用中打開該消息后，附件才會被下載，然后在定時器中被刪除?！?/p>

　　Telegram向該研究人員提供了一個漏洞賞金項(xiàng)目，他很高興的收到了賞金，但他最終也拒絕了，因?yàn)樗罱K選擇公布他的發(fā)現(xiàn)。

　　Jayapaul說：”公開披露是漏洞發(fā)現(xiàn)和修復(fù)過程的一個重要部分，它在各個方面對公眾來說都是至關(guān)重要的。由于這些擔(dān)憂和我對信息安全的承諾，我最終拒絕了該公司的漏洞賞金“。