Vier kryptographische Schwachstellen in Telegram

Ausschliesslich mit Open-Source-Code und ohne «Angriff» auf die laufenden Systeme von Telegram analysierte ein kleines Team internationaler Forschender die Verschlüsselungsdienste von Telegram im Detail. Die Forschenden der ETH Zürich und des Royal Holloway College (Universität von London) deckten dabei mehrere kryptografische Schwachstellen im Protokoll der beliebten Messaging-Plattform auf.

Zwar ist die unmittelbare Gefahr für den Grossteil ihrer 570 Millionen Nutzer und Nutzerinnen gering, doch die Schwachstellen machen deutlich, dass das System von Telegram den Sicherheitsgarantien anderer, oft genutzter Verschlüsselungsprotokolle wie beispielsweise der Transport Layer Security (TLS) unterlegen ist. Professor Kenny Paterson von der ETH Zürich weist darauf hin, dass die Analyse vier entscheidende Probleme zutage förderte, die «… mit einer Standardverschlüsselungsmethode besser, sicherer und in vertrauenswürdigerer Weise» gelöst werden könnten.

Erste Schwachstelle: Ein Verbrechen begehen oder Pizza essen?

Die Forschenden stellten fest, dass die massgeblichsten Schwachstellen damit zusammenhängen, dass Angreifer im Netzwerk die Abfolge der Nachrichten manipulieren können, die vom Client an einen der von Telegram weltweit betriebenen Cloud-Server gesendet werden. So könnten in einem Chat-Verlauf zum Beispiel Nachrichten vertauscht werden. Wenn also jemand die Reihenfolge der Nachrichten „Ich sage ’ja’ zu“, „Pizza!“, „Ich sage ’nein, zu“, „Verbrechen“ verändern kann, könnte aus dem «Ja» zum Pizzaessen plötzlich ein «Ja» zu einem Verbrechen werden.

Zweite Schwachstelle: Jedes bisschen Information ist zu viel

Über diese Schwachstelle, die eher theoretischer Natur ist, kann ein Netzwerkangreifer herausfinden, welche von zwei Nachrichten von einem Client oder von einem Server verschlüsselt ist. Verschlüsselungsprotokolle sind jedoch so ausgelegt, dass sie auch solche Angriffe ausschliessen.

Dritte Schwachstelle: Die Uhr stellen

Die Forschenden untersuchten die Implementierung von Telegram-Clients und fanden heraus, dass drei davon – nämlich Android, iOS und Desktop – jeweils Code enthielten, der es Angreifern im Prinzip erlaubt, verschlüsselte Nachrichten teilweise wieder zu entschlüsseln. Auch wenn dies beunruhigend klingt, müsste ein Angreifer dafür Millionen sorgfältig erstellter Nachrichten an sein Ziel senden und winzigste Unterschiede in der Zustelldauer der Antworten ermitteln. Wäre ein so gearteter Angriff jedoch erfolgreich, hätte dies verheerende Folgen für die Vertraulichkeit der Telegram-Nachrichten und natürlich für deren Nutzerinnen und Nutzer. Zum Glück ist eine solche Attacke in der Praxis beinahe unmöglich. Und trotzdem muss man diese Schwachstelle ernst nehmen. Ein solcher Angriff wird vor allem durch Zufall vereitelt, da Telegram einige Metadaten geheim hält und zufällig auswählt.

Vierte Schwachstelle: Einer liest mit

Die Forschenden zeigen auch, dass beim anfänglichen Schlüsselaustausch zwischen Client und Server eine Attacke durchgeführt werden kann, indem sich der Angreifer zwischenschaltet. Dabei gibt sich der Angreifer dem Client gegenüber als Server aus, wodurch er sowohl die Vertraulichkeit als auch die Integrität der Kommunikation verletzen kann. Zum Glück ist auch diese Angriffsmethode relativ schwer durchführbar, da der Angreifer dazu in Minuten Milliarden von Nachrichten an einen Telegram-Server schicken müsste. Diese Attacke führt jedoch vor Augen, dass die Sicherheit der Telegram-Server und ihrer Implementierung keine Selbstverständlichkeit ist, auch wenn für Nutzer und Nutzerinnen Verlass auf diese Server sein muss, da standardmässig keine End-to-End Verschlüsselung bereitgestellt wird.

Sicherheitsgrundlagen

Wie es in diesem Forschungsbereich gang und gäbe ist, informierte das Team die Entwicklerinnen und Entwickler von Telegram 90 Tage vor der Veröffentlichung der Ergebnisse. Damit erhielt das Unternehmen ausreichend Zeit zur Behebung der festgestellten Mängel. Mittlerweile hat Telegram auf die Ergebnisse reagiert und mit Software-Updates die von den Forschenden gefundenen Sicherheitsprobleme behoben.

Verschlüsselungsprotokolle beruhen auf Elementen wie Hash-Funktionen, Blockchiffre und Public-Key-Verschlüsselungsverfahren. In der Branche ist es Standard, diese sicheren Bausteine so zu kombinieren, dass die Sicherheit des daraus konstruierten Protokolls formal garantiert werden kann. Telegram verfügt über keine solche formale Absicherung. Doch das Forschungsteam hat hier gute Nachrichten für Telegram: Es zeigte, wie solche Absicherungen schon durch minimale Änderungen am Protokoll von Telegram erreicht werden können. Ein Protokoll ist jedoch nur so sicher wie seine Bausteine, und so wie das das Protokoll von Telegram funktioniert, müssen seine Bausteine ausserordentlich hohe Sicherheitsanforderungen erfüllen. Das Forschungsteam zieht hier den Vergleich zur Fahrtüchtigkeit eines Fahrzeugs aber mit ungeprüften Bremsen.

Wieso nehmen akademische Forschende eigentlich den Open-Source-Code aus der Privatwirtschaft unter die Lupe? Kenny Paterson sagt dazu: «Das grundlegende Motiv besteht darin, dass wir stärkere, sicherere Systeme bauen möchten, die ihre Nutzer und Nutzerinnen schützen. Da sich die Technologiebranche manchmal schneller entwickelt als das akademische Pendant, bieten die Technologieunternehmen den Studierenden eine Möglichkeit, an realen Herausforderungen zu arbeiten, sie vielleicht zu lösen und damit einen wichtigen gesellschaftlichen Beitrag zu leisten.»

Professor Martin Albrecht (Royal Holloway) fügt hinzu: «Die Anregung für unsere Arbeit stammt in diesem Fall von anderweitigen Forschungen, die die Technologienutzung unter den Teilnehmenden grosser Protestaktionen, etwa 2019/2020 in Hongkong, untersuchten. Wir fanden heraus, dass die Protestierenden ihre Aktivitäten vorwiegend auf Telegram koordinierten, aber dass Telegram bisher nicht von  Kryptografen auf Herz und Nieren geprüft wurde...»