根據加密軟體和服務開發商 Virgil Security, Inc 8 月 1 日的報告指出, Telegram 於 7 月 26 日所推出的個人身份識別的服務 Telegram Passport,可輕易遭受暴力破解法 (brute force attack) 的攻擊。

Telegram Passport 旨在替用戶加密個人身份信息,並讓他們與第三方共享身份證數據,例如:ICO、加密錢包及任何需要遵守 KYC 規定的對象。根據 Telegram 官方形容,

用戶僅需上傳一次證明文件的檔案,即可與需要真實身份認證的服務供應商共享數據。

用戶的身份證明文件和個人數據將使用端對端加密並存儲在 Telegram 的雲端中,未來會將 Telegram Passport 的數據全數轉移到分散式的雲端中存儲,如此一來便無法將個人數據解密。

然而在 Virgil Security 的研究過程中,該服務的密碼保護措施引發了他們的關注。根據 Virgil Security 的說法,Telegram 使用 SHA-512 哈希算法,其原意本就不是用於保存密碼,而是用來校驗數據的完整性。

按照過去紀錄,這種算法會讓密碼更容易遭受暴力破解法的攻擊,即使密碼加鹽 (salted) 也不安全。在密碼學中,鹽值 (salt) 是隨機數據,在雜湊之前在密碼中插入特定的字串,這擴展了原始密碼的長度,提供了一些額外的保護。

Virgil 進一步列出他們所擔憂的安全問題:

  • 用戶使用「只有自己知道的密碼」,對數據進行加密。
  • 用戶將此數據上載到 Telegram 的雲端。
  • 當用戶需要向第三方服務進行身份驗證時,需先解密該數據並為該服務的憑據重新加密。

該報告指出,以上 3 大因素都會暴露用戶的密碼哈希表 (password hash table),讓高端駭客有機可乘。該公司進一步解釋,

您上傳到 Telegram 雲端的數據安全性絕大多數依賴於您的密碼強度,因為利用哈希算法很容易發生暴力攻擊。再加上 Telegram 沒有使用數位簽章,這意味著如果用戶的數據被篡改,所有人將不得而知,甚至是用戶自身。

今年 3 月,Telegram 創始人 Pavel 和 Nikolai Durov 遭報導,他們已在第二輪的 ICO 中籌集了 8.5 億美元,用於開發 Telegram 通訊應用程式和區塊鏈平台 Telegraph Open Network (TON)。


熱門市場動態與新聞傳送門:

區塊客致力於發掘和整理各種與區塊鏈技術有關的內容,只要與區塊鏈或區塊客網站有關的合作和/或建議,我們都非常歡迎。請您發電郵至 [email protected] 與我們聯繫。

Avatar

區塊妹 Mel