Мой экс-коллега, Стефан Танасе, детально разбирает причины проблемы с приватностью в Android-приложении Telegram.
Суть в том, что функция перевода сообщений, за которую многие пользователи платят (в рамках Telegram Premium), фактически обходит шифрование и отправляет текст ваших сообщений напрямую в Google.
Вот основные технические и этические моменты этого косяка:
1. «Бесплатный» обход официальных каналов
Обычно разработчики используют официальный Google Cloud Translate API, который платный и требует ключей авторизации.
Telegram пошел другим путем: приложение использовало недокументированный эндпоинт (/translate_a/single?client=gtx). Это внутренний адрес, который Google использует для своих веб-инструментов. Используя его, Telegram экономил огромные суммы на оплате API, фактически «паразитируя» на бесплатном сервисе перевода.
2. Применение хакерских методов
Танасе отмечает, что Telegram использовал методы, характерные для вредоносного ПО или ботов для парсинга, чтобы скрыть эту активность:
• Фрагментация URL: Адрес запроса в коде был разбит на мелкие части. Это делается для того, чтобы автоматические сканеры безопасности не могли легко обнаружить, куда приложение отправляет данные.
• Ротация User-Agent: Приложение имитировало запросы от разных браузеров (Chrome, Firefox, Safari), выбирая их случайно. Это нужно, чтобы обмануть фильтры Google и выдать запросы от приложения за обычный серфинг пользователя в интернете, избегая блокировок.
3. Главная угроза: Утечка данных в Google
Самая большая проблема заключается в том, что сообщения в открытом виде (plaintext) покидают зашифрованную экосистему Telegram.
• Уязвимость: Как только вы нажимаете «Перевести», текст сообщения отправляется на серверы Google.
• След в истории: Google получает доступ к содержимому сообщения, которое может быть связано с вашим IP-адресом или метаданными.
• Кейс с Денисом Алимовым: Упоминание ветерана спецназа «Альфа» ФСБ, который был задержан в Боготе, подчеркивает, что такие «цифровые следы» (в данном случае через Google Translate) могут быть использованы спецслужбами для отслеживания лиц, считающих свою переписку защищенной.
4. Ирония «Премиум»-статуса
Танасе указывает на парадокс: Telegram использовал «бесплатную» и технически нелегальную лазейку для функции, за которую берет деньги с пользователей. То есть пользователи платили за сервис, который на самом деле снижал их уровень приватности, передавая данные третьей стороне через скрытые механизмы.
Несмотря на имидж самого защищенного мессенджера, в данном случае Telegram приоритизировал экономию средств и функциональность над безопасностью данных, создав серьезную утечку в обход собственного шифрования.
@gostev_future