Info sec блог

Дуров прокомментировал https://bit.ly/2Rco6rf баг, который раскрывал IP адрес пользователя telegram с помощью логов звонка.

«Дуров отметил, что десктопная версия приложения, которая считалась проблемной, использовалась для 0,01 % всех звонков через Telegram. Именно поэтому там p2p было активировано для звонков по умолчанию.»

Я хотел бы сказать, что это не совсем правда. Некоторое время назад я наткнулся на этот баг и заметил, что айпи адрес раскрывается на всех устройствах.

Для того, чтобы узнать адрес с мобильного приложения, нужно было позвонить, нажать на кнопку «оценить звонок», поставить одну звезду и отправить себе логи с помощью бота, в которых будет чужой айпи адрес.

Баг, на мой взгляд, был не очень опасным, потому как похожий баг они отказались исправлять, собстно, на этот раз я не хотел тратить время. Теперь же, метод со звонками был исправлен, а второй метод не настолько интересный, чтобы раскрывать его полную суть.