Un difetto nascosto nel servizio di messaggistica sicura di Telegram potrebbe esporre le password degli utenti, ha scoperto un ricercatore. Il servizio può anche esporre i file multimediali da messaggi che si autodistruggono. Dhiraj Mishra, un consulente per la sicurezza che lavora a Dubai, ha rivelato in un post sul blog, l’11 febbraio, che il client desktop Mac per Telegram ha preservato indefinitamente file audio e video dai messaggi che avrebbero dovuto autodistruggersi.
Facendo alcune ricerche ha scoperto che il client Mac del noto social memorizzava anche le password degli utenti in testo normale. Nessuno di questi problemi di sicurezza è positivo. Un malware o un intruso furbo potrebbero aver trovato entrambi i set di file. “Telegram fallisce di nuovo in termini di gestione dei dati dell’utente“, ha scritto Mishra nel suo post sul blog, sarcasticamente intitolato “La ‘P’ di Telegram sta per la privacy“. Il client Mac ha eliminato in modo appropriato i messaggi autodistruggenti, ha scritto Mishra. Ma se a quei messaggi fossero allegati file video o audio, quei file potrebbero ancora essere trovati sepolti in profondità nel filesystem del Mac. Chiunque sapesse dove cercare potrebbe trovarli.
Telegram: problemi di sicurezza per la nota app di messaggistica?
Le password erano scritte in testo normale nei metadati di Telegram dell’utente, dove avrebbero potuto essere trovate anche dagli aggressori. Mishra ha detto a Bleeping Computer di aver segnalato i difetti a Telegram a dicembre. Ha, inoltre, ricevuto un compenso di 3 mila euro per aver scoperto il bug. Telegram ha risolto entrambi i problemi con l’aggiornamento 7.4 a fine gennaio. Se utilizzi Telegram su un Mac, assicurati che il software client sia aggiornato.
Telegram ha visto un picco di nuovi utenti di recente, dopo che una modifica delle autorizzazioni per la privacy su WhatsApp ha provocato l’esodo dal servizio di proprietà di Facebook. Molti professionisti della sicurezza non sono convinti che il noto social sia molto sicuro da usare per comunicazioni altamente sensibili. Consigliano invece il servizio Signal, che utilizza la stessa crittografia di WhatsApp. Mishra ha concluso il suo blog con una chiara indicazione della sua posizione sulla questione, incorporando l’ormai famoso tweet di Elon Musk in “Use Signal“.
Fonte immagine copertina: Pixabay
Seguici su Telegram