👨🦳 Когда приватность в ТГ стоит 500 рублей. На фоне суеты с замедлением ТГ и слухов про блокировку, в сторах и рекламе начал активно форситься клиент с незамысловатым названием «Telega»👨🔬. Разработчики обещают, что он будет работать в РФ без VPN даже при тотальном шатдауне. Звучит заманчиво и хочется срочно поставить? А теперь давайте посмотрим, что у него под капотом (спасибо bruhcollective за декомпиляцию 🎩). Внутри полный набор товарища майора 👮♂️: 🟢Клиент подменяет адреса дата-центров Telegram (DC1-5) на свои собственные прокси. Весь ваш трафик, включая медиа и файлы, идет через промежуточные сервера разрабов. 🟢При авторизации на сторону разработчика улетает не только номер телефона (который в обычном клиенте скрыт), но и auth_key_id. Это технически позволяет отслеживать активность конкретной сессии и, возможно, банить юзера точечно. 🟢В коде найдена функциональность для блокировки каналов и чатов независимо от ТГ. То есть, если РКН скажет заблокировать канал, в официальном приложении он может работать, а в приложении выдаст заглушку что материалы недоступны. 🟢При включенном фильтре клиент отправляет на сервер ID всех открываемых вами чатов. Идеально для построения социального графа... кто с кем общается и что читает😗 Но самое занятное вскрылось в последних находках. В библиотеках клиента обнаружили функцию проверки флага isPfsEnabled, которой нет в оригинальном коде Дурова. Perfect Forward Secrecy (PFS) - это механизм, гарантирующий, что даже если злоумышленник украдет долговременные ключи шифрования, он не сможет расшифровать переписку, записанную в прошлом. В официальном клиенте Telegram этот параметр - константа, всегда равная true. Его нельзя выключить, это база безопасности MTProto. А вот в «Telega» это переменная, значение которой прилетает с сервера конфигурации разработчиков 😶 Получается, что разрабы «Telega» могут удаленно, без обновления приложения, отключить PFS для конкретного пользователя или для всех сразу. Это превращает шифрование в ничто, т.к. если трафик перехватывается (а он может перехватываться через их прокси), то при наличии ключей его можно будет расшифровать постфактум. Еще из интересного... приложение имеет галочку верификации и рекламируется через официальную платформу Telegram Ads. Это наводит на очень нехорошие мысли о том, что Кто-то 😬 мог пойти на сделку, типа... Окей, мы не дадим вам ключи шифрования, но разрешим работу специального клиента, который будет всё соблюдать. Ну и на десерт про лицензионное соглашение. Пользователи, которые не поленились прочитать юридическую часть, нашли там прекрасное: 🟢Разработчики прямо пишут, что могут передавать персональные данные госорганам. 🟢Ответственность за разглашение данных третьим лицам? Отсутствует. 🟢Максимальная компенсация за любой ущерб - 500 рублей 😂 Вот и получается, что «Телега» - не простой форк, а с доступом к ТГ ценой приватности. Такое мы ставим? 🤢 Типичный 🥸 Сисадмин