پروتکل ارتباط تلگرام

تلگرام برای ایجاد یک ارتباط ایمن و سریع از پروتکل قدرتمند MTProto استفاده می کند. پروتکلی که امنیت را با سرعت بالا تظمین می کند که حتی در ضعیف ترین ارتباطات اینترنت نیز بخوبی کار می کند. این پروتکل توسط نیکلای دورف بر مبنای رمزنگاری ای‌ئی‌اس ۲۵۶ بیتی متقارن، رمزنگاری آراس‌ای ۲۰۴۸ و پروتکل تبادل کلید دیفی-هلمن است ابداع گردید. این پروتکل برای نرم افزاهای موبایلی طراحی شده است که از طریق api به سرور متصل می شوند و باید به این نکته هم توجه کرد که یک مرورگر به عنوان اپلیکیشن موبایل قلمداد نمی شود.

تاکید تلگرام بر امنیت این پروتکل

سازندگان تلگرام بر امنیت برنامه های خود تأکید بسیاری دارند. به تازگی جایزه سیصد هزار دلاری برای یافتن باگ بر روی تلگرام اعلام شده است که خود نشان دهنده اطمینان برنامه نویسان تلگرام دارد. در بلاگ تلگرام برندگان این جایزه اعلام می‌شوند. در سال ۲۰۱۵ شرکت امنیتی غیرانتفاعی Electronic Frontier Foundation رتبه ۴ از ۷ را به بخش پیام رسان و رتبه ۷ از ۷ را به بخش secure chat این نرم‌افزار داد.
این پروتکل در واقع به سه بخش مستقل تقسیم بندی می شود:
• API query language: روشی است که ب موجب آن درخواست های api و پاسخ های سرور به پیام های باینری تبدیل می شوند.
• Cryptographic (authorization) layer: روشی است که در آن پیام ها قبل از اینکه وارد پروتوکل انتقال داده ها شوند رمزنگاری می شوند.
• Transport component: پروتوکل حمل و نقل داده ها از طریق یکی از پروتکل های شبکه مانند: http, https, tcp ,udp
هر پیامی که از طریق این پروتکل رمزنگاری می شود همیشه شامل داده های زیر برای رمزگشایی به منظور ایجاد سیستم مقاوم در برابر مشکلات شناخته شده می باشد:
• server salt – 64bit
• session id
• شماره ترتیبی پیام
• طول پیام
• زمان ارسال
البته تلگرام متذکر شده است که در وضعیت چت امن (secure chat) چندین لایه رمزنگاری دیگر قبل از موارد بالا به پیام ها اضافه می کند که در به end-to-end encryption معروف می باشد.

اطلاعات بیشتر در مورد پروتکل MTProto

secure chat یا چت ایمن

اگر به دنبال امنیت بیشتری هستید تلگرام این روش ارتباطی را به کاربران خود پیشنهاد می کند. تلگرام در قابلیت چت ایمن خود از تکنولوژی end-to-end encryption استفاده می کند. یعنی تنها کسی که قادر به خواندن پیام های دریافتی است خود شما هستید. تیم تلگرام مدعی است که حتی آنها نیز نمی توانند پیام های شما را رمزگشایی کنند. کسی نمی تواند پیام دریافتی از شما را به کس دیگری ارسال کند. وقتی شما پیامی را حذف می کنید در طرف دیگر نیز حذف خواهد شد. پیام ها می توانند بصورت خودکار از هر دو طرف حذف شوند. پیام هایی که از این طریق رد و بدل می شوند در سرورهای کلاد تلگرام ذخیره نمی شوند، به این معنی است که پیام ها فقط در موبایل یا کامپیوتری که از آن طریق ارسال و دریافت شده اند وجود دارد.

اما secure chat چگونه کار می کند؟

وقتی یک چت ایمن ایجاد می شود، ابزارهای شرکت کننده در چت یک کلید مخصوص رمزنگاری را بوسیله روش پروتکل تبادل کلید دیفی-هلمن مبادله می کنند. بعد از اینکه اتصال امن end-to-end ایجاد شد تلگرام یک تصویر برای شبیه سازی کلید رمزنگاری تولید می کند. سپس دو طرف چت می توانند تصویر بوجود آمده را باهم مقایسه کنند. اگر دو تصویر طرفین برابر با هم باشند می توان اطمینان داشت که یک ارتباط امن بوجود آمده است و هیچ واسطه ای (man in the middle) دسترسی به اطلاعات مراوده شده را ندارد. نسخه جدیدتر نرم افزارهای تلگرام یک تصویر بزرگتر را بهمراه یک کلید متنی درهم ریخته نمایش می دهد. البته این زمانی است که هر دو طرف به آخرین نسخه بروز کرده باشند. اگر می خواهید مطمئن شوید که از یک ارتباط امن استفاده می کنید، همیشه دو تصویر را بصورت دقیق با هم مقایسه کنید. بهترین حالت این است که این مقایسه را در اولین ملاقات حضوری خود انجام دهید. پس به گفته تلگرام چت ایمن بخاطر استفاده از شیوه رمزنگاری client-client امنیت بالاتری نسبت به چت معمولی خواهد داشت چون در حالت چت معمولی یک طرف کلید رمزنگاری در سرورهای تلگرام ذخیره می گردد.

پروتکل تبادل کلید دیفی-هلمن چیست؟

پروتکل تبادل کلید دیفی-هلمن، یک پروتکل رمزنگاری است که با استفاده از آن، دو نفر یا دو سازمان، می‌توانند بدون نیاز به هر گونه آشنایی قبلی، یک کلید رمز مشترک ایجاد و آن را از طریق یک مسیر ارتباطی غیر امن، بین خود تبادل نمایند. این پروتکل، اولین روش عملی مطرح شده برای تبادل کلید رمز در مسیرهای ارتباطی غیر امن است و مشکل تبادل کلید رمز در رمزنگاری کلید متقارن را آسان می‌سازد. این پروتکل، در سال ۱۹۷۶ توسط دو دانشمند رمزشناس به نام‌های ویتفیلد دیفی و مارتین هلمن طراحی شده و در قالب یک مقاله علمی منتشر گردیده است. مطرح شدن این پروتکل، گام مهمی در معرفی و توسعه رمزنگاری کلید نامتقارن به حساب می‌آید.
جزئیات پروتکل دیفی-هلمن
در فرمول‌های پیشنهادی اولیه این پروتکل، از گروه همنهشتی اعداد صحیح با پیمانه عدد اول p و عملگر ضرب اعداد صحیح استفاده شده است. در این گروه عددی، یک ریشه اولیه محاسبه می‌شود که آن را با g نشان می‌دهند.
سپس مراحل زیر انجام می‌شود:
1. مقدار عدد اول دلخواه بزرگ p (پیمانه عمل ضرب) و مقدار محاسبه شده برای g میان دو طرف رد و بدل می‌شود.
2. هر یک از دو طرف یک عدد صحیح دلخواه (a و b) را به صورت پنهانی در نظر می‌گیرد.
3. هر یک از دو طرف با استفاده از عمل توان پیمانه‌ای و مقادیر قبلی (p و g و مقدار پنهانی)، یک مقدار جدید محاسبه کرده (A و B) و برای طرف مقابل ارسال می‌کند.
4. طرف اول با استفاده از مقادیر p و g و a و B، و طرف دوم با استفاده از مقادیر p و g و b و A، و با همان عمل توان پیمانه‌ای مقدار جدیدی را محاسبه می‌کنند. مقدار جدید محاسبه شده -چنانکه فرمول نشان می‌دهد- در دو طرف یکسان و همان کلید رمز مشترک است.

• مقادیر a و b و مقدار مشترک محاسبه شده، هرگز مستقیماً از کانال ارتباطی عبور نمی‌کنند. بقیه مقادیر یعنی p و g و A و B از کانال ارتباطی عبور می‌کنند و برای دیگران قابل دسترسی هستند.

• دشواری حل مسأله لگاریتم گسسته تضمین می‌کند که مقادیر a و b و مقدار کلید رمز مشترک، با داشتن مقدار اعداد دیگر در عمل قابل محاسبه نباشد.

امنیت پروتکل دیفی-هلمن

امنیت این پروتکل مبتنی بر دشواری حل مسأله لگاریتم گسسته است.
در حال حاضر مسائل زیر باید در ارتباط با امنیت پروتکل دیفی-هلمن لحاظ گردد:
• بر اساس قدرت محاسباتی رایانه‌های امروزی، استفاده از عدد اول p با حدود ۳۰۰ رقم و اعداد a و b با حدود ۱۰۰ رقم می‌تواند شکستن امنیت این پروتکل و یافتن کلید رمز مشترک را در عمل غیر ممکن سازد.

• در عمل هر عدد اول بزرگی را نمی‌توان در این پروتکل به کار گرفت، بلکه لازم است عدد p مورد استفاده یک عدد اول امن باشد. در غیر این صورت شکستن امنیت این پروتکل و یافتن کلید رمز مشترک، با استفاده از الگوریتم‌هایی مانند الگوریتم پولیگ-هلمن، نسبتاً آسان و در زمان کمتری قابل انجام خواهد شد.
• اعداد پنهانی a و b باید به صورت عدد تصادفی تولید شوند و مولد عدد تصادفی مورد استفاده هم نباید تکرارپذیر و قابل پیش‌بینی باشد. در غیر این صورت، یافتن کلید رمز مشترک آسان‌تر و در زمان کمتری قابل انجام خواهد شد.

مشکل شناسایی دو طرف در پروتکل دیفی-هلمن

فرمول‌های پیشنهادی اولیه این پروتکل که در قسمت بالا ارائه شد، امکان شناسایی متقابل دو طرف را فراهم نمی‌سازد. به همین دلیل اگر طرف سومی روی خط ارتباطی و بین طرف اول و دوم قرار بگیرد، می‌تواند بدون اینکه شناسایی شود، با هر یک از دو طرف به طور جداگانه طبق پروتکل دیفی-هلمن به رد و بدل کلید رمز بپردازد. (به چنین نوع حمله‌ای، حمله مرد میانی گفته می‌شود). به این ترتیب طرف سوم خواهد توانست بدون اینکه طرف های اول و دوم متوجه شوند، تمام پیام‌های آن دو را بخواند که برای این کار کافی است ابتدا پیام هر یک از آن‌ها را با کلید رمز مربوط به خودش رمزگشایی کند و سپس با کلید رمز طرف دیگر رمزنگاری کرده و برایش ارسال کند. برای مقاوم کردن پروتکل دیفی-هلمن در مقابل این مشکل، لازم است که یک مکانیزم برای شناسایی دو طرف به مراحل این پروتکل اضافه شود. همین امر باعث شده است که پروتکل‌های مختلف شناسایی با استفاده از مکانیزم تبادل کلید دیفی-هلمن ارائه شود.

مشکلات امنیتی تلگرام

وقتی از منظر ریاضیات به قضیه کدگذاری تلگرام نگاه می کنیم تا حدودی امن بنظر می رسد اما اخیرا با سوء استفاده گروه های ترورستی چون داعش برای مقاصد ضد انسانی از تلگرام باعث شد تا نگاه متخصصین با تجربه در زمینه امنیت داده ها به سمت تلگرام منعطف شود که منجر به کشف آسیب پذیری ها و اشکالاتی در امنیت مطلق تلگرام گردید:
کاربران تلگرام مستعد خطا هستند
متد رمزنگاری end-to-end تلگرام بصورت پیشفرض برای کاربران فعال نیست و کاربران باید قبل از آغاز گفتگو یک چت ایمن ایجاد کنند و رمزنگاری end-to-end برای گفتگوهای فعلی کاربر ممکن نیست. در نتیجه این احتمال وجود دارد که کاربر فراموش کند که از ویژگی چت ایمن تلگرام استفاده نماید.
اطلاعات تماس
تلگرام نیز همچون دیگر سرویس های پیام رسان برای فعال سازی و ثبت نام نیاز به یک شماره موبایل معتبر دارد، پس از ثبت نام، اپلیکیشن تلگرام تمامی شماره های موجود در گوشی کاربر را به همراه اطلاعاتشان به سرورهایش می فرستد تا در مواقع لزوم تحویل مراجع قضایی دهد. البته مطمئنا این هدف تلگرام نیست و این سرویس از آنها برای گسترش شبکه ارتباطی خود بهره می برد.
نشت حجیم داده ها
استفاده از اینترنت تلفن همراه حجم عظیمی از داده های متعلق به شما را با هویت شما در معرض خطر قرار می دهد. حتی اگر از چت ایمن نیز استفاده کنید، مراجع قضایی می توانند با تحت فشار قراردادن شرکت تلگرام داده های شما را جمع آوری کنند.
به عنوان مثال: اگر A و B در حال مکالمه با یکدیگر هستند و A یک مضنون یا تروریستی است که در لیست آژانس های امنیت جهانی قرار دارد، آنها می توانند با استفاده از داده های A مضنون شماره B را نیز شناسایی کنند.