一名研究人員發(fā)現，MacOS上的Telegram的一個高級隱私功能存在漏洞,，該功能可以為發(fā)件人和收件人的設備上的信息設置了一個 “自毀 ”計時器,，但是該漏洞使得這些信息即使已經被刪除了，但也能讓人檢索到這些信息,。

　　Trustwave SpiderLabs首席架構師Reegun Richard Jayapaul在Telegram MacOS的自毀功能中發(fā)現了這一漏洞,，該功能是該消息應用程序聊天功能的一部分，可以使得消息端到端加密,。

　　他在周四發(fā)表的一篇關于他的發(fā)現的博文中說,，這種加密即使是Telegram管理員也沒有解密秘鑰，該功能是為那些關心他們聊天記錄的安全和隱私的人準備的,。

　　事實上,，Telegram總體上被廣泛認為是最安全的消息應用程序之一。許多用戶選擇從Facebook的WhatsApp轉到Telegram,，就是因為他們擔心自己的隱私問題,。

　　Jayapaul與Telegram合作修補了這一漏洞，該漏洞可使用戶的隱私在兩種情況下受到侵犯,。他說,，在這個過程中，他了解到該公司漏洞披露計劃的一個注意事項,，如果研究人員同意接受漏洞賞金,，就不能披露漏洞。但是Jayapaul說他不同意這樣做,。

　　他寫道,，在第一種情況下，即使這些信息已經在發(fā)送者和接收者的設備上定時自毀,，共享位置,、視頻和音頻信息也仍然可能會被泄露。在第二種情況下,，這些同樣的信息可以在收件人沒有打開或刪除信息的情況下泄露,。

　　然而，雖然Telegram修復了產生第一種情況的問題,，但該公司拒絕修復第二種情況,。正因為如此,，Trustwave的研究人員拒絕了Telegram的漏洞賞金，Jayapaul寫道：“因為它會使我們無法向社區(qū)披露這項研究,?！?/p>

　　他說：“我們認為要求對漏洞永遠保持沉默，這樣對于改善他們的安全問題沒有任何幫助,。我們應該是向賞金支付者報告漏洞還是向更廣泛的社區(qū)保持沉默呢,？”在這種情況下，這一點尤其嚴重,，因為所報告的問題還沒有得到完全解決,。

　　它是如何被利用的

　　Jayapaul在macOS Telegram 7.5版本中發(fā)現了這個漏洞，通過該應用發(fā)送的任何共享位置,、音頻,、視頻或文件都會被存儲在Telegram的緩存中，路徑如下：/Users/Admin/Library/Group Containers/XXXXXXX.ru.keepcoder.Telegram/appstore/account/1271742300XXXX/postbox/media,?！?/p>

　　Telegram將Secret-Chat存儲在這個目錄中，文件前綴為 ”secret-file-xxxxxx“,。他在帖子中解釋說：”默認情況下,，任何發(fā)送到Telegram的媒體文件，除了附件,，都會被下載到上述緩存文件夾中,，并且共享位置是以圖片形式存儲的?！?/p>

　　在他的披露中,，Jayapaul詳細概述了該漏洞是如何在兩種情況下被利用的。一種是侵犯信息或位置的發(fā)送者和接收者的隱私,，另一種是只有發(fā)送者受到影響,。

　　在第一種情況下，有人發(fā)送語音記錄,、視頻信息或圖像,，或分享他或她的位置，然后啟用 ”自毀 “功能,。一旦收件人閱讀了信息,，根據該功能的工作原理，它確實會被刪除,。Jayapaul說：”然而,，這些文件仍然保存在本地的緩存文件夾內，可以被恢復出來,?！?/p>

　　第二種情況取決于信息接收者的緩存文件夾中設置為自毀的文件,，或者在Telegram應用程序中不閱讀信息就刪除這兩種情況,。根據該帖子所說,，無論哪種情況，發(fā)件人都不會知道信息是否被閱讀,，而收件人則會將永久保留信息的副本,。

　　Telegram的回應和漏洞的披露

　　當Jayapaul聯系Telegram時，該公司則迅速做出了回應,，修復了第一種情況下的漏洞,，該漏洞是 ”即使程序在打開信息后該信息已經自我刪除，但是任何聊天記錄/媒體都可以從緩存中恢復,?！?他說，雖然最初的修復情況并沒有對共享位置進行修復,，但該公司最終也發(fā)布了這方面的補丁,。

　　然而，該公司拒絕為第二種情況下的媒體文件的緩存問題打補丁,，理由是 ”有些方法可以繞過應用程序中的自毀計時器,，這已經超出了應用程序可以控制的范圍?！?Telegram承認,，它在其網站的常見問題頁面上警告用戶有這種情況。

　　Jayapaul說,，他認為修復方法會很簡單,，只需要應用自毀聊天記錄并且對附件使用相同的緩存方法即可。

　　Jayapaul解釋說：”如果你將媒體文件附在信息中,，在點擊信息之前,，附件不能在緩存中被訪問，只有在應用中打開該消息后,，附件才會被下載,，然后在定時器中被刪除?！?/p>

　　Telegram向該研究人員提供了一個漏洞賞金項目,，他很高興的收到了賞金，但他最終也拒絕了,，因為他最終選擇公布他的發(fā)現,。

　　Jayapaul說：”公開披露是漏洞發(fā)現和修復過程的一個重要部分，它在各個方面對公眾來說都是至關重要的,。由于這些擔憂和我對信息安全的承諾,，我最終拒絕了該公司的漏洞賞金“,。