Telegram «Desktop»да аккаунтни фаол сеансни бузмасдан клонлаш мумкин
Мустақил текширувлар шуни кўрсатдики, Windows операцион тизимида Telegram Desktop’дан фойдаланаётган аккаунтларни махсус усул орқали нусхалаш (клонлаш) имкони мавжуд. Энг эътиборга молик жиҳати — ушбу жараёнда SMS орқали тасдиқлаш ва икки босқичли ҳимоя (2FA) механизми умуман керак бўлмайди. Шу билан бирга, фойдаланувчи аккаунти учинчи шахс томонидан ишлатилаётганини сезмаслиги ҳам мумкин.
Telegram Desktop браузерлардан фарқли ўлароқ, анъанавий “cookie” механизмидан фойдаланмайди. Фойдаланувчи аутентификацияси локал қурилмада сақланадиган сессия маълумотлари асосида амалга оширилади. Ушбу маълумотлар одатда қуйидаги манзилда жойлашади: %appdata%\Telegram Desktop. Компьютерда Win + R тугмасини босиб, буни киритиш орқали tgdata папкасини кўриш мумкин.
Мазкур каталог ичидаги tgdata папкасида авторизация калитлари (Auth keys), сессия идентификаторлари (Session IDs), локал криптографик файллар сақланади ва улар фойдаланувчини сервер томонида идентификация қилиш учун хизмат қилади.
Ушбу тизимдаги асосий хавф — сессияни қайта ишлатиш (Session Reuse) билан боғлиқ. Агар tgdata папкаси тўлиқ кўчириб олиниб, бошқа қурилмадаги Telegram Desktop каталогига жойлаштирилса, тизим фойдаланувчини қайта аутентификациясиз ишга туширади. Одатда, tgdata папкасини тўлиқ кўчириш ҳам шарт эмас, расмда кўрсатилган 3 дона файлни қўлга киритиш кифоя.
Натижада SMS орқали тасдиқлаш талаб этилмайди, икки босқичли ҳимоя механизми четлаб ўтилади,
аккаунт тўлиқ функционал ҳолатда очилади. Бошқача айтганда, tgdata папкасига кириш имкониятига эга бўлган шахс ушбу аккаунтдан бошқа қурилмада бемалол тўлиқ фойдаланиши мумкин.
Алоҳида эътиборли жиҳати шундаки, бундай кириш ҳолатлари фаол сеанслар рўйхатида ҳар доим ҳам алоҳида қурилма сифатида акс этмайди. Бу эса фойдаланувчи учун қўшимча хавф туғдиради. Буларнинг барчаси тўлиқ амалда синаб кўрилди ва мазкур заифлик ўз тасдиғини топди.
