Telegram Desktop 漏洞可导致任意用户文件被盗取

原文 ↗ Hacker News 讨论 ↗

Telegram 桌面客户端最近修补的一个漏洞，允许用户只需点击一次链接，就能外泄机器上任何用户可访问的文件并接管受害者的 Telegram 账户，这再次引发了人们对该应用安全立场的警惕。评论者将 Telegram 流畅的 UX 和强大的群组/频道功能，与其默认缺乏端到端加密、基于手机号的身份体系以及不透明基础设施形成对比，许多人因此在隐私方面更偏向 Signal 或 WhatsApp 等替代品。此次事件也进一步引发了对桌面操作系统默认允许应用读取所有用户文件的广泛批评，并促使人们呼吁更强的沙箱机制和更谨慎的威胁模型，尤其是在对 Telegram 与俄罗斯利益关联的怀疑仍然存在的情况下。

Telegram Desktop 漏洞的范围和严重性

  • 评论者强调，除了接管账户之外，这个漏洞还允许外泄 任何 用户可访问的文件（SSH 密钥、浏览器数据、云凭据等）。
  • 讨论中将根因归结为一个隐藏的内部 URL scheme，它可以上传任意文件，是为方便 Telegram 自己的发布流程而构建的。
  • 有人认为这个“功能”令人震惊地鲁莽；也有人指出，利用它需要一条相当曲折的攻击链。

操作系统设计、沙箱化与责任归属

  • 一种观点认为，这反映了更广泛的桌面操作系统问题：任何用户进程都能读取任何用户文件；应用应该被隔离到每个应用自己的目录中。
  • 反对观点认为，这显然是 Telegram 自身的漏洞；大多数应用不会偷偷上传任意文件。
  • 文中提到了多种沙箱机制：OpenBSD unveil、Linux bubblewrap、SELinux、Flatpak、macOS 和 Windows Store 沙箱、FreeBSD jails、Qubes 风格的虚拟机。
  • 一些用户已经通过 firejail、虚拟机、独立用户账户或 Flatpak 对浏览器/Telegram 进行沙箱化，但也指出，只有应用真正使用这些可选沙箱时，它们才有帮助。

Telegram 的安全立场与设计选择

  • 许多人再次强调，Telegram 长期以来一直被批评为“从设计上就不安全”：默认没有端到端加密、用手机号作为身份标识、服务器闭源、加密选择奇怪，以及过去一些颇具争议的漏洞。
  • 有人批评桌面客户端至今仍不支持秘密聊天，而且据称某些设置会被静默重新开启。
  • 有人认为 Telegram 不应被视为“安全通讯工具”；也有人说，所有复杂客户端都会有漏洞。

人们为什么仍然使用 Telegram

  • 对 Telegram 的 UX 给予了强烈称赞：强大的群组工具、机器人、格式化、语音转写、多平台一致性，以及事实上无限的云存储。
  • 有些人接受安全上的权衡，是因为他们认为情报机构比广告技术数据经纪人的威胁更小，或者因为他们需要联系的人都在 Telegram 上。
  • 还有人说，他们主要把它用于公开频道、社团和 maker space，在这些场景下缺少 E2EE 影响较小。

威胁模型、地缘政治与信任

  • 对 Telegram 与俄罗斯和迪拜关系存在深度不信任；一些人认为它很可能，或事实上就是，情报机构的蜜罐。
  • 也有人反对仅凭原产国来判断，但仍担心所有内容/元数据都被集中留存。
  • 与 Signal 以及在较小程度上的 WhatsApp 形成对比：默认 E2EE、开源客户端（针对 Signal）以及不同的商业模式，被认为在实质上更好。

E2EE、Web 应用与更新

  • 长篇子讨论争论，真正的 E2EE 是否可能存在于 Web 应用中：
    • 一方认为：基于浏览器的客户端无法按用户独立固定或审计；服务器可以静默替换代码，从而破坏“不信任服务器”这一点的意义。
    • 另一方认为：带自动更新的原生应用面临类似风险；真正的安全还取决于更新/签名模型以及设备是否被攻破。
  • 有人指出，类似 Electron 的桌面封装至少可以做哈希校验并进行可复现构建，而不是像实时网页代码那样。

关于应用权限的更广泛教训

  • 多次呼吁不要默认允许任意应用读取整个 home 目录并进行不受限制的网络连接。
  • 建议包括：在操作系统层面为文件系统/网络访问提供更易用的控制、默认拒绝并提供清晰的例外机制，以及把 Zoom、Steam、Dropbox、Telegram 等商业闭源应用视为不可信并始终进行沙箱化。