TENET: Telegram Mini App (in)security

In der digitalen Welt verlassen sich viele Menschen bei Messaging-Apps nicht nur auf die Kommunikation, sondern auch auf die Verwaltung ihres Geldes. Diese Apps haben sich zu Ökosystemen entwickelt, in denen kleine, spezialisierte Programme innerhalb der Hauptanwendung existieren, die es Nutzern ermöglichen, Kryptowährungen zu handeln, Spiele zu spielen oder Investitionen zu verwalten, ohne jemals die Chat-Oberfläche zu verlassen. Diese Programme, bekannt als Mini-Apps, funktionieren wie winzige Websites, die direkt innerhalb der Messaging-Software laufen. Während diese Integration eine große Bequemlichkeit bietet, schafft sie auch eine komplexe Sicherheitsherausforderung. Genau wie ein physischer Geldbeutel ein Schloss benötigt, um Bargeld sicher aufzubewahren, benötigen digitale Wallets eine starke Verschlüsselung, um die geheimen Codes zu schützen, die den Zugriff auf Gelder gewähren. Die Frage, die Forscher stellen, ist, ob diese praktischen, integrierten Werkzeuge das Geld der Nutzer tatsächlich sicher aufbewahren oder ob sie die Schlüssel zum Tresor einfach auf der vorderen Veranda liegen lassen.

Ein Team von Forschern der King Abdullah University of Science and Technology und einem Schweizer Unternehmen namens Artificialy machte sich daran, genau dieses Problem innerhalb der Telegram-Messaging-Plattform zu untersuchen. Telegram, das über 450 Millionen täglich aktive Nutzer zählt, ist zu einem bedeutenden Zentrum für diese Mini-Apps geworden. Die Forscher konzentrierten sich darauf, wie diese Anwendungen sensible Informationen auf dem Gerät eines Nutzers speichern. Sie waren besonders besorgt über Finanzdaten, wie etwa die geheimen Phrasen, die zur Wiederherstellung von Kryptowährungs-Wallets verwendet werden, und die digitalen Token, die einen Nutzer eingeloggt halten. Ihre Untersuchung ergab ein weit verbreitetes und gefährliches Muster: Viele dieser Anwendungen speicherten kritische Sicherheitsgeheimnisse im Klartext, was bedeutet, dass die Daten genau so gespeichert wurden, wie sie geschrieben wurden, ohne jegliche schützende Verschlüsselung. Diese Praxis macht die Informationen anfällig für jeden, der Zugriff auf das Gerät des Nutzers hat, sei es durch einen gestohlenen Laptop, ein bösartiges Softwareprogramm oder sogar eine vorübergehende Übergabe des Telefons.

Um das Ausmaß dieses Problems zu ermitteln, entwickelten die Forscher ein spezialisiertes Auditierungswerkzeug namens TENET. Dieses Werkzeug wurde entwickelt, um den lokalen Speicher eines Geräts nach spezifischen Mustern zu scannen, die auf das Vorhandensein von Geheimnissen wie Passwörtern, digitalen Schlüsseln oder Session-Token hindeuten. Das Tool wurde mit einem tiefen Verständnis dafür gebaut, wie diese Geheimnisse strukturiert sind, was es ermöglicht, zwischen harmlosem Text und gefährlichen Daten zu unterscheiden. Die Forscher nutzten TENET, um eine große Stichprobe von Mini-Apps zu untersuchen, wobei sie diese basierend auf ihrer Popularität und ihrem Fokus auf Finanzaktivitäten auswählten. Sie überprüften 61 verschiedene Anwendungen, die von Spielen bis hin zu komplexen Finanzwerkzeugen reichten, und analysierten erfolgreich 37 davon. Die Ergebnisse waren drastisch: 30 der 37 von ihnen analysierten Apps enthielten erhebliche Sicherheitsmängel.

Die Mängel fielen in drei verschiedene Schweregrade. Die kritischsten Probleme betrafen Apps, die geheime Wiederherstellungsphrasen oder private Schlüssel im Klartext speicherten. In diesen Fällen könnte ein Angreifer, der Zugriff auf das Gerät erlangt, einfach die Datei kopieren und sofort die volle Kontrolle über die Kryptowährungsbestände des Nutzers übernehmen. Eine zweite Kategorie betraf Apps, die zwar eine Verschlüsselung verwendeten, aber die Schlüssel, die zum Entsperren dieser Verschlüsselung benötigt werden, direkt neben den gesperrten Daten speicherten. Dies ist vergleichbar damit, einen Tresor zu verriegeln, aber die Kombination direkt an der Tür stehen zu lassen; der Schutz ist eine Illusion, da der Schlüssel leicht zugänglich ist. Die dritte Kategorie betraf Apps, die Session-Token speicherten, also digitale Abzeichen, die beweisen, dass ein Nutzer eingeloggt ist. Wenn ein Angreifer diese Token stiehlt, kann er sich als der Nutzer ausgeben und dessen Konto übernehmen, selbst ohne dessen Passwort zu kennen.

Vielleicht die alarmierendste Entdeckung war, dass selbst die offizielle Wallet-Anwendung von Telegram selbst, die von über 100 Millionen Menschen genutzt wird, eine kritische Wiederherstellungsphrase im Klartext gespeichert fand. Dies bedeutete, dass die gesamte finanzielle Identität eines Nutzers allein durch den Zugriff auf die Speicherdateien seines Geräts kompromittiert werden konnte. Die Forscher demonstrierten, dass diese Schwachstelle in realistischen Szenarien ausgenutzt werden kann. Beispielsweise kann gängige Malware, die Daten von Computern stiehlt, diese unverschlüsselten Dateien problemlos erfassen. Sie zeigten auch, dass ein bösartiges Dokument, wie etwa eine per E-Mail versandte Tabellenkalkulation, einen Nutzer dazu verleiten könnte, Code auszuführen, der lautlos den gesamten Speicherordner kopiert und an einen Remote-Server sendet, ohne dass der Nutzer jemals etwas davon merkt.

Die Forscher identifizierten die Probleme nicht nur, sondern demonstrierten auch, wie sie behoben werden könnten. Nachdem sie ihre Ergebnisse verantwortungsbewusst an Telegram und die Entwickler der betroffenen Apps gemeldet hatten, reagierte die Plattform mit der Einführung von zwei neuen Sicherheitsfunktionen. Diese neuen Werkzeuge ermöglichen es Entwicklern, sensible Daten so zu speichern, dass sie durch das Betriebssystem selbst verschlüsselt werden, wodurch sie für unbefugte Programme unzugänglich werden. Die Forscher verifizierten, dass die offizielle Wallet von Telegram aktualisiert wurde, um diese neuen sicheren Methoden zu verwenden, und dass die Wiederherstellungsphrase nicht mehr in einer Weise gespeichert wurde, die leicht lesbar ist. Dies bestätigte, dass die Schwachstelle real war und dass eine praktische Lösung existierte.

Die Studie hebt eine kritische Lücke in der Sicherheit moderner Messaging-Ökosysteme hervor. Während die Messaging-Plattform selbst sicher sein mag, hängen die innerhalb ihr laufenden Anwendungen oft davon ab, dass die Entwickler eigene Sicherheitsmaßnahmen implementieren, und viele haben dies versäumt. Die Forscher fanden heraus, dass die Mehrheit der gefährdeten Apps mit Kryptowährungen zusammenhing – einem Sektor, in dem finanzieller Verlust permanent und irreversibel ist. Im Gegensatz zu einem Bankkonto, bei dem eine gestohlene Kreditkarte gesperrt werden kann, bedeutet ein gestohlener Kryptowährungs-Wallet oft, dass die Gelder für immer verloren sind. Die Arbeit dient als klare Warnung, dass Bequemlichkeit nicht auf Kosten der Sicherheit gehen darf und dass die Werkzeuge, die zur Verwaltung digitalen Wohlstands genutzt werden, den höchsten Schutzstandards unterliegen müssen. Durch das Aufdecken dieser Schwachstellen und das Bereitstellen eines Weges zu deren Behebung haben die Forscher dazu beigetragen, die digitalen Vermögenswerte von Millionen von Nutzern zu sichern, die sich jeden Tag auf diese integrierten Anwendungen verlassen.