TENET: Telegram Mini App (in)security

Dans le monde numérique, de nombreuses personnes comptent sur les applications de messagerie non seulement pour discuter, mais aussi pour gérer leur argent. Ces applications sont devenues des écosystèmes où vivent de petits programmes spécialisés à l'intérieur de l'application principale, permettant aux utilisateurs d'échanger des cryptomonnaies, de jouer à des jeux ou de gérer des investissements sans jamais quitter l'interface de chat. Ces programmes, connus sous le nom de Mini Apps, fonctionnent comme de minuscules sites web qui s'exécutent directement à l'intérieur du logiciel de messagerie. Bien que cette intégration offre une grande commodité, elle crée également un défi de sécurité complexe. Tout comme un portefeuille physique a besoin d'un verrou pour garder l'argent en sécurité, les portefeuilles numériques ont besoin d'un chiffrement robuste pour protéger les codes secrets qui donnent accès aux fonds. Si ces codes sont stockés d'une manière facile à lire ou à copier, la sécurité de l'ensemble du système est compromise. La question que se posent les chercheurs est de savoir si ces outils intégrés et pratiques protègent réellement l'argent des utilisateurs, ou s'ils laissent les clés du coffre-fort sur le pas de la porte.

Une équipe de chercheurs de l'Université des sciences et technologies du roi Abdallah et d'une entreprise suisse appelée Artificialy s'est lancée dans l'investigation de ce problème exact au sein de la plateforme de messagerie Telegram. Telegram, qui compte plus de 450 millions d'utilisateurs actifs quotidiens, est devenu un centre majeur pour ces Mini Apps. Les chercheurs se sont concentrés sur la manière dont ces applications stockent les informations sensibles sur l'appareil d'un utilisateur. Ils étaient particulièrement préoccupés par les données financières, telles que les phrases secrètes utilisées pour récupérer les portefeuilles de cryptomonnaies et les jetons numériques qui maintiennent un utilisateur connecté. Leur enquête a révélé un modèle répandu et dangereux : beaucoup de ces applications enregistraient des secrets de sécurité critiques en texte clair, ce qui signifie que les données étaient stockées exactement telles qu'elles étaient écrites, sans aucun chiffrement protecteur. Cette pratique laisse les informations vulnérables à toute personne pouvant accéder à l'appareil de l'utilisateur, que ce soit par le biais d'un ordinateur portable volé, d'un programme malveillant ou même d'un passage temporaire du téléphone entre les mains d'un tiers.

Pour découvrir l'étendue de ce problème, les chercheurs ont développé un outil d'audit spécialisé appelé TENET. Cet outil a été conçu pour scanner le stockage local d'un appareil, à la recherche de motifs spécifiques indiquant la présence de secrets tels que des mots de passe, des clés numériques ou des jetons de session. L'outil a été construit avec une compréhension profonde de la structure de ces secrets, lui permettant de distinguer le texte inoffensif des données dangereuses. Les chercheurs ont utilisé TENET pour examiner un large échantillon de Mini Apps, en les sélectionnant en fonction de leur popularité et de leur concentration sur les activités financières. Ils ont passé au crible 61 applications différentes, allant des jeux aux outils financiers complexes, et en ont analysé avec succès 37. Les résultats sont frappants : 30 des 37 applications analysées contenaient des failles de sécurité importantes.

Les failles se divisaient en trois catégories distinctes de gravité. Les problèmes les plus critiques concernaient les applications qui stockaient des phrases de récupération secrètes ou des clés privées en texte clair. Dans ces cas, un attaquant accédant à l'appareil pouvait simplement copier le fichier et prendre immédiatement le contrôle total des actifs en cryptomonnaie de l'utilisateur. Une deuxième catégorie concernait les applications qui utilisaient le chiffrement, mais stockaient les clés nécessaires pour déverrouiller ce chiffrement juste à côté des données verrouillées. Cela revient à verrouiller un coffre-fort mais à laisser la combinaison écrite sur la porte ; la protection est une illusion car la clé est facilement accessible. La troisième catégorie impliquait des applications qui stockaient des jetons de session, qui sont des badges numériques prouvant qu'un utilisateur est connecté. Si un attaquant volait ces jetons, il pourrait usurper l'identité de l'utilisateur et prendre le contrôle de son compte, même sans connaître son mot de passe.

La découverte la plus alarmante fut peut-être que même l'application officielle Wallet de Telegram, utilisée par plus de 100 millions de personnes, s'est avérée stocker une phrase de récupération critique en texte clair. Cela signifiait que l'identité financière entière d'un utilisateur pourrait être compromise par simple accès aux fichiers de stockage de son appareil. Les chercheurs ont démontré que cette vulnérabilité pouvait être exploitée dans des scénarios réalistes. Par exemple, les logiciels malveillants courants qui volent des données sur les ordinateurs peuvent facilement saisir ces fichiers non chiffrés. Ils ont également montré qu'un document malveillant, tel qu'un tableur envoyé par e-mail, pourrait inciter un utilisateur à exécuter du code qui copie silencieusement l'intégralité du dossier de stockage et l'envoie vers un serveur distant, le tout sans que l'utilisateur ne s'en aperçoive.

Les chercheurs n'ont pas seulement identifié les problèmes ; ils ont également démontré comment ils pouvaient être résolus. Après avoir signalé de manière responsable leurs conclusions à Telegram et aux développeurs des applications concernées, la plateforme a répondu en introduisant deux nouvelles fonctionnalités de sécurité. Ces nouveaux outils permettent aux développeurs de stocker des données sensibles d'une manière qui est chiffrée par le système d'exploitation lui-même, les rendant inaccessibles aux programmes non autorisés. Les chercheurs ont vérifié que le Wallet officiel de Telegram avait été mis à jour pour utiliser ces nouvelles méthodes sécurisées, et que la phrase de récupération n'était plus stockée d'une manière qui pourrait être facilement lue. Cela a confirmé que la vulnérabilité était réelle et qu'une solution pratique existait.

L'étude souligne une lacune critique dans la sécurité des écosystèmes de messagerie modernes. Bien que la plateforme de messagerie elle-même puisse être sécurisée, les applications qui y circulent dépendent souvent des développeurs pour mettre en œuvre leurs propres mesures de sécurité, et beaucoup ont échoué à le faire. Les chercheurs ont constaté que la majorité des applications vulnérables testées étaient liées à la cryptomonnaie, un secteur où la perte financière est permanente et irréversible. Contrairement à un compte bancaire où une carte de crédit volée peut être annulée, un portefeuille de cryptomonnaie volé signifie souvent que les fonds sont perdus à jamais. Ce travail sert d'avertissement clair que la commodité ne doit pas se faire au détriment de la sécurité, et que les outils utilisés pour gérer la richesse numérique doivent être soumis aux normes de protection les plus élevées. En exposant ces faiblesses et en fournissant une voie pour les corriger, les chercheurs ont aidé à sécuriser les actifs numériques de millions d'utilisateurs qui comptent chaque jour sur ces applications intégrées.