امشب خواهیم پرداخت به ارتباط بین سکیور کردن ارتباطات تلفنی از طریق تلگرام و حفظ سوره‌های قرآن با استفاده از این مکانیزم.

احتمالا پیش اومده براتون که با یکی توی تلگرام تماس بگیرید (حالا صوتی یا تصویری یا هرچی)، و بهتون ۴تا ایموجی نشون میده. شاید در وهله اول براتون خیلی کول و گوگولی باشه (و واقعا هم هست) منتهی دلیل داره. اگر زنگ زدید به یکی و دیدید چهارتا ایموجی شما با چهار ایموجی طرف مقابل یکی نیست، خوبه که زودتر تماس رو قطع کنید چون که یکی داره این وسط تلفن شما رو شنود می‌کنه.


جریان از چی قراره؟ ارتباطات شما توی تلگرام زمانی که تماس می‌گیرید end-to-end encryptشده‌س. یعنی ویس شما با یه کلیدی رمز میشه. از سرور می‌گذره. (سرور نمی‌تونه باز کنه ویس رو) میرسه به طرف مقابل. باز میشه. صدای شمارو می‌شنوه.

این کلیدی که باهاش ویس شما رمز میشه، تصادفیه. در واقع هر تماس تلگرام از یک کلید رمزنگاری تصادفی یا اصطلاحا shared secret استفاده می‌کنه. این کلید چرا نیازه؟ تا جلوی حملات man in the middle رو بگیره. یعنی یکی اون وسط نباشه که بفهمه کلید چیه و بتونه باز کنه ویس شما رو.

این کلید خیلی مهمه و تلگرام نیاز داره (یعنی باید این کار رو بکنه) و یجوری به شما بفهمونه که این رو فقط تو و داداشمون دارین و کسی این وسط دیگه نداره و از طرفی هم این کلیدی که تو داری همون کلیدیه که داداشمون داره.


خب بپردازیم به کلید. کلید یه هشه. یه سری چیز رندوم چرت و پرت از حروف و اعداد. خیلی بخوایم فنی‌تر بگیم با الگوریتم دیفی هلمن کلید می‌سازه. درواقع با sha 256 یه هش میگیره از DH و کلید ساخته میشه. با هر تماس هم این اتفاق میوفته.

حالا یکی ممکنه بتونه این هش رو حدس بزنه. به هر طریقی. چجوری؟ فرض کنید از کلمه کوشکی و قاسمی در کنار همدیگه ما یه هش گرفتیم. یعنی درواقع نوشتیم کوشکیقاسمی و یه sha گرفتیم ازش و یه مقداری داره. مثلا یه همچین مقداری.
iHatENiGGers
و این کلیدیه که دست شما و دوستتونه. یه دزدی هم این وسط هست (نامجو مثلا) که خیلی رندوم و به دور از نژاد پرستی تونسته با حدس برسه به این هش. خب الان پس میاد ویس شما رو باز میکنه و میشنوه و مجدد رمز میکنه و میده به شما.

تلگرام میاد توی الگوریتمی که خودش داره، زمانی که هش می‌کنه، سعی می‌کنه یه چیزی رو هش کنه که تا حدی معنی‌دار باشه. درواقع خودش معنی‌دار نیست ولی بعدا معنی‌دارش میکنه. چجوری؟ میاد اول اول که میخواد با استفاده از الگوریتم خودش یه کلید بسازه، اول کلید رو قسمت قسمت میکنه و از اون جداگونه یه هش می‌گیره (هش نمی‌گیره حالا درواقع. یه ترکیبی از base64 و هش و ایناس می‌تونید دقیق‌ترشو توی مستنداتش بخونید.) و به یه ایموجی مپ میکنه. جدول ایموجی‌ها یه جدول ۳۳۰تاییه که هرکدوم هم یه اسکی کد دارن. یه کد دارن خلاصه. به عبارت ساده‌تر، فرض کنید میاد از باینری فلان قسمت کلید یه مود ۳۳۰ میگیره و مپش می‌کنه به یه ایموجی.

بذارید یکم بیشتر بپردازیم بهش. چجوریه درواقع؟ میاد کلید اصلی ما که هست کوشکیقاسمی رو بخش بخش می‌کنه. مثلا اینجوری:
کوش
کیق
اس
می

و حالا هر کدوم با الگوریتم خودش مپ میکنه به یه ایموجی.
کوش -> 💩
کیق -> 🍑
اس -> 🍆
می -> 💦


و در نهایت هم که از کلید کوشکیقاسمی یه هش گرفتیم که شد کلید اصلی.

اون دزدی که وسطه (نامجو) ممکنه بفهمه (درواقع حدس بزنه) که کلید شده iHatENiGGers ولی دیگه نمی‌تونه بفهمه که اون چیزی که درواقع هش گرفتیم ازش چی بوده که. چرا؟ چون هش برگشت‌پذیر نیست. درواقع نامجو هرگز نمی‌تونه بفهمه ما از چه چیزی هش گرفتیم که رسیدیم به این کلید. ساده‌تر -> نامجو نمیفهمه عبارت اولی ما بوده کوشکیقاسمی.

ولی چون حالا به هر نحوی که تونسته حدس بزنه به این هش رسیده و تونسته بیاد با استفاده از اون مسیج رو باز کنه و شنود کنه. حالا دوباره می‌خواد بیاد رمز کنه دیگه که بفرسته برای شما. پس باید بیاد یه رشته بسازه که هشش یکسان باشه با همون iHatENiGGers.

نکته چیه؟ نکته اینکه ممکنه دو عبارت، هش یکسانی داشته باشن. به زبان ساده‌تر، وجود دارد دو عبارت کوشکیقاسمی‌ای و سلامدختری ای که جفتشون هششون میشه iHatENiGGers ولی خب عبارت اولیه یکی نیست.

پس نامجو احتمالا یه کلید با هش یکسان می‌سازه. و دوباره رمز میکنه میده میره. منتها وقتی میرسه دست شما و دیکریپت میشه،‌ اون موقع باز باید این عبارتی که نامجو ازش رمز ساخته یعنی همون سلامدختری تبدیل بشه به یه سری ایموجی دیگه. ولی حالا چون سلامدختری همون کوشکیقاسمی نیست، ایموجی‌هایی هم که ازش میاد بیرون ایموجی‌های یکسانی نیست پس.

پس شاید طرف حتی بتونه شنود هم کنه ها، ولی نمی‌تونه با احتمال خیلی بالایی به عبارت اصلی هم برسه که ایموجی‌ها یکی باشه. پس شما حالا می‌تونید اطمینان یابید که اگر ایموجی‌ها یکیه، ۹۹.۹۹۹ کسی داره شنودتون نمی‌کنه.

حالا شاید سوال پیش بیاد که چرا نامجو صرفا کپی نمیگیره و بعدا بره سراغش و صرفا بیاد همون پکت رو فوروارد کنه که نخواد خودشم رمزش کنه.

باید بگم که اوهوم.

حالا این همه گفتیم و چیشد؟

در این مقاله این دوستمون اومده گفته که چجوری قرآن هم یه همچین مکانیزمی داره برای حفظ سوره‌ها. میگه که شما می‌تونید سوره‌ها رو با استفاده از الفاظ آغازین سوره‌ها و تعداد حروف و ضریب ۱۹ رمز کنید (حالا توی خود سایت بهتر می‌تونید بخونید) و بعد با استفاده از این رمزی که شما می‌کنید (هشی که می‌گیرید) چجوری بهتر می‌تونید سوره‌ها رو حفظ کنید.

درنهایت هم مقایسه می‌کنه این رو با تلگرام و استنتاج می‌کنه که دقیقا همونجوری که اگر هش‌ها دست بخورن میفهمیم پیام تغییر یافته یا حداقل تحریف شده، از اونجایی که این رمز قرآن هم هنوز ثابت مونده، پس میشه استقرا زد که قرآن تحریف نشده و همونجوری که رمز شده باقی مونده.

have a good night and goodbye.

نحوه‌ی ساخت کلید و همچنین تقسیم‌بندی و درنهایت مپ به ایموجی:

https://core.telegram.org/api/end-to-end/voice-calls

همین مورد بالا، برای ویدیو کال‌هاش (مخصوصا الان که کال گروهی داره):

https://core.telegram.org/api/end-to-end/video-calls

یعنی چی بشین مقاله‌مو بخون تا بریم مصاحبه. بابامی مگه که بهم دستور میدی.

کارت دانشجوییمم گرفتم. دیگه فقط معافیت معافیت معافیت.

احتمالا شنیدید این موضوع بحث برانگیز رو که یه سریا اوکین که تاریخ مرگشونو بدونن و یه سریام نه. بحث جنجالی‌ای هست درکل.

The end.

رو به جلو (در لانگ‌ترم) می‌خوام راجع‌به این موضوع صحبت کنم. یه مقاله خیلی جالب داره. سوال‌های CTF بسیار باحالی هم داره.

prototype pollution

یک نگاه اگر می‌خواید بندازید چیه اینه:
https://portswigger.net/web-security/prototype-pollution

نمره‌ی واقعی اگر مثل کوشکی نخواید تقلب کنید.