安全与密码学2015eprint.iacr.org
Telegram 使用的对称加密方案 MTProto 并非 IND-CCA 安全
MTProto, the symmetric encryption scheme used in Telegram, is not IND-CCA secure
进阶 · 约 40 分钟读完前置知识：对称加密基础、IND-CCA 安全模型、MAC 与完整性保护
导读
这篇论文分析 Telegram 使用的对称加密方案 MTProto，论证它不满足 IND-CCA（选择密文攻击下的不可区分性）安全性。核心问题在于密文缺少完整性保护——没有先对密文做 MAC，攻击者篡改密文后可利用解密端的行为获取信息。该工作是作者硕士论文中一个更重大攻击的基础环节。
HN 关注点：Telegram 自研加密是否可靠，讨论很快转向“该用 Signal 而不是 Telegram”，并延伸到 IND-CCA 与“密码学末日原则”这类概念。
后来怎么样
该论文成为批评 Telegram 自研加密的重要公开依据，并伴随围绕 MTProto 的持续争论；Telegram 后续推出 MTProto 2.0 调整了相关设计，但仍坚持自研协议路线。
HN 评论精选
这几条评论里：支持 1 补充 2
补充解释 IND-CCA 的含义，指出“不先 MAC 密文”是导致 BEAST/CRIME/Lucky13 的经典致命错误，本文只是更大攻击的基础。
给好奇的人解释一下：IND 指“不可区分性”，即无法从一排密文中挑出与已知明文配对的那一个。CCA 是“选择密文攻击”，指密码分析者在受害者解密前修改（“选择”）密文，然后从受害者的行为中获得信息。（还有 CCA2，攻击者能对同一段密文反复得到反馈。）TLS 的 Mac-then-encrypt CBC 模式已知不具备 IND-CCA 安全性，几年后 Thai Duong 和 Juliano Rizzo 把这一性质变成了 BEAST，然后是 CRIME、Lucky13，最终 TLS 的 MtE CBC 只能被淘汰。丢掉 IND-CCA 安全性最容易的方式就是不对密文做 MAC。这个缺陷太常见了，以至于 Signal（TextSecure）的合著者 Moxie Marlinspike——你应该用它而不是 Telegram——把它命名为“密码学末日原则”。这篇论文只是作者硕士论文中一个更重大攻击的铺垫。
tptacek查看英文原文
For those wondering: IND refers to "indistinguishability"; it is the property of not being able to pick a matching plaintext/ciphertext pair out of a lineup of ciphertexts. CCA stands for Chosen Ciphertext Attacks, and refers to the class of attacks where the cryptanalyst alters ("chooses") the ciphertext before it's decrypted by the victim, and is then able to learn things from the victim's behavior. (There's also CCA2, in which the attacker gets feedback from the victim on a single piece of ciphertext, over and over again.) TLS's Mac-then-encrypt CBC was known not to be IND-CCA secure, and a few years later Thai Duong and Juliano Rizzo turned that property into BEAST. Then there was CRIME, then Lucky13, and finally TLS MtE CBC had to be put to sleep. The easiest way to lose IND-CCA security is to fail to MAC your ciphertext. This is such a common flaw that Moxie Marlinspike, a co-author of TextSecure/Signal, which you should use in preference to Telegram, named it "the cryptographic doom principle". This paper is a building block for a much more significant attack, which is the author's masters thesis: https://news.ycombinator.com/item?id=10713064
补充补充论文原始出处（硕士论文）的链接。
这篇文章基于 Jakobsen 的硕士论文（附 HN 链接）。
delan查看英文原文
This article is based on Jakobsen’s master’s thesis: https://news.ycombinator.com/item?id=10713064
支持Telegram 自研加密且默认不开启，其安全口碑不如用 Signal 协议的 WhatsApp/iMessage。
一点也不意外。许多受尊敬的专家批评 Telegram 自研加密、堆砌无意义的流行术语，而且加密还是可选的。Telegram 显然不是以隐私为动机的平台，相信这一点的人是在自欺欺人。就连闭源的 WhatsApp（采用 Signal 团队的端到端加密）和 iMessage，可以说出现密码学缺陷的可能性也比 Telegram 更低。
HappyTypist查看英文原文
What a surprise, not. Many respected experts have criticised Telegram for implementing their own cryptography and using meaningless buzzwords, while also making encryption opt in. Telegram is clearly not a privacy-motivated platform and anyone who thinks so is deluding themselves. Even the closed source WhatsApp (uses ETE from the Signal guys) and iMessage are arguably less likely to contain cryptographic flaws than Telegram.
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2015Hacker News 讨论帖181 分 · 62 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选