Telegram löscht selbstzerstörende Videodateien auf dem Mac nicht

Telegram bietet die Option an, Videos mit einer "Selbstzerstörung" zu versenden, sodass sie beim Empfänger automatisch gelöscht werden. Das funktioniert auch soweit - nur auf dem Mac, da gab es ein Problem. Die Videos waren nur versteckt, nicht gelöscht. Telegram macht immer gern Werbung für dieses "Privacy"-Feature: Selbstzerstörende Audio- und Videodateien, die man versenden kann und die der Empfänger weder speichern noch weiterleiten kann. Doch nun kommt heraus: Ein Bug verhinderte die Löschung, wenn man die macOS-App nutzte. Der Fehler ist nun mit dem jüngsten Update behoben, zeigt aber wieder einmal, wie trügerisch Sicherheitsfunktionen sein können. Entdeckt und an Telegram gemeldet hatte der Sicherheitsforscher Dhiraj Mishra das Problem. Er hatte einen fatalen "Designfehler" der Sicherheitsfunktion entdeckt. Denn im Grunde speicherte Telegram alle empfangenen Daten mit dem gleichen Pfad ab.

Daten bleiben liegen

Bei der Durchführung eines Telegram-Sicherheitsaudits unter macOS entdeckte Mishra, dass bei Standard-Chats der Sandbox-Pfad, in dem empfangene Video- und Audiodateien gespeichert werden, ganz regulär angezeigt werden kann. Wechselt man dann in den Secret Chat-Modus wird der Pfad nicht mehr angezeigt. Telegramm nutzt aber weiterhin den gleichen Speicherort. Wer das weiß, braucht nur dem Pfad zu folgen und entdeckt dann Dateien, die mit der Selbstzerstörungsoption gesendet wurden.

Mishra entdeckte, dass, sobald sich die Medien "selbst zerstören" sollten und so auch aus dem Chat entfernt wurden, die eigentlichen Mediendateien im Ordner des Computers weiterhin zugänglich waren. Es bleiben immer Spuren zurück, was nicht in Einklang mit dem Versprechen von Telegramm steht.

Es gibt aber auch noch eine zweite Sicherheitslücke, die Mishra entdeckt hat. Telegram speichert demnach die lokalen Passcodes der Benutzer zum Entsperren der App im Klartext auf dem Gerät. Diese Klartext-Passcodes wurden als JSON-Datei gespeichert und konnten jederzeit ausgelesen werden. Telegram hat die beiden Schwachstellen mit der Version 7.4 für den Mac behoben. Nutzer sollten das Update dementsprechend schnell installieren.

Download Plus Messenger für Android