Salut tout le monde 
,
Je voulais ouvrir un thread sur Telegram, l’une des apps de messagerie les plus populaires et controversées en matière de sécurité. On l’utilise souvent en pensant qu’elle est super sécurisée, mais il y a des failles et des choix techniques discutables qu’il faut connaître.
Protocole de chiffrement propriétaire (MTProto)**
Telegram utilise son propre protocole, MTProto, au lieu d’opter pour des solutions éprouvées comme Signal Protocol.
Problème :
- Pas open-source dans sa totalité, difficile d’auditer complètement.
- Plusieurs experts en cryptographie ont critiqué sa complexité inutile et son manque de transparence.
- Des bugs historiques ont montré que la conception n’est pas à l’épreuve des exploits sophistiqués.
Implication :
Si MTProto est cassé ou contient des vulnérabilités, tous vos messages non chiffrés de bout en bout sont en danger.
Pas de chiffrement de bout en bout par défaut**
Contrairement à Signal ou WhatsApp, Telegram ne chiffre pas par défaut les conversations de bout en bout (E2EE).
Problème :
- Les chats « classiques » sont chiffrés uniquement entre l’utilisateur et les serveurs de Telegram.
- En théorie, Telegram peut accéder à vos messages stockés sur leurs serveurs.
Implication :
- Vos messages peuvent être demandés légalement par des gouvernements.
- Les employés malveillants (ou des hackers) pourraient potentiellement y accéder.
Solution temporaire : Utilisez les « chats secrets », mais même là, on revient au problème du protocole MTProto.
Centralisation des serveurs
Problème :
- Telegram repose sur une infrastructure centralisée, contrairement à des solutions décentralisées comme Matrix.
- Les serveurs sont situés dans plusieurs pays, mais les clés de chiffrement restent sous leur contrôle.
Implication :
- Une attaque ciblée ou un hack réussi sur leurs serveurs pourrait exposer une énorme quantité de données.
- Dans des régimes autoritaires, il suffit qu’un gouvernement exerce une pression sur Telegram pour obtenir des infos sensibles.
Absence de chiffrement des métadonnées
Problème :
- Telegram ne chiffre pas les métadonnées (qui a envoyé quoi, à qui, quand).
- Ces données permettent de tracer les relations entre utilisateurs et leurs habitudes de communication.
Implication :
Même sans lire vos messages, un attaquant ou un gouvernement peut cartographier votre réseau social, identifier vos contacts, ou détecter des comportements sensibles.
Risques liés aux bots et aux fonctionnalités avancées
Problème :
- Les bots Telegram, bien qu’utiles, peuvent collecter vos données. Beaucoup de ces bots ne sont pas développés par Telegram, ce qui amplifie les risques.
- Certaines fonctionnalités comme les groupes publics ou les chaînes exposent davantage vos informations.
Implication :
- Les utilisateurs peuvent être ciblés par des campagnes de phishing ou d’ingénierie sociale via ces bots.
- Des failles dans l’API des bots pourraient être exploitées pour extraire des données.
Faux sentiment de sécurité
Problème :
Telegram est souvent perçu comme ultra-sécurisé, mais cette réputation est plus un mythe marketing qu’une réalité. Beaucoup pensent être protégés juste parce qu’ils l’utilisent.
Implication :
- Les utilisateurs partagent souvent des infos sensibles ou organisent des activités (légales ou non) en pensant que tout est parfaitement sécurisé, ce qui peut entraîner des conséquences graves.
Alors, faut-il abandonner Telegram ?
Pas forcément, mais :
- Ne considérez pas Telegram comme une messagerie totalement sécurisée.
- Privilégiez les alternatives comme l’utilisation de PGP combiné a TOR, Signal ou Matrix pour des conversations ultra-sensibles.
- Évitez de partager des infos critiques dans des chats non E2EE.
- Soyez prudent avec les bots, groupes publics et fichiers partagés.
Votre avis ?
Vous avez remarqué d’autres failles ou avez des conseils à partager ? Je suis curieux de voir vos retours et vos expériences avec Telegram ! 
Tu as raison, l’utilisation d’un proxy Tor avec un numéro éphémère est une excellente idée pour renforcer l’anonymat, malheureusement peut pratique d’avoir une numéro éphémère. Comme tu dis, le choix des outils dépend vraiment du contexte et du niveau de risque.