Telegram 移动端应用可能通过快速代理设置链接泄露 IP 地址

一位安全研究员发现，Telegram 的移动端应用在用户点击快速代理设置链接时，并未对潜在的 IP 泄露风险进行提示。虽然对普通用户而言这算不得重大威胁，但对于那些担心被监视的人来说，这显然不可取。

核心问题

点击外部链接或不安全文件通常会触发警告弹窗。然而，点击快速代理设置链接的处理方式却截然不同：应用会立即尝试连接服务器以检查其可用性，这完全绕过了警告提示。

攻击者可以将此类链接伪装成用户名或其他超链接。一旦用户点击该链接，应用就会向攻击者控制的服务器发送请求，从而泄露用户的 IP 地址。

• 此问题仅影响 Android 和 iOS 客户端。
• @tginfo 团队独立确认，Telegram Desktop、macOS 版、Telegram X 及网页版均能安全处理此类链接，不会自动连接到代理服务器。

风险较低

需要指出的是，对大多数用户而言，这个问题并非致命。IP 地址通常仅能泄露用户的大致位置（城市级别），而且许多用户使用的是动态 IP。

Telegram 团队在过去曾经修复过类似的漏洞，如 EvilLoader。我们认为开发者可能会在即将到来的更新中禁用对格式化链接中打开的代理的自动检查功能。

对于那些对 IP 隐私要求极高的人，我们建议使用全局 VPN。这是防止应用中 IP 泄露的唯一可靠方法。

#security

Telegram 正在开发实验性 WEB 代理

在 Telegram Desktop 的代码中，发现了一种名为“WEB”的新型实验性代理类型。该发现由 teleLakel 公布。

WEB 代理的服务器代码仍在开发中，Telegram 尚未认可任何实现方案，因此目前暂时无法尝试这项技术。

为什么需要这种代理，而不是直接使用 MTProxy？

现有的 MTProxy 也可以通过 FakeTLS 扩展来伪装成 HTTPS 流量。然而，现代深度包检测 (DPI) 系统已经能够识别这些连接，因为 FakeTLS 仍然与真实的 HTTPS 流量存在一些外部可观察到的差异。

新的 WEB 传输方式使得检测变得更加困难：为了与服务器通信，客户端使用内置的浏览器 (WebView)。它使用浏览器的标准加密机制建立真实的 TLS/HTTPS 连接，这使得 Telegram 流量看起来与普通的网页浏览流量更相似。

工作原理

• 客户端使用隐藏的浏览器，打开代理服务器域名下的一个特殊页面。
• 该域名也可以继续作为常规网站运行。隐藏的 Telegram 信道仅在请求包含正确的密钥时才会激活。
• 在该 Web 信道内部，加密的 MTProxy 流量被封装成 WEB 代理的数据帧，并发送到代理服务器。目前，该过程通过 WebSocket 实现。
• HTTP/WebSocket 流量被重新封装，并在无需解密其中 MTProxy 流量的情况下转发至 MTProxy 服务器。

此功能目前仍在持续开发中，因此协议可能会在正式发布时发生变化。

独立的 Telemt 社区正在研究具有抗检测能力的协议。此前，得益于该社区对俄罗斯 DPI 系统的研究，Telegram 的开发者更新了客户端中的 MTProxy，以应对新的检测方法。

该社区指出，Telegram 应该投入更多精力来开发新的抗审查方法。如果 Telegram 不继续改进新的 WEB 代理，它未来可能会失效——即使在真实的 TLS 连接中，如果不采用额外的流量伪装措施，Telegram 流量本身仍可能存在足以暴露其身份的独特特征。

#Desktop #proxy #bans