Что это значит?

Question

[Kingdomofcrookedmirror]

В телеграм знакомый прислал файл svg. Якобы это логотип. При нажатии на файл появилось такое сообщение:



В телеграме так просто можно определить ip у контакта?

Comments

[Владислав Лысков]

ну скачайте, откройте в любом текстовом редакторе и посмотрите что там

Answer 1

[va_k]

Возможно тот же механизм, что и html письмами. Вы открываете такое письмо в этом письме есть ссылки на ресурсы которые подгружаются при открытии письма. Сервер на котором находятся эти ресурсы фиксирует доступ, и соответственно как минимуму получает ip.

Comments

[Kingdomofcrookedmirror]

То есть через обычный svg файл, который собеседник прикрепил в чате, можно внедрить функцию определения ip? Или телеграм всегда выдает предупреждение при открытии любых svg?

[Rsa97]

Kingdomofcrookedmirror, Не внедрить функцию, а заставить программу просмотра сделать запрос какого-то элемента SVG (например, image) по ссылке с внешнего сервера.

[va_k]

Kingdomofcrookedmirror, телеграм клиент предупреждает, что для отображения файла(рендеринга) ему возможно придётся обратиться к внешним источникам и эти источники могут узнать адрес клиента. В почте также, почтовый клиент не рендерит письмо если не нажать доверять содержимому.

[Сергей П]

SVG внутри мало чем отличается от html. Документ svg может дозагружать дополнительный контент из интернета.
Это значит, что технически специально для вас (или не специально) можно сделать такой svg-файл, который вынудит ваш браузер обратиться к серверу злоумышленника, чтобы запросить с него какой-то фрагмент картинки. При этом сервер злоумышленника получит ip-адрес вашего браузера.
Если это просто анонимная картинка в инете или в каком-то публичном месте, то ничего, видимо, страшного, от этого не будет. Не больше, чем при открытии страниц в интернете.
Но этот механизм может быть использован чтобы целенаправленно частично деанонимизировать вас.
Например, вы вступили через телеграмм в словесную баталию с жуликом, или в каком-нибудь чате троллите публику. Если кто-то захочет вас найти, он может сделать svg и дать вам его открыть (не важно как, телеграмм тут ни при чем, это лишь способ доставки). Если этот svg откроют не миллионы анонимных людей примерно одновременно, а конкретно вы после того как вам кинули на него ссылку, ваш ip будет получен сервером злоумышленника.
Телеграм, похоже, пытается защитить вас от такого неочевидного для многих соц-инженеринга. Телеграм тут, кстати, наоборот, красавец и ведёт себя лучше чем почтовый клиент или любой другой мессенджер.

[Сергей delphinpro]

SVG внутри мало чем отличается от html.

Уточняю. Вообще ничем не отличается. По сути оба формата - наследники xml

вынудит ваш браузер обратиться

Уточняю - ваш просмотрщик. Это не обязательно браузер. Любая программа для просмотра картинок в вашей системе. Включая проводник.

Телеграм тут, кстати, наоборот, красавец и ведёт себя лучше чем почтовый клиент или любой другой мессенджер.

Без уточнений. телеграм - красавчик. Хотя почтовики всякую хрень и кидают в спам без ссылок, предупреждений подобных не выдают.

Answer 2

[kalapanga]

Дело не в Телеграме, а в svg. Посмотрите примеры того, что можно сделать с помощью svg-файла здесь: https://habr.com/ru/companies/pvs-studio/articles/...
А предупреждение это воспринимайте так: "Вы доверяете файлу, полученному из этого источника?"

Comments

[Сергей delphinpro]

Лучше так: Скачать можно, но при открытии вас могут засечь.

[Prg]

Спорная ситуация, телеграмм не только на svg так реагирует но и на html (лично на моей практике).

[kalapanga]

Prg, ну так и правильно делает. Опасности в данном случае примерно одинаковые.

Answer 3

[Prg]

Ваша безопасность, говоря простым языком кто-то присылает вам файл, а в нем не известно что. Да понятное дело что это svg, но сейчас такое время, всякие манипуляции с вирусологией к чему только не приводят. Если вы доверяете тому источнику от куда был получен файл - можете открыть. Если нет - понятное дело не стоит.

Answer 4

[CityCat4]

svg - текстовый файл, в который очень просто вставить обращение к контролируемому сайту (даже безрезультатное, главное - строчка в логе).