Возможно тот же механизм, что и html письмами. Вы открываете такое письмо в этом письме есть ссылки на ресурсы которые подгружаются при открытии письма. Сервер на котором находятся эти ресурсы фиксирует доступ, и соответственно как минимуму получает ip.
То есть через обычный svg файл, который собеседник прикрепил в чате, можно внедрить функцию определения ip? Или телеграм всегда выдает предупреждение при открытии любых svg?
Kingdomofcrookedmirror, Не внедрить функцию, а заставить программу просмотра сделать запрос какого-то элемента SVG (например, image) по ссылке с внешнего сервера.
Kingdomofcrookedmirror, телеграм клиент предупреждает, что для отображения файла(рендеринга) ему возможно придётся обратиться к внешним источникам и эти источники могут узнать адрес клиента. В почте также, почтовый клиент не рендерит письмо если не нажать доверять содержимому.
SVG внутри мало чем отличается от html. Документ svg может дозагружать дополнительный контент из интернета.
Это значит, что технически специально для вас (или не специально) можно сделать такой svg-файл, который вынудит ваш браузер обратиться к серверу злоумышленника, чтобы запросить с него какой-то фрагмент картинки. При этом сервер злоумышленника получит ip-адрес вашего браузера.
Если это просто анонимная картинка в инете или в каком-то публичном месте, то ничего, видимо, страшного, от этого не будет. Не больше, чем при открытии страниц в интернете.
Но этот механизм может быть использован чтобы целенаправленно частично деанонимизировать вас.
Например, вы вступили через телеграмм в словесную баталию с жуликом, или в каком-нибудь чате троллите публику. Если кто-то захочет вас найти, он может сделать svg и дать вам его открыть (не важно как, телеграмм тут ни при чем, это лишь способ доставки). Если этот svg откроют не миллионы анонимных людей примерно одновременно, а конкретно вы после того как вам кинули на него ссылку, ваш ip будет получен сервером злоумышленника.
Телеграм, похоже, пытается защитить вас от такого неочевидного для многих соц-инженеринга. Телеграм тут, кстати, наоборот, красавец и ведёт себя лучше чем почтовый клиент или любой другой мессенджер.
Дело не в Телеграме, а в svg. Посмотрите примеры того, что можно сделать с помощью svg-файла здесь: https://habr.com/ru/companies/pvs-studio/articles/...
А предупреждение это воспринимайте так: "Вы доверяете файлу, полученному из этого источника?"
Ваша безопасность, говоря простым языком кто-то присылает вам файл, а в нем не известно что. Да понятное дело что это svg, но сейчас такое время, всякие манипуляции с вирусологией к чему только не приводят. Если вы доверяете тому источнику от куда был получен файл - можете открыть. Если нет - понятное дело не стоит.
Простой
