論文の概要: TENET: Telegram Mini App (in)security
- arxiv url: http://arxiv.org/abs/2608.17538v1
- Date: Tue, 18 Aug 2026 08:59:03 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-19 21:40:53.279038
- Title: TENET: Telegram Mini App (in)security
- Title（参考訳）: TENET:Telegram Miniアプリ(セキュリティ上)
- Abstract要約: 多くのMini Appsは認証資料を保存し、ユーザーを不正アクセス、偽造、金銭的搾取にさらしている。
TENETは,設計決定を対象とする秘密の構造的特性に基づいて行う,汎用的な監査ツールである。
我々は,Telegramプラットフォーム開発者とサードパーティのMini Appクリエータに対して,緩和策とベストプラクティスを提案する。
- 参考スコア（独自算出の注目度）: 2.1793134762413433
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Telegram, with over 450 million daily active users, has introduced Mini Apps---web-based applications running directly within its client. However, this integration introduces notable security risks. As we demonstrate, many Mini Apps store authentication materials---such as session tokens and wallet mnemonic phrases---in plaintext on client devices, exposing users to unauthorized access, impersonation, and financial exploitation. While insecure client-side storage is a known risk in web applications, the Telegram Mini App ecosystem presents a uniquely dangerous combination of factors absent from prior work: no platform-level security review, no storage access restrictions, a financially motivated user base handling live cryptocurrency assets, and a WebView environment that offers weaker protections than standalone browsers. To investigate this threat, we present TENET, a purpose-built auditing tool whose design decisions---pattern selection, entropy thresholds, and charset validation---are grounded in the structural properties of the secrets targeted and empirically validated against a ground-truth dataset. We screened 61 Mini Apps using a stratified, popularity-weighted sampling strategy based on popularity. Of the 37 applications that met our processing criteria and were analyzed, 30 exhibited security flaws, which we classify into three severity tiers: plaintext storage, recoverable encryption, and replayable tokens. Notably, even Telegram's official Wallet exhibits a severe vulnerability that may lead to full account compromise. Following our responsible disclosure, Telegram implemented two new secure-storage APIs, and our post-remediation verification confirmed that its official Wallet no longer exposes the recovery mnemonic in plaintext. Finally, we propose mitigation measures and best practices for both Telegram platform developers and third-party Mini App creators.
- Abstract（参考訳）: Telegramは毎日4億5000万以上のアクティブユーザーを抱えており、クライアント内で直接動作するウェブベースのアプリケーションであるMini Appsを導入した。
しかし、この統合は顕著なセキュリティリスクをもたらす。
デモしたように、Mini Appsには、セッショントークンやウォレットのネモニックなフレーズなど、多くの認証資料が格納されています。
セキュアでないクライアントサイドストレージはWebアプリケーションでは既知のリスクであるが、Telegram Mini Appエコシステムは、プラットフォームレベルのセキュリティレビューなし、ストレージアクセス制限なし、ファイナンシャルに動機付けられたユーザベースによるライブ暗号資産処理、スタンドアローンブラウザよりも弱い保護を提供するWebView環境など、以前の作業から欠落する要因のユニークな危険な組み合わせを提示している。
この脅威を調査するため、TENETは、パターン選択、エントロピーしきい値、シャーセットバリデーションといった設計上の決定を、地中構造データセットに対してターゲットとし、実証的に検証されたシークレットの構造的特性に基づいて行う、目的化された監査ツールである。
61のMini Appsを、人気に基づいて、階層化され人気度の高いサンプリング戦略を使ってスクリーニングした。
処理基準を満たして分析された37のアプリケーションのうち、30のセキュリティ欠陥は、プレーンテキストストレージ、復元可能な暗号化、再生可能なトークンの3つの重大層に分類されている。
特に、Telegramの公式Walletでさえ、アカウントの完全な妥協につながる深刻な脆弱性を示しています。
我々の責任を負った開示の後、Telegramは2つの新しいセキュアストレージAPIを実装しました。
最後に,Telegramプラットフォーム開発者とサードパーティのMini Appクリエータに対して,緩和策とベストプラクティスを提案する。
関連論文リスト
- Don't Trust the Super-App: A Case Study of Russia's Max [6.434185166424619]
Super-Appsは、サードパーティのミニアプリを1つのアプリ内でホストする。
悪質なスーパーアプリが、ミニアプリのセキュリティとプライバシーを静かに損なう能力を持っていることを示す。
論文 参考訳（メタデータ） (2026-09-10T17:08:00Z) - TeleGapper: On the (un)reliability of Privacy Policies in Telegram Mini apps [3.345437353879255]
Telegram Mini Appsは、Telegramクライアント内に埋め込まれたWebアプリケーションである。
採用の増加とTelegramが提供するコンテキストへのアクセスにもかかわらず、彼らのプライバシー特性はほとんど解明されていない。
我々は,Mini Appsのプライバシ姿勢を評価するブラックボックス動的解析フレームワークであるTeleGapperを提案する。
論文 参考訳（メタデータ） (2026-08-13T15:51:18Z) - Stealing Reasoning Traces from Proprietary LLM APIs [84.58379404903394]
我々は、暗号化された推論トレースのためのスケーラブルな復号化ジェイルブレイクを開発する。
抗蒸留機構を回避し、敵がプロプライエタリなモデルの推論を抽出できるようにする。
それは必然的に、推論プロセス内に隠された有害な情報を明らかにします。
論文 参考訳（メタデータ） (2026-08-10T17:24:50Z) - Bag of Tricks for Subverting Reasoning-based Safety Guardrails [62.139297207938036]
推論に基づくガードレールを覆い隠すジェイルブレイク手法の袋を提示する。
攻撃対象は白、グレー、ブラックボックスの設定で、無駄なテンプレート操作から完全に自動化された最適化までさまざまです。
論文 参考訳（メタデータ） (2025-10-13T16:16:44Z) - Synopsis: Secure and private trend inference from encrypted semantic embeddings [2.7998963147546148]
本稿では,メッセージ埋め込みを用いた協調型E2EEメッセージにおけるメッセージトレンド分析のためのセキュアなアーキテクチャであるSynopsisを紹介する。
このシステムの目的は調査ジャーナリズムであるため、Synopsisは探索的分析と目標分析の両方を促進する必要がある。
ヒンディー語のWhatsAppメッセージのデータセットによる評価は、我々のアプローチの効率性と正確性を示している。
論文 参考訳（メタデータ） (2025-05-29T17:34:10Z) - Layer-Level Self-Exposure and Patch: Affirmative Token Mitigation for Jailbreak Attack Defense [55.77152277982117]
私たちは、jailbreak攻撃から防御するために設計された方法であるLayer-AdvPatcherを紹介します。
私たちは、自己拡張データセットを通じて、大規模言語モデル内の特定のレイヤにパッチを適用するために、未学習の戦略を使用します。
我々の枠組みは、脱獄攻撃の有害性と攻撃の成功率を減らす。
論文 参考訳（メタデータ） (2025-01-05T19:06:03Z) - Beyond App Markets: Demystifying Underground Mobile App Distribution Via Telegram [23.638100691705482]
この研究は、Telegramの地下モバイルアプリエコシステムを包括的に調査した初めてのものである。
調査の結果,Telegramのユーザベースの1%に相当するサブスクリプションユーザ数の合計で,これらのアプリがTelegram上で著しく普及していることが判明した。
私たちの分析では、アプリの配布におけるiOS機能の誤用や、これらのアプリの悪意ある動作の頻度も明らかにしています。
論文 参考訳（メタデータ） (2024-08-06T23:55:39Z) - Non-Fungible Programs: Private Full-Stack Applications for Web3 [0.3683202928838613]
本稿では,自己完結型アプリケーションを開発するためのNFPモデルを提案する。
NFPアプリケーションは分散ブロックチェーンで、Webテクノロジをベースとし、スマートコントラクトのプライベートデータベースによってバックアップされる。
コードへのアクセスとバックエンドサービスへのアクセスは、NFTオーナシップモデルに従ってスマートコントラクトによって制御され、保証される。
論文 参考訳（メタデータ） (2024-04-24T03:46:18Z) - VELLET: Verifiable Embedded Wallet for Securing Authenticity and Integrity [0.6144680854063939]
本稿では,組込みウォレットの安全性を高めるための新しいプロトコルを提案する。
我々のVELLETプロトコルは、スマートコントラクト上で組込みウォレットの監査パスにマッチするウォレット検証を導入しています。
論文 参考訳（メタデータ） (2024-04-05T03:23:19Z) - CodeChameleon: Personalized Encryption Framework for Jailbreaking Large
Language Models [49.60006012946767]
パーソナライズされた暗号化手法に基づく新しいジェイルブレイクフレームワークであるCodeChameleonを提案する。
我々は、7つの大規模言語モデルに関する広範な実験を行い、最先端の平均アタック成功率(ASR)を達成する。
GPT-4-1106上で86.6%のASRを実現する。
論文 参考訳（メタデータ） (2024-02-26T16:35:59Z) - Backdoor Attack against Speaker Verification [86.43395230456339]
学習データを汚染することにより,話者検証モデルに隠れたバックドアを注入できることを示す。
また,既存のバックドア攻撃が話者認証攻撃に直接適用できないことも実証した。
論文 参考訳（メタデータ） (2020-10-22T11:10:08Z) - Mind the GAP: Security & Privacy Risks of Contact Tracing Apps [75.7995398006171]
GoogleとAppleは共同で,Bluetooth Low Energyを使用した分散型コントラクトトレースアプリを実装するための公開通知APIを提供している。
実世界のシナリオでは、GAP設計は(i)プロファイリングに脆弱で、(ii)偽の連絡先を生成できるリレーベースのワームホール攻撃に弱いことを実証する。
論文 参考訳（メタデータ） (2020-06-10T16:05:05Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。