«Сегодня российские власти пытались взломать четырёх журналистов, освещающих протесты в Екатеринбурге. К счастью, все эти попытки провалились из-за двухэтапной аутентификации, — написал он в своём телеграм-канале. — Это служит напоминанием о том, что авторитарные правительства не остановятся ни перед чем, чтобы нарушить конфиденциальность своих граждан. Мы настоятельно призываем пользователей в таких странах дважды проверить наличие двухэтапной проверки. Оставайтесь в безопасности и будьте сильными!»
О попытке взлома сообщил утром 25 мая шеф-редактор издания Znak.com Дмитрий Колезев: «Какие-то добрые люди пытались ночью получить доступ к моему аккаунту в Telegram (с испанского айпишника). Но споткнулись о двухэтапную аутентификацию. Передаю им привет. (Кстати, можете сильно уж не стараться, там ничего особо интересного)», — написал он. Согласно опубликованному скриншоту, злоумышленники верно ввели код из SMS, а вот узнать пароль для двухфакторной авторизации не смогли.
Позже добавил, что неизвестные также пробовали взломать аккаунты главного редактора нижнетагильского агентства «Между строк» Натальи Вахониной, создателя Telegram-канала «Главный канал Екатеринбурга» Андрея Варкентина и главного редактора Ura.ru Антона Ольшанникова.
О попытке взлома аккаунтов в Telegram с испанского ip-адреса также рассказали директор коммуникационного агентства Magic Inc. Платон Маматов, журналист «Медузы» Дмитрий Андреев и корреспондент «МБХ медиа» и «Радио Свобода» в Псковской области Людмила Савицкая.
Перехват SMS
Для российских властей не составляет труда узнать код, который отправляется по SMS. Ещё в 2016 году Павел Дуров предупредил пользователей, что авторизация по SMS в мессенджере Telegram скомпрометирована. «Судя по всему, спецслужбы РФ решили начать давить на операторов связи, чтобы те стали осуществлять перехват авторизационного SMS-кода. Обычно такое встречается только в рамках людоедских, не заботящихся о своей репутации режимах — средняя Азия, иногда Ближний Восток. Но внезапно случилось в России (если, конечно, отсечь коррупцию внутри МТС)», — написал Павел Дуров и пообещал сделать рассылку для всех пользователей с советом включить двухфакторную авторизацию, так как операторы связи РФ как верификатор ненадёжны.
Это предупреждение Павел Дуров опубликовал после того, как один из пользователей Telegram Сергей Пархоменко подробно описал, как злоумышленникам удалось уничтожить его аккаунт, на котором была включена двухфакторная аутентификация: «На телефон внезапно посыпались один за другим коды для доступа к аккаунту, которые я не запрашивал. Потом при попытке войти в свой аккаунт мне предложили сделать это так, как будто это происходит в первый раз. В открывшемся интерфейсе обнаружилось, что вся история переписки, все чаты, все контакты исчезли. Аккаунт оказался новым, как бы девственно чистым, — рассказал он. — Среди открытых сессий обнаружилась одна — сделанная с постороннего компьютера (у меня нет ни одного PC)».
После общения с техподдержкой Telegram Сергею Пархоменко удалось узнать некоторые подробности о взломе своего аккаунта Telegram. Во-первых, злоумышленники действительно получили доступ к SMS-сообщениям жертвы через провайдера МТС. Взломать аккаунт они не смогли, потому что не знали пароля. Но зато в Telegram существует уязвимость в безопасности, которая позволяет удалить аккаунт и открыть вместо него новый только по SMS, что и сделали злоумышленники. Представители Telegram закрыли уязвимость в течение нескольких дней.
Позже компания Positive Technologies опубликовала на Хабре инструкцию, как провести атаку через протокол сотовой связи SS7, чтобы получить доступ к чужому аккаунту Telegram.
Минутка заботы от НЛО
Этот материал мог вызвать противоречивые чувства, поэтому перед написанием комментария освежите в памяти кое-что важное:
Как написать комментарий и выжить
- Не пишите оскорбительных комментариев, не переходите на личности.
- Воздержитесь от нецензурной лексики и токсичного поведения (даже в завуалированной форме).
- Для сообщения о комментариях, нарушающих правила сайта, используйте кнопку «Пожаловаться» (если доступна) или форму обратной связи.
Что делать, если: минусуют карму | заблокировали аккаунт
> Кодекс авторов Хабра и хабраэтикет
> Полная версия правил сайта
Комментарии (94)
ProRunner
26.05.2019 12:18-3Позже компания Positive Technologies опубликовала на Хабре инструкцию, как провести атаку через протокол сотовой связи SS7, чтобы получить доступ к чужому аккаунту Telegram.
По ссылке:
После ввода кода мы получаем полноценный доступ к аккаунту Telegram. Теперь мы можем не только вести переписку от имени жертвы, но и прочитать всю переписку, которую клиент Telegram любезно подгружает (телефон справа имеет полную копию переписки телефона слева)
А теперь вспомним сколько громких слов Дуров говорил о яковы полной незащищенности вотсаппа по сравнению с телеграммом. А правда-то вот она. Пока телеграмм по умолчанию не включит сквозное шифрование для всех сообщений (или опять же по умолчанию не заставит всех пользователей включить двухэтапную аутентификацию) — полный пшик эта ваша безопасность.
После этого мы провели атаку по той же схеме на WhatsApp. Доступ к аккаунту мы конечно же получили, но так как WhatsApp (якобы) не хранит историю переписки на сервере, получить доступ к переписке, которая была ранее, не удалось.
emkh
26.05.2019 12:27Вроде как появились секретные чаты, которые не перекидываются между устройствами.
Num
26.05.2019 13:26+1А вы точно статью читали?
Согласно опубликованному скриншоту, злоумышленники верно ввели код из SMS, а вот узнать пароль для двухфакторной авторизации не смогли.
ProRunner
26.05.2019 13:38+1Проблема в том, что это требует дополнительных действий пользователей. Что открытие секретных чатов, что включение двухэтапной аутентификации. Я уверен, что у большая часть пользователей не пользуется ни тем, ни другим (если есть какая-то статистика, которая это опровергает, я буду рад ошибиться).
Как я и говорю, перед тем как поливать грязью конкурентов, пусть защищающие ваших пользователей опции будут включены по умолчанию (как у того же WhatApp).Num
26.05.2019 13:43+4Обычного пользователя «по умолчанию» взламывать и не будут.
Именно поэтому телега и не включает секретные чаты (от которых, напомню, в вотсапе бэкапы хранились плэйн текстом) по умолчанию, потому что обычному пользователю это неудобно (нужно бэкапить и нет синхронизации между устройствами), но дает опцию тем, кому нужно, этим воспользоваться.
И в вотсапе, если я не ошибаюсь, вообще нельзя защитить паролем чаты.
stork_teadfort
26.05.2019 15:49Ага, а в Вотсапе по умолчанию включен бэкап всех сообщений и медиа в облако. И при новой установке любезно подтягивается. А так да, конечно, "переписка не хранится на сервере".
ferosod
26.05.2019 12:19+1Интересно, почему Дуров решил, что за взломом стоят власти?
AllexIn
26.05.2019 12:48-1А у кого еще есть доступ к перехвату СМС?
TimsTims
26.05.2019 12:51+1У инженеров ОСС ?
AllexIn
26.05.2019 12:54+7И они бы им воспользовались чтобы… что?
TimsTims
26.05.2019 17:58Вопросы был А у кого еще есть доступ к перехвату СМС (кроме властей)?. Я и ответил — у инженеров ОСС. Вопрос мотива не прозвучал в вашем вопросе, но ваши наводящие вопросы честно говоря бесят, вместо того, чтобы сразу раскрыть мысль.
Ваш второй вопрос, предполагаю звучит так: «Какой может быть мотив у инженера ОСС взламывать и перехватывать СМС оппозиционеров?»
И если это так, то отвечаю: какой угодно может быть мотив. Начиная от личной неприязни, заканчивая тем, что местный политик забашлял этому инженеру сделать такой поступок. А может этот инженер топит за строительство храма, и хочет помешать оппозиции освещать эти события. Далее, в первую очередь, от оппозиционеров подгорает у местных властей, и уже во вторую — подгорает где-то у кого-то в Москве. И выгодней всего то такого взлома будет местным ребятам, а не лично Путину. Смотрите шире, допускайте разные варианты, а не самые очевидные.
Offtop: недавно вышел КВН, и ваше «чтобы… что?» прямо из этой несмешной сценки: youtu.be/8Il_ojvpe-0?t=3563A1054
26.05.2019 18:32+2В принципе да, пытаться взломать через перехват SMS может инженер на почве личной неприязни. или любовница, тоже имеющая доступ к SMS.
Но когда одновременно пытаются взломать эккаунты нескольких людей, которых что-то объединяет, но Оккам подсказывает, что это не 4 любовницы, и не 4 инженера.
AllexIn
26.05.2019 18:33Допускаю разные варианты. Это не отменяет самый очевидный.
Местная власть или не местная — значения не имеет. Имеет значения факт перехвата смс властями.
Задавать вопросы напрямую бессмысленно. Будет ответ типа вашего. Поэтому и задаются вопросы наводящие, чтобы подчеркнуть необоснованность идеи.
Может марсиане гиперлучом взломать телегу пытиались. А что, не может? Может. Но власти вероятнее. Ну а если вдруг это не власти — хотелось бы чтобы власти разобрпались каким образом произошел перехват смс и виновных наказали. Чтобы доказать простым людям, что это не они. Ну и ради того, чтобы закон соблюдался.
rkuvaldin
26.05.2019 13:16+5Технически — у любого, кто смог сделать копию симки. Теоретически, с появлением e-sim это можно сделать чисто программными средствами.
null3r
26.05.2019 13:48-3Доказательств у него нет разумеется и не будет.
Просто Дуров конечно воспользовался такой PR возможностью) он же не так давно задвигал целый опус про конфиденциальность :) а это очень удачно вписалось в «продолжение».
legolegs
26.05.2019 13:17+8Ну да, почему бы в здравом уме и трезвой памяти не сделать мессенджер, полагающийся на надёжность и порядочность ОПСОСов? По всему миру это самые честные, альтруистичные организации, не замешанные в тухлых схемах, монопольных сговорах, в бегании на задних лапках перед госчиновниками и с неуязвимой для взломщиков инфраструкторой S7 и проч. Что может пойти не так?
Popadanec
26.05.2019 13:34+1У ОПСОСов в государствах с людоедским режимом, тоже выбора не особо много. Либо подчиняйся властям. Либо отберём лицензию.
Предложите свой, удобный и понятный большинству способ авторизации и привязки аккаунта.
Мыло гораздо проще угнать, чем переоформить симку(что уголовно наказуемо).legolegs
26.05.2019 13:58Симку не обязательно переоформлять (хотя компетентные органы и это могут). На симки куча атак, начиная с физического воровства телефона.
green_tree
26.05.2019 15:36Ну если у вас почта имя.фамилия@мейл.ру и пароль 1111, то да. А вообще почту можно сделать отдельную, чисто для регистрации в мессенджере и никому этот адрес не говорить (это как минимум). Плюс выше в комментах указали преимущества почты
Popadanec
27.05.2019 13:37Преимущества быстро превращаются в минусы. Если угнали/подобрали пароль от почты, то всё что на неё завязано можно потерять. Это можно делать незаметно, долго, да и к тому же трудно доказуемо(если предпринимались хоть минимальные меры защиты).
Переоформление симки и воровство телефона(который так же нужно вскрыть) уголовно наказуемо и просто так таким заниматься не будут. Т.е. если атака и будет, то целенаправленная(к примеру шпионаж или как в публикации воровство).
Остальные же по принципу «неуловимого Джо». Неуловимого, потому что никому особо не нужны.
Про удобство и говорить нечего. Что проще: получить смс или зайти в браузер, перейти в почтовый сервис, авторизоваться, вспомнить пароль, дождаться пока придёт сообщение(а почта порой заметно медленней работает), скопировать от туда код, перейти в приложение, матюкнутся т.к. вышло время ответа, повторно отправить код стараясь сделать всё быстрей(а это не всегда возможно, т.к. телефоны у части населения старые и тормозящие).
95 из 100 однозначно в таких условиях выберут смс.green_tree
27.05.2019 13:46Как-то странно вы почтой пользуетесь.
А про симки я уже где-то тут писал: они завязаны на жадных опсосов, если вы из страны не выезжаете, то наверное проблем нет. А роуминг? Въезжаешь так в какую-нибудь страну, а ваш оператор не работает тут и всё.
Плюс с симками (не конкретно к телеграмму это) ещё у разных сервисов аллергия на разные коды стран. Нельзя зарегистрировать что-нибудь на симку с тайскими номером например, покупай новую в ЕС. Дурдом, держишь потом зоопарк симок из разных стран. А у них ещё срок действия есть, приходится ещё всякие смс отправлять с них самому себе каждые 3-6 месяцев, чтобы эту симку не отобрали.
Короче, кто придумал эту регистрацию по смс без реального на то повода (ведь можно было бы сделать по человечески), желаю им всем в специальном котле вариться.
fdroid
26.05.2019 16:30Мыло гораздо проще угнать, чем переоформить симку
это ещё зависит от мыла. Если e-mail на каком-нибудь яндексе или майл.ру, то да. Но удачи угнать мыло на том же fastmail.com или protonmail.com.
boingo-00
26.05.2019 18:30И много простых юзверей условного вацапа будет заводить почту на протонмейле со сложным паролем и 2FA? Что-то мне подсказывает, что никто
Да, рега по телефону в телеге это огромный минус, мне очень нравится идея матрикса: придумываешь логин/пароль, и при желании указываешь номер или мыло, которые нужны чисто для сброса пароля
Хотя… Обычные пользователи обычно не могут придумать себе логин И ПАРОЛЬ. У меня часто просят: сделай мне учетку там-то, пароль сам придумай, зачем он мне нужен" (я немного утрировал, но суть именно такая была
Так что особо выбора не остается: номер телефона точно есть, одноразовый пароль сгенерим и отправим юзеру
inkelyad
26.05.2019 20:19Предложите свой, удобный и понятный большинству способ авторизации и привязки аккаунта.
Если выкинуть желание привязать пользователя месседжера к одному ограниченному (и потому ценному и хорошо отслеживаемому) ID для коммерческой слежки, использование телефонного номера и SMS решает задачу восстановления пароля. Предлагать всем бакапить пару логин/пароль — глупо. Как мы знаем, с ними не получается даже у тех, кому по штату положено этим заниматься. Обычный же человек тем более не сможет. Значить, технология не должна требовать бакапа как такого или он должен быть в нее встроен.
Возможное решение — использование разделяемого секрета/авторизации, а именно:
Сначала — схема "2-из-3". Простая, удобная и потому местами не слишком безопасная но как раз понятная большинству.
- У человека имеется неограниченное число залогиненных в аккаунт устройств.
- Каким то из них (до трех штук) назначается статус ключевого. Если таких меньше трех — то дополнительно создаются отдельные (которые хранятся отдельно в разных местах) коды входа или токены генерации одноразового пароля. Таким образом у человека всегда имеется три ключевых артефакта в любой комбинации от трех залогиненных устройств до трех бумажек.
Чтобы просто залогинить новое устройство в чат человек сделать одно из двух:
Просто прочитать одноразовый и короткоживущий код входа с уже подключенного (любо любого, либо в качестве варианта — обязательно ключевого) устройства.
Удобство: хорошее. Если есть под рукой залогиненное устройство, то мы быстро и просто добавляем/переносим вход на новое.
Безопасность: С точки зрения большинства не страдает, так как если злодей одним устройством уже владеет — он уже у нас всю переписку из истории прочитал.
любо
ввести код входа с одной из бумажек/код из генератора OTP
Удобство: чуть хуже, но привычно. Вариант по использованию эквивалентен обычному входу по логину и паролю.
Безопасность: тоже хуже но тоже привычно. Бумажку/токен (так же как обычные логин-пароль) можно украсть и воспользоваться ими без желания владельца.
В любом случае новое залогиненное устройство статуса ключевого не имеет, контроля над учеткой не дает и человек получает сообщение о новом устройстве на все свои остальные.
У ключевых артефактов прав больше (каких именно добавляются — по вкусу разработчика) но самое главное, что именно они совместно контролируют и определяют учетку. Если мы понимаем что какой либо код входа или какое-нибудь ключевое устройство утеряны или скомпрометированы, то мы заменяем потерю оставшимися двумя. Т.е. чтобы назначить устройство ключевым или сгенерировать новый код/токен входа (старые устройство или код становятся при этом бесполезными) можно:
- Запустить процедуру на одном ключевом и подтвердить ее на другом ключевом;
- либо начать замену на ключевом устройстве и ввести на нем же один из кодов;
- либо начать замену на любом устройстве и ввести оба кода доступа.
В итоге получаем, что мы обезопасились от потери одного ключа (используем два оставшихся, чтобы его восстановить). И злодею нужно украсть два ключа (а храним мы все в разных местах), чтобы лишить нас доступа к учетке.
Кому всего этого мало, пользуются более сложной схемой — 3-из-5. Сложнее в использовании, но тоже достаточно понятная.
Тут имеется пять ключевых артефактов (залогиненное ключевые устройства, генераторы одноразовых паролей, коды доступа) в подходящих комбинациях. Скажем, вариант "приложение чата в десктопе на работе + приложение в десктопе дома + приложение в телефоне + помним один код + еще один распечатан и спрятан на даче" вполне осуществим и понятен.
Просто вход в учетку, соответственно, подтверждается уже двумя артефактами
- Код с уже подключенного устройства + код с токена генерации одноразового пароля
Это, кажется, самый удобный вариант входа - код с уже подключенного устройства + любой резервный код
- на произвольном устройстве вводим два одноразовых пароля с разных токенов
- на произвольном устройстве одноразовый пароль + любой резервный код
Это совпадает по использованию с обычной схемой пароль + одноразовый пароль - на произвольном два резервных кода
Для восстановления утраченного ключевого артефакта — используется три из оставшихся
- Начинаем на ключевом устройстве и подтверждаем двумя одноразовыми паролями с разных токенов
- Начинаем на ключевом устройстве и подтверждаем одноразовым паролем + резервный код
- Начинаем на ключевом устройстве и подтверждаем двумя резервными кодами
…
Ну, вы поняли.
... - На произвольном устройстве вводим два резервных кода + одноразовый пароль
- На произвольном устройстве вводим три резервных кода.
В результате — чтобы просто залогинится, нужно два ключа/фактора. Можно утратить любые два и это не приведет к потере учетки — они восстанавливаются оставшимися тремя. Злодею нужно украсть уже три ключа, чтобы лишить нас доступа к учетке.
Теперь обращаем внимание на то, что в обоих предложенных схемах простой пары логин/пароль, которые можно украсть и потеря которых фатальна — просто нет. Вот как применять криптографию, чтобы где-нибудь не было одного (невидимого для пользователя) мастер-ключа, которого достаточно, чтобы завладеть учеткой — надо думать.
tcapb1
26.05.2019 20:41Я думаю, значительная часть пользователей Telegram использует его на одном устройстве: своём мобильнике. Это у меня мобильник+планшет+десктоп дома+ноут+десктоп в офисе, и для меня такая схема вполне подходит. Но не думаю, что я — репрезентативная выборка.
inkelyad
26.05.2019 20:47Для таких подойдет вариант 2-из-3 в формате "мобильник + два резервных кода в разных местах".
Barafu_Albino_Cheetah
27.05.2019 10:47Предлагаю: оставить всё, как есть сейчас у телеги, но после создания аккаунта, после первого захода в него, в настройка аккаунта должна быть опция отвязать телефон и привязать TOTP или мыло. Всё, вопрос решён.
Popadanec
27.05.2019 13:15Минусующие в карму, разворачиваю мысль для вас, как особо одарённых. Я в этом комменте не касаюсь других сторон ОПСОСов и ни в коем случае не защищаю этих мошенников.
Я говорю лишь про то что либо ты подчиняешься властям, либо никакого бизнеса в России. Здесь вам нетамСША, где за такой фокус на ОПСОС(а то и на государство) подадут в суд и выиграют пару миллионов компенсации.
У нас(в России) в суде против государства можно разве что штраф оспорить и то в случае явных проколов с их стороны. И то лишь на сумму штрафа. У нас, если человек попал в СИЗО, предпочитают доводить дело до конца(устраивая порой театр абсурда), т.к. иначе ему придётся заплатить за каждый проведённый там день(и то копейки) и лишится премии.
multiadmin
26.05.2019 14:20+2… Это служит напоминанием о том, что авторитарные правительства не остановятся ни перед чем...
Минутка заботы, что бы освежить память…
… После отъезда из России Дуров неоднократно выступал на технологических конференциях в США, но остаться в Штатах навсегда не захотел, аргументировав это тем, что ему не нравится настойчивый интерес к Telegram cо стороны американских спецслужб…
… В сентябре 2017 года в одном из интервью Дуров рассказал, что начиная с 2014 года сотрудники ФБР и AНБ не раз пытались наладить с членами команды Telegram «неформальные отношения», а в 2016 году во время посещения конференции Google I/O в Сан-Франциско сотрудники ФБР приехали к Дурову в гостиницу и произнесли 20-минутную речь о важности такого сотрудничества...
И далее:
… Именно в Дубае, точнее в свободной экономической зоне Dubai Media City, расположился офис Telegram…
… Дубай — эмират в ОАЭ, представляет собой государство — абсолютную монархию…
… Мохаммед ибн Рашид Аль Мактум — эмир Дубая, премьер-министр и вице-президент Объединённых Арабских Эмиратов с 2006 года…
… Личное состояние Шейха Мохаммеда ибн Рашид Аль Мактума на 2015 год оценивается более чем в 4 миллиарда долларов…
… За приставание к женщине можно получить наказание в виде ударов плетьми…
… Будьте осторожны с фотографированием зданий. Они могут оказаться объектами государственной важности, и вы будете уличены в шпионаже…
… Не стоит проявлять своих чувств в общественных местах и на глазах у окружающих. Если полицейские заметят целующуюся парочку, влюбленные тут же отправятся в тюрьму...mmmm1998
26.05.2019 15:23+1Ну, может решил, что эмираты не заинтересует какой-то там «месседжер», как не входящий в их зону внимания, например, (допущение) мало используемый на их территории.
multiadmin
26.05.2019 15:56+3Так естественно.
Главное, не действовать во вред Эмиратов, какими бы страшными не были там законы и люди у власти, и все будет чики-пуки!
Краткий ликбез по ОАЭ: Права человека в Объединённых Арабских Эмиратах
yefrem
27.05.2019 20:59Подозреваю, что содержать офис в Sealand было бы немного неудобно, потому пришлось выбирать меньшее из всех остальных зол.
engine9
29.05.2019 12:18>Если полицейские заметят целующуюся парочку, влюбленные тут же отправятся в тюрьму...
Это преувеличение, в Абу Даби геи ходят за ручку и чмокаются на набережной, девки щеголяют в миниюбках формата «чуть прикрыты полупопия», подростки (арабские причем) в майках с листьями конопли. Всем пофиг.multiadmin
29.05.2019 13:41Ну слава богу! Значит, с правами человека, свободой слова и критикой власти у них все отлично!
1c80
26.05.2019 17:12интересно а как у microsoft с надежностью почты? вроде они раньше не особо велись на всякие запросы, а как сейчас с этим, может кто знает?
ZoomLS
26.05.2019 17:54вроде они раньше не особо велись на всякие запросы
Мелкомягкие то? Они сливают всю инфу о пользователе, при первом же запросе. А теперь с телеметрией(кстати, хорошее и нейтральное название придумали для слежки), по всей видимости — даже без запросов.
A1054
26.05.2019 18:35Во время регистрации SMS может быть удобнее провайдеру для борьбы со спамом.
Но почему для авторизации, когда человек уже зарегистроировался, не использовать (по желанию, конечно) TOTP и в качестве резерва почту или одноразовые коды, не понятно.
И для восстановления эккаунта тоже.
QDeathNick
27.05.2019 09:14Ставят перед фактом вместо того чтобы давать выбор.
Как в случае с удалением моих сообщений без моего ведома, так и в случае невозможности отключить телефон от учётки.
TonyLorencio
27.05.2019 09:54Я знаю единицы сервисов, где можно отключить второй фактор по смс, и оставить только TOTP + резервные коды.
Юзероориентированность
lavagod
26.05.2019 20:20Добавлю свои пять копеек про пользователей и защищенность.
Наблюдаю парадокс: есть мессенджер, который старается защитить переписку пользователя и есть пользователи, которые хотят защитить свои данные. При этом пользователю говорят: мессенджер пытаются взломать, мы советует сделать так-то и так-то… И вместо того, чтобы сказать спасибо и выполнить указания разработчиков (которые практически в одиночку бьются за наши данные, я других примеров не вижу в мире) пользователи начинают ныть, что это сложно, это трудно, это два раза надо мышкой кликать, пароли надо запоминать, почту свою надо беречь и проч.
Не получится, камарады, одновременно сделать две вещи, одна из которых это поедание рыбы… Хотите приватности — намечайте себе ее пределы, выполняйте инструкции и читайте новости. Простите за поучительный тон, но помните у Кэррола «тут чтобы оставаться на месте надо бежать со всех ног, а чтобы куда-то папасть — тут бежать надо вдвое быстрее...»
Кончилось время скрытых IP и приватного общения по-умолчанию в интернете. Настало время, когда вы либо домохозяйка либо хакер, третьего не дано. Вам самим выбирать жить ли под Windows + IE + WhatsUp и послушно не заходить на заблокированные сайты или жить под Linux + TOR + Telegram с 2-этапной авторизацией и заходить куда хочешь.
Свобода стоит лишнего клика и пароля. Это не так много. Свободу по-умолчанию не дают.
tcapb1
26.05.2019 20:44Так Telegram и предлагает двухфакторную аутентификацию. Я говорю исключительно про то, что эти схемы слишком сложны для домохозяек, и если мы введём усиленную аутентификацию по умолчанию, то все эти домохозяйки просто перейдут на WhatsApp.
green_tree
26.05.2019 22:18вот была ICQ — домохозяйки пользовались, был Skype — домохозяйки пользовались, а теперь, блин, сложно это стало
tcapb1
26.05.2019 22:22Тогда альтернатив не было. Как только они появились — домохозяйки сбежали на WhatsApp. И у ICQ и у Скайпа были мобильные версии, однако WhatsApp быстро обогнал и то и другой по аудитории.
green_tree
26.05.2019 22:27ну к выходу Вацапа Скайп уже стал говнецом, а аська была как минимум одной ногой в могиле, но не в этом дело: раньше домохозяйки умнее были?)
и опять же, никто не мешает сделать нормальную регистрация и так и эдак: домохозяйки по номеру телефона, а кому надо — по емейлу. Wire же сделали так
просто Телеграм он как-то позиционируется что он лучше во всём, а на деле нет
legolegs
28.05.2019 10:13домохозяйки сбежали на WhatsApp
Насколько я понимаю, не сбежали. Это новые домохозяйки народились.
niko1aev
28.05.2019 00:03Народ, а подскажите, пожалуйста, как из попытки восстановить доступ через смс следует, что попытка взлома шла именно от правительства РФ?
Я не говорю что это не так. Но и доказательств, что это так тоже нету. Меня очень смущает последнее время политизированность статей.
Во-первых: мне жалко, если хабр начнёт страдать от этой политизированности.
Во-вторых: я не хочу, чтобы Хабр превратился в площадку для политических дискуссий. Я уже неоднократно видел, как жестко минусовали за попытку задать вопрос, за просьбу уточнить источники, за желание отметить, что есть другая точка зрения.
Если на работе хабре начнётся политика, то система кармы и рейтинг приведёт к тому, что останется одна только точка зрения.
Очень хочется надеяться, что Хабр останется площадкой, где за исследованиями стоят факты, за обвинениями доказательства, за советами опыт и т.д.
tcapb1
28.05.2019 00:13+1Напрямую — никак не следует. Но государство в широком смысле (пригожинские, силовики и т.д.) — самый очевидный подозреваемый. У него есть и мотивы и возможности. Порой не стоит строить теорий о всяких сложных заговорах, многоходовках, попытках подставить. Самый очевидный ответ в таких случаях обычно и самый близкий к истине.
Я не думаю, что Хабр сильно страдает от политизированности. Статей, затрагивающих политику, на Хабре не думаю, что сильно больше процента. Их количество повышается, когда Госдума принимает например очередной закон против интернета, а затем опять затухает. И на мой взгляд для IT-сообщества странно делать вид что ничего не происходит, когда на его интересы много лет идёт наступление.multiadmin
28.05.2019 07:38+1Самый очевидный ответ в таких случаях обычно и самый близкий к истине.
Вообще, самый очевидное и простое объяснение — это сам Колезев и другие симулировали попытку входа. Потому что аналогичную картинку может получить любой за пол часа, а органам нужно для такой операции иметь специального человека, согласовать с руководством, получить разрешение на прослушку и т.д. Т.е. вариант с органами — далеко не самый простой.
И так как моральные качества «оппозиции», мягко говоря, не высоки, и это простой реальный вариант, то такая версия должна идти чуть ли не первой в списке.
Ко всему прочему, очевидна предвзятость Павла Дурова по этому вопросу.Valerij56
28.05.2019 14:53И так как моральные качества «оппозиции», мягко говоря, не высоки
У вас есть уверенность в том, что моральные качества «позиции» выше?multiadmin
28.05.2019 15:06У вас есть уверенность в том, что моральные качества «позиции» выше?
Абсолютно нет.
Я уже много раз писал, что упоротые с обеих сторон для меня равнозначны.Valerij56
28.05.2019 16:10А для меня нет. Вот, например, только одна статья. И это факты от информированного и компетентного человека.
multiadmin
28.05.2019 17:40-1А для меня нет.
Да пожалуйста. Не собираюсь вас ни в чем здесь переубеждать.
А для меня, повторюсь, упоротые с обеих сторон равнозначны.Valerij56
28.05.2019 18:29То есть для вас садисты, пытающие человека бутылкой из-под шампанского и убивающие, сидящих в СИЗО по сфабрикованным обвинениям равноценны отчаявшимся от безнадёги и невозможности изменить ситуацию?
Это очень хорошо характеризует вас, а не их.
bblrlo
28.05.2019 19:20-2А отсутсвие доказательств, что это были именно российские власти видимо уже никого не смущает.
Сейчас дубликат симки получить проще чем в пятерочке картой расплатиться, о чем свидетельствует статистика увода средств БК
kaleman
Почему авторизация через SMS до сих пор не удалена? Ведь по-сути контроль за SMS как раз у тех «людоедских режимов».
GBK
Логично.
Homakov
А другой нет. Либо через смс либо через имейл что никак не лучше. Все мессенджеры выбрали смс.
legolegs
Archon
Популярных очень мало и они все под колпаком. Подозреваю, что зайти в ящик на яндексе или мейлру заинтересованным лицам гораздо проще, чем прочитать чужую смску.
Как правило (среди простых пользователей), почтовый адрес просто теряется или удаляется за неактивность. И потом по нему регистрируется кто угодно. Привет, мейлру.
Простой пользователь входит в почту по номеру телефона, потому что не помнит пароль. А даже если и помнит, и пароль достаточно сложный, и даже почта не местная и не удалось зайти туда по сценарию из первого пункта, то взломщик может его сбросить той же смской. В итоге получаем то же самое, от чего ушли.
accipiter
Но можно ведь сделать и то и другое. СМС — по умолчанию, внизу мелким шрифтом написать, что можно и через e-mail. Это даст возможность использовать e-mail для более важных аккаунтов. Более того, контролируя номер телефона можно контролировать много аккаунтов пользователя, т.к. использовать несколько номеров для регистрации/входа довольно неудобно. e-mail адреса же можно менять как перчатки. Можно заводить для каждого аккаунта новый. Это тоже довольно неудобно, но жонглировать десятком e-mail адресов все же проще, чем десятком номеров телефонов.
Archon
Можно, но тогда полезут спамеры. Купить миллион сим-карт гораздо сложнее и дороже, чем завести миллион e-mail адресов.
accipiter
Спам это другая проблема. И она тоже решаема. Просто сравните количество спама в вашем ящике сейчас и десять лет назад. Сейчас все идет к тому, что достаточно контролировать только номер телефона, чтобы контролировать все аккаунты пользователя. Утечка личных данных пользователей хотя бы из одного сервиса уже компрометирует его учетные записи в других сервисах. Тут даже можно провести аналогию с ситуацией воровства/выпуском сертификата на чужое из соседней темы.
Владельцы месенджеров просто лукавят. Это банальный сбор информации, которая потом продается.
konst90
Они под разными колпаками, и вряд ли у российских органов есть возможность «неофициально» получить доступ к GMail.
А особые параноики могут купить себе домен и держать личный ящик на нём.
Archon
Точно так же, у российских органов мало возможности получить смс на номер, к примеру, Таиланда. И иностранная симка обойдётся гораздо дешевле, чем свой домен.
Тут вопрос скорее другой: а откуда взломщики узнали, какой конкретно номер надо ломать? Телеграм вообще-то такую информацию не показывает кому попало. Чтобы установить связь номера и аккаунта, надо уже знать номер, добавить его в список контактов, и сверить, нужный ли юзернейм под ним высветился. Журналисты были настолько наивны, что писали статьи с аккаунта, зарегистрированного на их личный номер?
konst90
От оператора и узнали, скорее всего. ФИО известно — проверяем зарегистрированные на человека номера — делаем дубликат симки — ломаем.
Archon
ФИО известно — проверяем зарегистрированные на человека номера — обламываемся, ни один из них аккаунту не соответствует. Всё, блок-схема порвалась, дальше надо уже шевелить мозгами, и возможно даже изымать телефон физически.
Защита телеграма вполне достаточна, если соблюдать базовые правила гигиены. Например, не использовать в рабочих целях личный номер.
hippohood
Телефон журналиста не такая уж тайна. Во-первых, его можно просто спросить: журналисты люди общительные. Во-вторых, есть множество мест где журналист свой номер сообщает: начиная от места работы и заканчивая ЖЭК и банковским офисом. Ну и в третьих, есть телефонные книжки их коллег, знакомых, родственников и прочих…
Homakov
На самом деле я с вами согласен. Она чуть лучше, но не идеальна тк все равно централизована. Но факты говорят о том что почта есть мало у кого в развивающихся странах поэтому все мессенджеры идут по пути смс.
BigBeaver
Почта есть у каждого владельца андроид смартфона. Разве нет?
agmt
Есть Authenticator, который генерит маленький ключ от большого ключа и текущего времени. Github именно через него предлагает входить, а не sms/почту.
saipr
А почему бы не ввести двухфакторную авторизацию на сертификатах x509v3 и токенах PKCS#11? Хочешь пользоваться мессенджером Telegram безопасно приобретаешь токен и получаешь сертификат. На мой взгляд это самая защищенная авторизация.
billyevans
Как нет? Или для телеграма конкретно нет? Я уже пару лет как все приложения перевел на duo mobile, хз как стандарт называется, но аналогичных приложений много. Вроде для всех почти приложений/сервисов оно есть.
Хз про телеграм — если его там нет, то это явный недостаток.
lanseg
А как ещё заполучить номер?
Reeze
SMS — это достаточно надёжный способ подтверждения личности (создать дубликат SIM-карты возможно, но не так просто), а причиной введения дополнительного пароля стал именно перехват сообщений на стороне операторов. Т.е. способ когда с помощью давления на компанию (или сотрудников) делается оперативное вмешательство в работу сети операторов.
green_tree
Ещё куча стран, где сим-карты продают без любого ID, так что хреновый способ подтверждения личности, лишь проблемы создаёт
Reeze
Я не про идентификацию абонента по договору, а про личность того, кому приходит СМС-сообщение с кодом доступа.
green_tree
Ок, всё равно авторизация через номер телефона это плохая идея по определению. Симка зависит от роуминга (не все симки работают в каждой стране), плюс симка это не твоя собственность (поехал куда-нибудь на 3-6 месяцев — симку отняли).
Почта более надёжный вариант и доступ есть всегда при наличии интернета (не помню чтоб бывал в какой-нибудь стране где интернета не было бы)
Ну а если какой-нибудь гмейл заблокирован, то можно воспользоваться впн. А если сотовый оператор не работает с этой страной, то тут уже ничего не поделаешь, останешься без связи)
UnrealQW
Например, в Турции сложно и долго получать местную симку. Конечно, можно пользоваться интернетом в роуминге, если денег не жалко. А еще есть спутниковый интернет.
tcapb1
Потому что SMS для мобильного мессенджера удобнее всего. Та же самая причина, почему в Телеграме не включены секретные чаты по умолчанию.
Не забывайте, что Telegram — массовый продукт. И является таким благодаря своему удобству. Если сделать авторизацию через E-mail, то во-первых это будет менее удобно для пользователя: нужно будет лезть в почту, смотреть код. Почта может не прийти, прийти не сразу, оказаться в спаме. В итоге логика «установил приложение -> сразу начал пользоваться» рушится. Во-вторых, становится сложнее бороться со спамом, так как зарегистрировать новую почту во много раз дешевле, чем зарегистрировать новый номер.
Если сделать авторизацию только по паролю, то увеличивается риск потери аккаунта. У меня включена двухфакторная авторизация, но в оперативной памяти у меня пароля от Телеграма нет. Если я поднапрягусь — я вспомню. А множество народу может и не вспомнить и в итоге перейдёт на мессенджер, где не нужно так заморачиваться. Я лично перестал заходить на некоторые сервисы просто потому что не помню пароль, а запрашивать восстановление — влом (особенно если для восстановления надо заполнять что-либо, кроме своего емейла).
Поэтому авторизация через SMS, к сожалению, абсолютно логична. Миллионы неуловимых Джо могут пользоваться Телеграмом с открытыми чатами и авторизацией через SMS. А если вы подозреваете, что можете быть интересны государству, то вы всегда можете включить двухфакторную аутентификацию и общаться в секретных чатах.
Только порой сложно поймать момент, когда вы перестаёте быть неуловимым Джо.
Кстати, доступ к вашей симке может получить не только государство. На этой неделе на Хабре была статья про то, как через подмену SIM у пользователя увели криптовалюту.
legolegs
Вызывает всё-таки недоумение, граничащее с подозрением тот факт, что от регистрации по телефонному номеру нельзя opt-out.
tcapb1
Возможно из-за проблемы спама.
Blaine_Mono
Проблему спама можно решить предложив пользователю намайнить сколько-нибудь криптовалюты единоразово при регистрации. Заодно и деньги на функционирование серверов будут.
roscomtheend
Если это PoW, то первый пользователь появится или через 80 лет или спамеров будет 146% (потому как запустить регистрацию на эмуляторе в разы мощнее современного смартфона очень просто и только спамеры и будут майнить). И вопрос какую валюту — если свою же, то самому себе "на функционирование серверов" выплачивать свои же фантики? Если чужую, то будет как сказал выше.