Comments 34
Потому что имея физический доступ к устройству, пусть даже и с ограниченными правами вы можете сделать практически что угодно. В том числе получить hwid компа жертвы и получить 1:1 окружение для телеграмма.
Каким образом вы предлагаете отслеживать описанные вами фокусы на стороне сервера?
Нет такого варианта, если у жертвы даже с ограниченными привилегиями запускается телеграмм; то вы точно так же сможете получить hwid, как это делает телеграмм.
А делать защиту от хакеров-школьников смысла нет. Единственный вариант — хранить ключи в платформозависимых хранилищах. Но тогда очень сильно усложняется кросс-платформенная поддержка.
Осталось выяснить, как же определять факт смены устройства или хотя бы ос (с учетом того, что папку скопировал злоумышленник). надо найти такой параметр, который самодельный клиент не сможет подменить на "старый" и это не айпишник
Теоретически можно заморочиться с антиотладкой + hardware id. Но это тот самый security through obscurity. Поэтому ответ: никак. Особенно с учётом того что телеграмм — это open source.
То что существует много таких программ не говорит о тос что это правильный способ. Что мешает хакеру подделать окружение?
Если заботитесь о безопасности, то настройте её шифрование при выключении, переходе в спящий режим и т.п. Для этого есть куча проверенных инструментов во всех ОС.
для каждого клиента геренрить id в процессе авторизации, выдавать сообщение/запрещать одинаковые id с разных ip, отключать с сервера, если у профиля пользователя появился новый id без процесса аутентификации (поправили id в клиенте который уже аутентифицировался ранее)
но вообще хранить логин/пасс/ключбд в хранилищах ключей для тех ОС где это возможно
— Ну вообще, наличие людей с ломами в вашей серверной не входит в компетенцию фирмы Compaq
Не нашёл в статье упоминания о необходимости полностью повторять окружение. По этому просто скопировал папку клиента с виндового клиента в виртуалку. Когда оба эти клиента оказались онлайн одновременно — в обоих вылетела сессия.
Что до повторения окружения — сейчас мне лень это делать, но я пробовал несколько лет назад клонировать виртуалку с телеграммом и тогда они действительно оба работают, но только до тех пор, пока выходят в сеть с одного ip. Если будут разные ip — обе сессии вылетят в пределах 5 минут.
У меня telegram desktop.
А portable версия на то и портативная, чтобы везде работать.
Удивляюсь вам. Берёте версию программы, которая и предназначена для без проблемного переноса между компьютерами, а потом удивляетесь что она, внезапно, выполняет свои функции.
На портативную версию можно поставить пин код, он будет запрашиваться на каждом компьютере.
На портативную версию можно поставить пин код, он будет запрашиваться на каждом компьютере.
Вот вы и сами попали в ловушку.
Пин для Desktop/Telegram перебирается с помощью JtR меньше минуты.
Нужно ставить не пин, а пароль. В faq Telegram предупреждают, что ставить нужно сильный pass, но не принуждают этого делать.
Зачем что-то копировать если можно просто встать сзади и читать все что происходит на мониторе? Ну или как минимум запустить тот же телеграм прямо на том же компьютере и прочитать все что там пишут? Все же защита должна быть адекватной а не охватывать маловероятные варианты. Получив доступ к домашней папке так можно и сессии браузеров утащить и ключи gpg и еще много чего интересного. Если нужно изолировать окружение то пользователь сам должен позаботиться хотя бы о шифровании. Если он не доверяет каким-то приложениям, то пусть запускает их в изолированном окружении.
Почему здесь большинство людей придерживаются мнения, что если не закрывает на 100%, то и делать ничего не надо? Ведь какое бы решение не было реализовано, оно в любом случае, даже если не закрывает всех кейсов, то по крайне мере сокращает количество случаев взлома.
Чтобы 2FA запросить оно предварительно должно быть включено. А вообще да странно что банальные угрозы не закрыты.
JtR — написано, обходится нормальным паролем. Всё, больше тут обсуждать нечего.
Телеграм предоставляет технологию шифрования данных и механизм безопасной передачи. От проблем иного уровня он и не обещает вас защищать, как то: физический доступ к устройству, аппаратные закладки, снятие изображения с монитора и т. п. и т. д.
Более того, описанный вами кейс в случае Portable версии, так и вовсе не баг, а фича.
Автор просто решил похайпится на модной теме, вот и все.
Нынешняя реализация 2FA достаточно уязвима, если вас захотят взломать. Нужно лишь иметь доступ к СМС, потом сообщить, что якобы не знаешь пароль для 2FA, а затем через т.н. фрод обмануть сервера, которые разрешат тебе сбросить аккаунт или даже сделают это… принудительно на стороне жертвы.
Кстати, про уязвимость 2FA в Telegram, которая на самом деле не двухфакторная аутентификация, а двухшаговая верификация (2SV), уже рассказывали на «Хабре» habr.com/ru/post/357108
Перехват чужих сообщений в Telegram «без регистрации и 2FA»