Во-первых, не двухфакторная, а двухшаговая. Во-вторых, не идентификация, а аутентификация. В-третьих, пароль мобильного банка нельзя перехватить прослушивая Wi-Fi сеть, так как для передачи данных используются безопасные протоколы типа HTTPS.
Статья — вероятно, попытка собрать целевой трафик. Если это экспертиза, то откровенно слабая. Способов доступа к личным данным существенно больше, чем перечисляет автор.
Например, атака на Андроид сегодня практически бесполезна, по соотношению затраты\результат. Вместе с тем, весьма успешными являются атаки на устройства. Прямо сейчас, когда я пишу этот комментарий, топовые смартфоны одного из лидеров мирового рынка, отдают переписку и WhatsApp, и Viber — в открытом виде, из базы на устройстве. С помощью штатной утилиты, доступной у них на сайте. Без специальных знаний, без номера телефона, без SIM.
Hidden-сервис (prop224 с HidServAuth) на VPS в нейтральной стране, джаббер с авторизацией по клиентскому сертификату и плагином, не пропускающем нешифрованые сообщения, сообщения между клиентами шифруются GPG, история не сохраняется, вся клиентская сторона хранится в стегано-контейнере внутри порнофильма. Ничего не забыл? Да, главное - не болтать.
Если никто не знает что разговоры ведете именно вы, то никто не сможет их отслеживать. Вы скажите что с вашего устройства будете чатится именно вы? Правильно сейчас это так, но это наводит на идею мессенджера который ведет одновременно 1000 разговоров с 1000 мессенджеров из вашего города и других городов и стран. Причем 999 из бесед ведут чат боты между собой, только 1 ведете вы с реальным собеседником. Кто замутит стартап или добавит себе фичу?
1. Кроме Телеграм есть более защищённые мессенджеов корп. класса. Краем уха слышал про VIPole (не реклама) - там вроде можно свой сервак поднять локальный и работать с ним через VPN. 2. VPN как святая святых: нормально настроить правила и запретить прямое «локальное» взаимодействие девайсов (proxy-arp) - только с доверенными узлами интрасети и интернетом через общий NAT с необходимыми оговорками. 3. Голос: тот же локальный, сурово «кастрированный» от любых прибамбашек Asterisk внутри интрасети с доступом только при VPN-подключении - гарантия защиты от прослушки на уровне конечных провайдеров «последней мили» каждого из польщователей (как минимум разговоров между пользователями будут по шифрованным каналам бегать ). Звонки во внешний мир - также через заищённый канал до поставщика терминации и приучить сотрудников «фильтровать базар», т.к. на узле поставщика терминации 100% установлен СОРМ). И думать головой когда фоткаешься где попало (геопозиция и фон сверху/вокруг - всё давно анализируется и формирует стереотипы поведения, «любимые места» и прочие «наводящие метки» о вас). И это далеко не всё.. :)
Кстати, давным-давно в Европе/США существуют сервисы, продающие виртуальные сим-карты. Тот же Телеграм легко регится (код по смс приходит - через web-интерфейс его можно вытащить сразу), затем аннулируешь сим и досвидос! Но скорее всего очень скоро это тоже будет отслеживаться. И вообще: кому есть что скрывать всерьёз - через интернет не общается )) Знаю пару крупных бизнесменов, которые «назло врагу» (какому?) ходят со старыми Нокиями (без 3G). И не меняют их годами, что наводит на определённые мысли...
Во-первых, не двухфакторная, а двухшаговая.
Во-вторых, не идентификация, а аутентификация.
В-третьих, пароль мобильного банка нельзя перехватить прослушивая Wi-Fi сеть, так как для передачи данных используются безопасные протоколы типа HTTPS.
Думаю все таки двухфакторная, так как имеется ввиду два фактора аутентификации (фактор знания - пароль, и фактор владения - номер телефона).
Распространитель wi-fi сети может подменить dns сервер и заменить сайт банка на свое зеркало. При этом все будет происходить через https.
Статья — вероятно, попытка собрать целевой трафик. Если это экспертиза, то откровенно слабая. Способов доступа к личным данным существенно больше, чем перечисляет автор.
Например, атака на Андроид сегодня практически бесполезна, по соотношению затраты\результат. Вместе с тем, весьма успешными являются атаки на устройства. Прямо сейчас, когда я пишу этот комментарий, топовые смартфоны одного из лидеров мирового рынка, отдают переписку и WhatsApp, и Viber — в открытом виде, из базы на устройстве. С помощью штатной утилиты, доступной у них на сайте. Без специальных знаний, без номера телефона, без SIM.
И таких открытий у автора впереди ещё много...
Hidden-сервис (prop224 с HidServAuth) на VPS в нейтральной стране, джаббер с авторизацией по клиентскому сертификату и плагином, не пропускающем нешифрованые сообщения, сообщения между клиентами шифруются GPG, история не сохраняется, вся клиентская сторона хранится в стегано-контейнере внутри порнофильма. Ничего не забыл? Да, главное - не болтать.
[…Telegram… использование номера телефона в качестве уникального идентификатора…]
Мда, так публично обоср***** это надо уметь.
Если никто не знает что разговоры ведете именно вы, то никто не сможет их отслеживать. Вы скажите что с вашего устройства будете чатится именно вы? Правильно сейчас это так, но это наводит на идею мессенджера который ведет одновременно 1000 разговоров с 1000 мессенджеров из вашего города и других городов и стран. Причем 999 из бесед ведут чат боты между собой, только 1 ведете вы с реальным собеседником. Кто замутит стартап или добавит себе фичу?
1. Кроме Телеграм есть более защищённые мессенджеов корп. класса. Краем уха слышал про VIPole (не реклама) - там вроде можно свой сервак поднять локальный и работать с ним через VPN.
2. VPN как святая святых: нормально настроить правила и запретить прямое «локальное» взаимодействие девайсов (proxy-arp) - только с доверенными узлами интрасети и интернетом через общий NAT с необходимыми оговорками.
3. Голос: тот же локальный, сурово «кастрированный» от любых прибамбашек Asterisk внутри интрасети с доступом только при VPN-подключении - гарантия защиты от прослушки на уровне конечных провайдеров «последней мили» каждого из польщователей (как минимум разговоров между пользователями будут по шифрованным каналам бегать ). Звонки во внешний мир - также через заищённый канал до поставщика терминации и приучить сотрудников «фильтровать базар», т.к. на узле поставщика терминации 100% установлен СОРМ).
И думать головой когда фоткаешься где попало (геопозиция и фон сверху/вокруг - всё давно анализируется и формирует стереотипы поведения, «любимые места» и прочие «наводящие метки» о вас).
И это далеко не всё.. :)
Кстати, давным-давно в Европе/США существуют сервисы, продающие виртуальные сим-карты. Тот же Телеграм легко регится (код по смс приходит - через web-интерфейс его можно вытащить сразу), затем аннулируешь сим и досвидос! Но скорее всего очень скоро это тоже будет отслеживаться.
И вообще: кому есть что скрывать всерьёз - через интернет не общается )) Знаю пару крупных бизнесменов, которые «назло врагу» (какому?) ходят со старыми Нокиями (без 3G). И не меняют их годами, что наводит на определённые мысли...