Итак, всем доброго времени суток.
Предыстория: Пользуюсь телегой уже /очень/ давно, почти с релиза, и даже был прецедент когда один душный хмырь попытался получив доступ к одной из не заблокированных сессий подвязать к моему акку свой девайс - я сразу же на все устройства получил аллерт, прибил средствами телеги сессию не моей авторизации, махнул все пароли, и с тех пор у меня 2FA (номер телефона+смс-код+пароль).
Сегодня: В виду того что телега у меня была привязана на симку мтс, которой уже больше дюжины лет, и которой почти не пользуюсь и храню только для семьи и старых контактов (т.к. на работе мтс толком не ловит) решил перевести аккаунт на рабочую симку (мегафон), ибо на ней все коллеги, подрядчики и прочая, и чем лично им писать или давать аккаунт - проще чтоб имея мой номер они меня сразу в телеге видели.
Дело простое, но даже несколько проще чем ожидал. Сильно, блин, проще. С авторизованного домашнего компа вбиваю в настройках новый номер через edit profile, на мегафон приходит смс с кодом подтверждения, вбиваю его и в принципе и всё. совсем всё.
Не, вы можете сказать что "ну и что? быстро, просто и со вкусом", НО:
Ни на одно устройство не пришло оповещение что номер аккаунта сменен, ни одно устройство не разлогинило, оно просто получило в настройках новый номер, никакой пароль 2fa у меня никто не спрашивал - хватило активной сессии на домашнем компе. На старую симку тоже никаких кодов подтверждения.
Собственно у меня вопрос - а какого лысого черта то? Типа подключение нового клиента к существующему аккаунту БОЛЕЕ опасная процедура чем смена к чертовой матери основного способа авторизации?
Ладно, в моем случае я ничего не потерял, просто сменил номер телефона, НО, а если вот тот же хмырь, что пытался подвязать свою трубу к моему аккаунту просто сменил бы мой номер на свой, пользуясь тем что я оставил активную сессию (тогда еще 2фа не была включена, но как показала практика - оно бы ничего не изменило) я бы даже не узнал об этом, пока тот хмырь не нажал бы "завершить все прочие сессии", и меня не повышибало бы к черту из телеги на всех моих устройствах. И все. Уже я бы должен был доказывать телеге что я номер не менял и это хмырь его изменил без моего ведома. И ладно тогда, но с 2фа то может както надо проверять столь серьезное событие, не? У меня никакой верификации кроме кода из смс с новог ономера телега не запросила. И ни одного аллерта о том ни на одно устройство не послала. Это бардак какой то.
UPD: Почитав каменты я врубился, что уведя акк с 2фа на новый номер создастся занятный парадокс - у нового владельца не будет пароля а у старого кода из смс, так-что воспользоваться аккаунтом не смогут оба, что однако тоже может быть довольно неприятным - если аккаунт рабочий. Например уволили саппорта, а он просто от обиды взял и вот так увел корпоративную телегу. Ему она по сути не нужна а по конторе удар.
Без 2фа вообще никаких разговоров - акк уйдет с концами и тебе даже смс на старый номер не пришлют типа "телефон сменился".
ну на компе-то ты был авторизован по паролю + 2fa, в чем опасность разрешать таким сессиям менять номер телефона? и видимо она была довольно старая, потому что для только что созданной сессии требуется подтверждение смены номера, насколько я помню по личному опыту
Тем что у человека есть SMS+2FA, и можно спокойно перебраться на другой номер без 2FA. 2FA и нужен, как бы, для того чтобы злоумышленник со стороны оператора или завладевший симкой не мог ничего с аккаунтом сделать. А выясняется, что может.
Не, с симкой 2fa сработает (ну работало недавно, по крайней мере), а вот завладевший авторизованым устройством хоть на минуту - спокойно уведет весь твой акк без напряга.
Например, если я оставлю на минуту банк-клиент открытым - максимум что можно будет сделать без 2fa - это гонять деньги между моими счетами мир-мастер, попробуешь выкинуть бабло на любой не-свой счет будет запрос кода. А телегу за эту минуту можно увести подчистую.
ну если устройством завладели, то как смс поможет?
"устройство" это не всегда "мобильник в котором симка". В моем случае доступ был получен к рабочему компу с открытой сессией, и аллерт что "выполнен вход с устройства андройд ип такой то" прилетевший на мобилу очень даже помог. А вот если бы вместо этого поменяли номер телефона - я бы вообще никаких аллертов не получил.