Итак, всем доброго времени суток.
Предыстория: Пользуюсь телегой уже /очень/ давно, почти с релиза, и даже был прецедент когда один душный хмырь попытался получив доступ к одной из не заблокированных сессий подвязать к моему акку свой девайс - я сразу же на все устройства получил аллерт, прибил средствами телеги сессию не моей авторизации, махнул все пароли, и с тех пор у меня 2FA (номер телефона+смс-код+пароль).
Сегодня: В виду того что телега у меня была привязана на симку мтс, которой уже больше дюжины лет, и которой почти не пользуюсь и храню только для семьи и старых контактов (т.к. на работе мтс толком не ловит) решил перевести аккаунт на рабочую симку (мегафон), ибо на ней все коллеги, подрядчики и прочая, и чем лично им писать или давать аккаунт - проще чтоб имея мой номер они меня сразу в телеге видели.
Дело простое, но даже несколько проще чем ожидал. Сильно, блин, проще. С авторизованного домашнего компа вбиваю в настройках новый номер через edit profile, на мегафон приходит смс с кодом подтверждения, вбиваю его и в принципе и всё. совсем всё.
Не, вы можете сказать что "ну и что? быстро, просто и со вкусом", НО:
Ни на одно устройство не пришло оповещение что номер аккаунта сменен, ни одно устройство не разлогинило, оно просто получило в настройках новый номер, никакой пароль 2fa у меня никто не спрашивал - хватило активной сессии на домашнем компе. На старую симку тоже никаких кодов подтверждения.
Собственно у меня вопрос - а какого лысого черта то? Типа подключение нового клиента к существующему аккаунту БОЛЕЕ опасная процедура чем смена к чертовой матери основного способа авторизации?
Ладно, в моем случае я ничего не потерял, просто сменил номер телефона, НО, а если вот тот же хмырь, что пытался подвязать свою трубу к моему аккаунту просто сменил бы мой номер на свой, пользуясь тем что я оставил активную сессию (тогда еще 2фа не была включена, но как показала практика - оно бы ничего не изменило) я бы даже не узнал об этом, пока тот хмырь не нажал бы "завершить все прочие сессии", и меня не повышибало бы к черту из телеги на всех моих устройствах. И все. Уже я бы должен был доказывать телеге что я номер не менял и это хмырь его изменил без моего ведома. И ладно тогда, но с 2фа то может както надо проверять столь серьезное событие, не? У меня никакой верификации кроме кода из смс с новог ономера телега не запросила. И ни одного аллерта о том ни на одно устройство не послала. Это бардак какой то.
UPD: Почитав каменты я врубился, что уведя акк с 2фа на новый номер создастся занятный парадокс - у нового владельца не будет пароля а у старого кода из смс, так-что воспользоваться аккаунтом не смогут оба, что однако тоже может быть довольно неприятным - если аккаунт рабочий. Например уволили саппорта, а он просто от обиды взял и вот так увел корпоративную телегу. Ему она по сути не нужна а по конторе удар.
Без 2фа вообще никаких разговоров - акк уйдет с концами и тебе даже смс на старый номер не пришлют типа "телефон сменился".
Комментарий недоступен
Продублирую пример с банк-клиентом, лк втб я могу оставить залогененым (минут на 15, кажется, длина сессии) всё что можно будет сделать без 2фа это гонять бабло между счетами мира и мастеркард (моими). Вывести бабки налево фиг выйдет - нужен код из смс.
А тут выходить что со включенной 2фа можно "заблокировать" акк уведя его на новый номер, а без оной - спереть с концами и на старый номер даже аллерта не придет. И никакой задержки нет. Было бы раумно кинуть хотя-бы смс на старый номер (в идеале с кодом) типа "для смены номера введите этот код в клиенте. Или, хотя бы. ту же смс "номер был сменен, если это были не вы перейдите по ссылке (на техсап).
Вы сравниваете безопасность банка и мессенджера?
Вы в курсе что мессенджеры, в т.ч. и телега порой используются и для работы? И там может быть информация куда более "дорогая" чем ваша заначка? Может, потому что это удобно. И инсайдерская может быть. И просто закрытие официального тлгрмм канала - это тоже дорого, потому-что убытки.
А реализация банального оповещения о смене номера и кода подверждения это примрено как 2х2 посчитать.
Если в переписке необходимо хранить информацию дороже банковского счёта, это стоит делать точно не в Телеграме
Ценную информацию вообще не стоит хранить ни в каком мессенджере абсолютно. И не при каких обстоятельствах))