Итак, всем доброго времени суток.
Предыстория: Пользуюсь телегой уже /очень/ давно, почти с релиза, и даже был прецедент когда один душный хмырь попытался получив доступ к одной из не заблокированных сессий подвязать к моему акку свой девайс - я сразу же на все устройства получил аллерт, прибил средствами телеги сессию не моей авторизации, махнул все пароли, и с тех пор у меня 2FA (номер телефона+смс-код+пароль).
Сегодня: В виду того что телега у меня была привязана на симку мтс, которой уже больше дюжины лет, и которой почти не пользуюсь и храню только для семьи и старых контактов (т.к. на работе мтс толком не ловит) решил перевести аккаунт на рабочую симку (мегафон), ибо на ней все коллеги, подрядчики и прочая, и чем лично им писать или давать аккаунт - проще чтоб имея мой номер они меня сразу в телеге видели.
Дело простое, но даже несколько проще чем ожидал. Сильно, блин, проще. С авторизованного домашнего компа вбиваю в настройках новый номер через edit profile, на мегафон приходит смс с кодом подтверждения, вбиваю его и в принципе и всё. совсем всё.
Не, вы можете сказать что "ну и что? быстро, просто и со вкусом", НО:
Ни на одно устройство не пришло оповещение что номер аккаунта сменен, ни одно устройство не разлогинило, оно просто получило в настройках новый номер, никакой пароль 2fa у меня никто не спрашивал - хватило активной сессии на домашнем компе. На старую симку тоже никаких кодов подтверждения.
Собственно у меня вопрос - а какого лысого черта то? Типа подключение нового клиента к существующему аккаунту БОЛЕЕ опасная процедура чем смена к чертовой матери основного способа авторизации?
Ладно, в моем случае я ничего не потерял, просто сменил номер телефона, НО, а если вот тот же хмырь, что пытался подвязать свою трубу к моему аккаунту просто сменил бы мой номер на свой, пользуясь тем что я оставил активную сессию (тогда еще 2фа не была включена, но как показала практика - оно бы ничего не изменило) я бы даже не узнал об этом, пока тот хмырь не нажал бы "завершить все прочие сессии", и меня не повышибало бы к черту из телеги на всех моих устройствах. И все. Уже я бы должен был доказывать телеге что я номер не менял и это хмырь его изменил без моего ведома. И ладно тогда, но с 2фа то может както надо проверять столь серьезное событие, не? У меня никакой верификации кроме кода из смс с новог ономера телега не запросила. И ни одного аллерта о том ни на одно устройство не послала. Это бардак какой то.
UPD: Почитав каменты я врубился, что уведя акк с 2фа на новый номер создастся занятный парадокс - у нового владельца не будет пароля а у старого кода из смс, так-что воспользоваться аккаунтом не смогут оба, что однако тоже может быть довольно неприятным - если аккаунт рабочий. Например уволили саппорта, а он просто от обиды взял и вот так увел корпоративную телегу. Ему она по сути не нужна а по конторе удар.
Без 2фа вообще никаких разговоров - акк уйдет с концами и тебе даже смс на старый номер не пришлют типа "телефон сменился".
Комментарий недоступен
Продублирую пример с банк-клиентом, лк втб я могу оставить залогененым (минут на 15, кажется, длина сессии) всё что можно будет сделать без 2фа это гонять бабло между счетами мира и мастеркард (моими). Вывести бабки налево фиг выйдет - нужен код из смс.
А тут выходить что со включенной 2фа можно "заблокировать" акк уведя его на новый номер, а без оной - спереть с концами и на старый номер даже аллерта не придет. И никакой задержки нет. Было бы раумно кинуть хотя-бы смс на старый номер (в идеале с кодом) типа "для смены номера введите этот код в клиенте. Или, хотя бы. ту же смс "номер был сменен, если это были не вы перейдите по ссылке (на техсап).
смс на старый номер тоже не очень вариант, есть правило что через 6 месяцев после ласт активности симка блокируется, и потом передается номер другим людям. Мне так повезло один раз, что лежала симка с соцсетями, ну месяцев 7-8, и вставив ее я обнаружил что она не только заблокана, а еще и номер уже успели передать другому челу (сам звонил потом на номер, проверял). И вот как выходит, все понимаю, надо платежи кидать и тп, но даже твой номер не принадлежит тебе, то есть использовать номер телефона вообще крайне небезопасно с точки зрения подтверждения личности (не говоря уже о возможностях подмены и тп) Вообще тг не может быть безопасной, пока она смс получает на телефон. Вроде 2х факторка, но все же уже тупость. Даже к threema больше доверия тут больше. Но все выбирают тупо удобство, даже делая мол защищенный мессенджер, все выбирают телегу потому что она простая, и по этому перепривязать номер так просто. Ибо норм безопасность будет разве что с pgp, или даже с той же threema. Но там же нет стикеров, и групп и каналов, так что людям плевать на это, они выберут удобность, так что не жди он телеги уровень защиты как у пентагона.
Да, симка может уехать за границу и там внезапно накрыться, и можно ведь банально не успеть ее восстановить (привет пандемия). А ведь на номер телефона подвязано всё: банки, соцсети, госуслуги, налоговые лк, учётка мобильника с тоннами фото в облаке😑