Взлом аккаунтов в Telegram: как защищаться

[dolboed]

Недавняя история со «взломом» аккаунтов Telegram у двух московских оппозиционеров — лишнее напоминание о том, что на одних голых технологиях надёжную защиту данных не выстроить. Там, где нет уязвимостей технологических, всегда остаются поведенческие.

По общему мнению, аккаунты Албурова и Козловского взломали, используя дубликаты их СИМ-карт, что позволило взломщикам запросить, получить и использовать коды авторизации для захода в систему от имени жертв.

Выпустить дубликат СИМ-карты, зная номер абонента — задача технически очень простая. Это можно сделать в любом офисе того оператора, у которого обслуживается мобильный контракт. Соответственно, круг лиц, способных совершить такое действие, огромен. Любой сотрудник офиса оператора в любой точке страны может это сделать. И по собственной инициативе, и за деньги, и под давлением (например, по требованию представителя силовых ведомств). Также заменная карта может быть выдана злоумышленнику просто по ошибке, если он, используя поддельные документы, сумеет выдать себя за владельца номера, или за его представителя по доверенности. Впрочем, в нашем случае всех этих ухищрений не потребовалось: компания МТС выступала активным соучастником взлома аккаунтов своих клиентов. Помимо перевыпуска их СИМ-карт, она ещё и заблокировала в их телефонах возможность получения СМС на время перехвата кодов авторизации.

В конкретном примере с сервисом Telegram этот способ взлома элементарно просто нейтрализовать. Достаточно использовать двухступенчатую авторизацию, о введении которой сервис объявил в начале апреля 2015 года. Вторым шагом идентификации в этой схеме является придуманный пользователем пароль, который злоумышленнику ниоткуда не получить — а об успешных попытках подбора таких паролей к Телеграму с помощью брутфорса (перебора) науке ничего не известно.

Безотносительно и к случаю с Козловским и Албуровым, и к сервису Telegram, существуют несложные поведенческие приёмы, позволяющие бесконечно осложнить жизнь потенциальным взломщикам наших аккаунтов. Мы знаем, что для «перехвата» наших логинов и паролей в разных системах злоумышленник захочет использовать наши телефонные номера и почтовые ящики, которые ему известны. Так что достаточно нам для доступа к важным сервисам использовать никому не известные почтовые адреса и телефонные номера, чтобы злоумышленник просто не смог до них добраться. Такой ящик и такой номер можно создать специально для логина в коммуникаторы. Никогда не использовать эту почту для переписки, а телефон — для звонков. Нигде их не публиковать. СИМ-карту заводить не на своё имя (проще всего — иностранную, на предоплатном контракте; входящие СМС в роуминге у любого оператора бесплатны).

Все эти методы профилактики нежелательного интереса к нашей переписке и архивам — простые предосторожности, которые, по сути дела, сводятся к «защите Неуловимого Джо». Чем меньше миру изначально известно о тебе и твоей жизни, тем трудней негодяям уцепиться за ту первую ниточку, взявшись за которую они хотели бы размотать клубок.

PS. Вопрос о сохранении/удалении архивов и обеспечении их безопасности рассматривается в отдельном посте.

Comments

[ivan-kosolapov.livejournal.com]

Технически задача конечно простая. Но если бы это делалось через торговую сеть оператора, то сим карта настоящего владельца работать бы перестала...

[dolboeb.livejournal.com]

Совершенно не обязательно.
Там есть вариант с двумя одновременно работающими симками.
Мне его предлагали когда-то.

[batcu.livejournal.com]

Самый простой видимый выход - купить симку у метро у ближайшего узбека.

[lazoukov.livejournal.com]

И телефон, купленный за наличные, чей идентификатор нигде не светился.

[qulac73.livejournal.com]

Знаю один очень простой способ защиты от взлома: не пользоваться Telegramом.

[ivan borzenkov (from livejournal.com)]

они технические книжки не читают, шифрование не знают, они хипстеры, они дурова слушают

[ivan borzenkov (from livejournal.com)]

Еще одно подтверждение того факта что российская оппозиция в техническом плане дебилы.
У них уже столько про*ов из-за того что не знают базовых вещей в IT

[sedackov.livejournal.com]

Почему мы не помним свои прошлые жизни? Есть ответ от инсайдера.
http://tchaykovsky.ru/blog_b/dnk_otvet.htm

[kh-sugutskiy.livejournal.com]

как муравьи какие то
интересы у них какие то
Да мне лично по барабану вообще их интересы
Хочу чтобы они вечно были в оппозиции
я не русский мне можно

[h1b1.livejournal.com]

учитесь уходить в астрал

[gxachaturov.livejournal.com]

> Соответственно, круг лиц, способных совершить такое действие, огромен. Любой сотрудник офиса оператора в любой точке страны может это сделать.

Число операторов способных это сделать огромно, но тот кто это сделал оставляет свой след в базе данных. Если бы органы захотели, они бы моментально локализовали взломщика.

[andrey-che.livejournal.com]

Идея с неизвестными e-mail и номерами телефона хороша, но, если фсб захочет, то, поверьте, и это им не помешает.
Особенно если они уже заинтересовались блоггером.
И если блоггер в списке мониторинга на предмет экстремизма.

Узнал о имеющихся списках в августе 2014, когда пришли ко мне с обыском по моему посту в Facebook.
Я еще хорошо отделался. В декабре 2015-го получил приговор 100.000 руб. штрафа, но попал под амнистию.

[cheerfulthinker.livejournal.com]

Дело липовое завести не помешает, а вот доступ к личной переписке получить — вполне себе помешает.
Не надо всё упрощать до чёрно-белого варианта — либо дело, либо ничего, у них ещё вагон с тележкой промежуточных подлых тактик.
Сочувствую, что вас это тоже затронуло :-(

[cheerfulthinker.livejournal.com]

@СИМ-карту заводить не на своё имя
Ой, и вы ретроградом оказались :-( Зачем советуете эти допотопные технологии, для которых требуется не только иметь отдельный кусок пластика, но ещё к нему и второй телефон таскать (ну либо танцевать с бубном, меняя симку в своем телефоне, рискуя одну из симок потерять — и что, путешествовать за границу только из-за симки???)
Лучше бы посоветовали виртуальный номер. Лучший вариант — Google Voice, очень удобный доступ через Hangouts или через браузер (единственная проблема — для получения нужен реальный американский номер, неудобно, но через знакомых можно получить). И доступ к этому телефону защищён через Google Authenticator, как и основной почтовый ящик — и я согласен, что лучше для этого номера альтернативный скрытый ящик оформить, чтобы при взломе основного до телефона не добрались). Есть наверняка пара достойных заменителей (вроде какого-нибудь Talkatone, но я их плохо знаю, поскольку только GV пользуюсь).

В идеале нужно бы и мессенджерами пользоваться получше, которые такой ляп со сбросом через смс не допускают, но, в принципе, можно один раз помучиться с получением GV, а дальше не менять свои порочные практики в выборе способов общения :)

Очень хотелось бы, чтобы вы исправили совет, чтобы наши измученные оппозиционеры следовали лучшим практикам по борьбе со слежкой, пока инфоповод не угас.

[msk01.livejournal.com]

Какой смысл втыкать левую симку в свой основной телефон? Ведь наверняка подключаясь к базе, телефон вместе с данными симки передает свой IMEI, и в базе оператора они мгновенно связываются. Тогда уж вместе с симкой и телефон надо на барахолке покупать, и никак иначе.

[revitara.livejournal.com]

Я не использовала и не буду использовать Телеграм покуда они не сделают нормальный выбираемый логин вместо привязки к телефонному номеру. Иначе вся эта "безопасность" годится быть только закавыченной. Даже говорить смешно про такую элементарщину.

[g0sdep.livejournal.com]

Вы что то путаете. С WhatsApp может?
В телеграмме можно придумывать логин

[techwork.livejournal.com]

Пользоваться скайпом. :)

[4rex.livejournal.com]

или BBM, там телефон не светится

[id-yktru.livejournal.com]

Наивные чукотские парни. :)
Вся переписка WhatsApp хранится на серверах АНБ.
А вся переписка Telegram - на серверах ФСБ.
Сноуден подтвердит?
;)

А то что в посте указано - просто маскируют пути как получена переписка. ;)
Не будут же просто писать - скачали с сервера вашу переписку. ;)))

[dp-z.livejournal.com]

Между этими двумя продуктами есть маленькая разница

[Николай Пригодский (from livejournal.com)]

Оператор был МТС?
Крупные сообщества вконтакте так угоняют

[amateh.livejournal.com]

Ага, вот АНБ и надо больше всего бояться) А сим копировщики по прежнему доступны, только слегка подорожали, гугл в помощь. Наверное просто не надо расслабляться, если хочется минимальной анонимности, да и не было бы такого срача, если бы Telegram так легко ломался.

[nailhosny.livejournal.com]

*СИМ-карту заводить не на своё имя* - как это?

[amateh.livejournal.com]

Воспользуйтесь паспортом неизвестного друга или купите в переходе

[zack-broflovski.livejournal.com]

Не могу понять, почему нужно использовать какой-то любительского уровня "Telegram", а не установить свой собственный сервер со всеми необходимыми сервисами mail, web, IM, app etc.
И контролировать все самим владельцам?
Особенно это касается опозиционеров.

[amateh.livejournal.com]

А людям думать неохота, проще свалить все на козни, да и действительно это сложно. Посмотрите статистику просмотров статей по безопасности, все очень грустно

[hyperpov.livejournal.com]

Мне кажется, это иллюзия, что покупкой "секретной" симки так уж легко уйти от спецслужб. Даже если она зарегистрирована на левого человека. По логам оператора нехитро отследить, что две симки путешествуют по сотам вместе, а значит, принадлежат одному владельцу. Возможно, это будет сложнее, если симки от разных операторов.

[mephistus.livejournal.com]

Достаточно трех случайных местоположений с обеими симками для идентификации поциэнта, британские ученые все давно просчитали.

[mephistus.livejournal.com]

Активисты и журналисты тупы, необразованны, и выбирают технологии не по уровню безопасности, а по удобству использования. Они всегда предпочтут snake oil действительно безопасному продукту. Взломать их — как два пальца обоссать. Так что все эти советы, ув. аффтар — как горох об стену. Вон, Сноуден сколько мучился с этим долбоебом из The Guardian, а в конце тот все равно послал своего пидородружка с бумажкой с паролем и диском с данными через границу, лол.

Так что для себя я давно решил, что ну их нахуй, активистов, и забил на соответствующие проекты. Вообще, я за технократию. Инженеры, а не гуманитарное быдло, должны формировать окружающую реальность.

[zaykas.livejournal.com]

А выключить и затем включить СМС на основной симке тоже дубликат виноват? Нее, Носик, раз уж не программист, то лучше не позорься. Здесь прямое участие мобильного оператора без вариантов.

[tmp4grelkaaccou.livejournal.com]

"входящие СМС в роуминге у любого оператора бесплатны" -- не всегда и не у всех. У меня сейчас мегафоновский, он очень выгоден пока я в Москве (вписываюсь в 200 р в месяц), если выезжаю в соседнюю область приходит пара СМС от оператора "вы въехали в область такую-то", "приятного путешествия"+реклама перепривязки области в качестве домашней -- это примерно -50р. А если не отключить телефон то он при любой сумме на счёте быстро уходит в минус (от оператора непрерывно сыпятся разные предложения) и после вместо любого входящего звонка приходит СМС "у Вас недостаточно средств для приема входящего вызова" и телефон уходит дальше в минус.

[sir66.livejournal.com]

Ухожит в минус очень быстро, скорее всего, из за интернета, а не смс.

[maxdz.livejournal.com]

Пользоваться продуктами/сервисами, сделанными рашанзами? Это лезть прямиком, в лапы гэбне.

[a-herdsman.livejournal.com]

Совершенно не понимаю, что они могут говорить такого секретного?

[dragonworldhero.livejournal.com]

И что, там у них в переписке что-то интересное?

[snevolin.livejournal.com]

>иностранную, на предоплатном контракте

Не знаю, как иностранные операторы, а в России если симку с полгода не трогать, то её аннулируют, и номер уплывёт. Так что не так всё просто, наверное.

А МТС --- те ещё пидарасы, да.

[kgbplus.livejournal.com]

У меня в Мегафоне уводили таким образом главный номер немаленькой корпоративной группы.
Причем реально по глупости - дибилоид в офисе не туда в бумажке посмотрел.

Так что, ФСБ тут привлекать не обязательно. Достаточно дурака в окошке. Ну или жулика.

[appmessenger.livejournal.com]

Appmessenger - Appmsr.net (http://appmsr.net)Готовый ресурс оптимирузирующий аудентификацию пользователей позволяеющих получить доступ к приложению.