Взлом аккаунтов в Telegram: как защищаться

[dolboed]

Недавняя история со «взломом» аккаунтов Telegram у двух московских оппозиционеров — лишнее напоминание о том, что на одних голых технологиях надёжную защиту данных не выстроить. Там, где нет уязвимостей технологических, всегда остаются поведенческие.

По общему мнению, аккаунты Албурова и Козловского взломали, используя дубликаты их СИМ-карт, что позволило взломщикам запросить, получить и использовать коды авторизации для захода в систему от имени жертв.

Выпустить дубликат СИМ-карты, зная номер абонента — задача технически очень простая. Это можно сделать в любом офисе того оператора, у которого обслуживается мобильный контракт. Соответственно, круг лиц, способных совершить такое действие, огромен. Любой сотрудник офиса оператора в любой точке страны может это сделать. И по собственной инициативе, и за деньги, и под давлением (например, по требованию представителя силовых ведомств). Также заменная карта может быть выдана злоумышленнику просто по ошибке, если он, используя поддельные документы, сумеет выдать себя за владельца номера, или за его представителя по доверенности. Впрочем, в нашем случае всех этих ухищрений не потребовалось: компания МТС выступала активным соучастником взлома аккаунтов своих клиентов. Помимо перевыпуска их СИМ-карт, она ещё и заблокировала в их телефонах возможность получения СМС на время перехвата кодов авторизации.

В конкретном примере с сервисом Telegram этот способ взлома элементарно просто нейтрализовать. Достаточно использовать двухступенчатую авторизацию, о введении которой сервис объявил в начале апреля 2015 года. Вторым шагом идентификации в этой схеме является придуманный пользователем пароль, который злоумышленнику ниоткуда не получить — а об успешных попытках подбора таких паролей к Телеграму с помощью брутфорса (перебора) науке ничего не известно.

Безотносительно и к случаю с Козловским и Албуровым, и к сервису Telegram, существуют несложные поведенческие приёмы, позволяющие бесконечно осложнить жизнь потенциальным взломщикам наших аккаунтов. Мы знаем, что для «перехвата» наших логинов и паролей в разных системах злоумышленник захочет использовать наши телефонные номера и почтовые ящики, которые ему известны. Так что достаточно нам для доступа к важным сервисам использовать никому не известные почтовые адреса и телефонные номера, чтобы злоумышленник просто не смог до них добраться. Такой ящик и такой номер можно создать специально для логина в коммуникаторы. Никогда не использовать эту почту для переписки, а телефон — для звонков. Нигде их не публиковать. СИМ-карту заводить не на своё имя (проще всего — иностранную, на предоплатном контракте; входящие СМС в роуминге у любого оператора бесплатны).

Все эти методы профилактики нежелательного интереса к нашей переписке и архивам — простые предосторожности, которые, по сути дела, сводятся к «защите Неуловимого Джо». Чем меньше миру изначально известно о тебе и твоей жизни, тем трудней негодяям уцепиться за ту первую ниточку, взявшись за которую они хотели бы размотать клубок.

PS. Вопрос о сохранении/удалении архивов и обеспечении их безопасности рассматривается в отдельном посте.

Comments

[ivan-kosolapov.livejournal.com]

Технически задача конечно простая. Но если бы это делалось через торговую сеть оператора, то сим карта настоящего владельца работать бы перестала...

[batcu.livejournal.com]

Самый простой видимый выход - купить симку у метро у ближайшего узбека.

[lazoukov.livejournal.com]

И телефон, купленный за наличные, чей идентификатор нигде не светился.

[dolboeb.livejournal.com]

Совершенно не обязательно.
Там есть вариант с двумя одновременно работающими симками.
Мне его предлагали когда-то.

[dolboeb.livejournal.com]

В качестве временной меры годится.
Но оператор, на балансе которого находится эта симка, может попасть под очередную волну паспортизаций.
Ну, и восстановить её при утере не получится.

[qulac73.livejournal.com]

Знаю один очень простой способ защиты от взлома: не пользоваться Telegramом.

[ivan borzenkov (from livejournal.com)]

Еще одно подтверждение того факта что российская оппозиция в техническом плане дебилы.
У них уже столько про*ов из-за того что не знают базовых вещей в IT

[ivan borzenkov (from livejournal.com)]

они технические книжки не читают, шифрование не знают, они хипстеры, они дурова слушают

[qulac73.livejournal.com]

Знаю, для меня это просто еще один повод пнуть Telegram.

[kh-sugutskiy.livejournal.com]

как муравьи какие то
интересы у них какие то
Да мне лично по барабану вообще их интересы
Хочу чтобы они вечно были в оппозиции
я не русский мне можно

[hirurg-thegreat.livejournal.com]

Неоднократно перевыпускал карты за последние лет восемь. Старая блокируется сразу же, никие смс на нее не придут. Немного ранее, лет десять-двенадцать назад было возможно клонирование симок, даже своими руками с помощью продававшихся повсюду наборов с болванками. Нынешние симки так не склонируешь.

[sozidatel.livejournal.com]

В Израиле вполне себе обыденная услуга — копия симки для автомобиля. То, что при выпуске новой симки блокируется предыдущая — это просто дополнительное действие, которое можно и не выполнять.

[gxachaturov.livejournal.com]

> Соответственно, круг лиц, способных совершить такое действие, огромен. Любой сотрудник офиса оператора в любой точке страны может это сделать.

Число операторов способных это сделать огромно, но тот кто это сделал оставляет свой след в базе данных. Если бы органы захотели, они бы моментально локализовали взломщика.

[andrey-che.livejournal.com]

Идея с неизвестными e-mail и номерами телефона хороша, но, если фсб захочет, то, поверьте, и это им не помешает.
Особенно если они уже заинтересовались блоггером.
И если блоггер в списке мониторинга на предмет экстремизма.

Узнал о имеющихся списках в августе 2014, когда пришли ко мне с обыском по моему посту в Facebook.
Я еще хорошо отделался. В декабре 2015-го получил приговор 100.000 руб. штрафа, но попал под амнистию.

[cheerfulthinker.livejournal.com]

@СИМ-карту заводить не на своё имя
Ой, и вы ретроградом оказались :-( Зачем советуете эти допотопные технологии, для которых требуется не только иметь отдельный кусок пластика, но ещё к нему и второй телефон таскать (ну либо танцевать с бубном, меняя симку в своем телефоне, рискуя одну из симок потерять — и что, путешествовать за границу только из-за симки???)
Лучше бы посоветовали виртуальный номер. Лучший вариант — Google Voice, очень удобный доступ через Hangouts или через браузер (единственная проблема — для получения нужен реальный американский номер, неудобно, но через знакомых можно получить). И доступ к этому телефону защищён через Google Authenticator, как и основной почтовый ящик — и я согласен, что лучше для этого номера альтернативный скрытый ящик оформить, чтобы при взломе основного до телефона не добрались). Есть наверняка пара достойных заменителей (вроде какого-нибудь Talkatone, но я их плохо знаю, поскольку только GV пользуюсь).

В идеале нужно бы и мессенджерами пользоваться получше, которые такой ляп со сбросом через смс не допускают, но, в принципе, можно один раз помучиться с получением GV, а дальше не менять свои порочные практики в выборе способов общения :)

Очень хотелось бы, чтобы вы исправили совет, чтобы наши измученные оппозиционеры следовали лучшим практикам по борьбе со слежкой, пока инфоповод не угас.

[cheerfulthinker.livejournal.com]

Дело липовое завести не помешает, а вот доступ к личной переписке получить — вполне себе помешает.
Не надо всё упрощать до чёрно-белого варианта — либо дело, либо ничего, у них ещё вагон с тележкой промежуточных подлых тактик.
Сочувствую, что вас это тоже затронуло :-(

[sedackov.livejournal.com]

Почему мы не помним свои прошлые жизни? Есть ответ от инсайдера.
http://tchaykovsky.ru/blog_b/dnk_otvet.htm

[neonlj.livejournal.com]

Скудоум, ты попробуй прочитать сначала как "взломали" Telegram.

[cheerfulthinker.livejournal.com]

Ага, дебилы, взломали сервис, про который у пользователей была полная уверенность, что он защищённый, и скачали всю личную переписку.

[andrey-che.livejournal.com]

Спасибо.
Да, тогда дело было сфабрикованно, так как я тут на дальнем Востоке уж очень громко выступал против войны в Украине и против сепаратистов.
Почти 2 года в списке террористов без средств к существованию, экспертизы, давление и т.д.
хорошо подключились быстро СМИ, правозащитники, центр "Сова" и т.д.
И судья оказалось порядочным человеком.

А так прокуратура просила двушечку.

Если интересно подробности есть тут - http://andrey-che.livejournal.com/3414421.html и далее по хештегам у меня "суд" и "срок", они там есть под постом.

[ivan borzenkov (from livejournal.com)]

Ну да. "у пользователей была уверенность" это лапшу маркетологи развесили и все, это же Дуров, неужели по вконтакту не ясно?

[lxandr.livejournal.com]

Не припомню пока ни одного случая взлома Телеграма через собственно Телеграм. Ни один самый защищенный сервис не справится с пользователем, раздающим направо и налево свой пароль. Безопасность системы равна безопасности самого слабого ее элемента, в данном случае — смсок в МТС.

[qulac73.livejournal.com]

А какая разница если Telegram говно.

[sk13.livejournal.com]

У меня есть были две симкарты.
Втыкаешь одну в телефон другая не работает и наоборот :)
То есть только после идентификации в сети одной симки дубликат перестает работать.

Сейчас при бытовой замене сим карты меняется айдишник и перестает работать например двухфактораная авторизация нужно звонить в банк или куда там и говорить что мол сим карта поменялась перепривяжите итп. То есть помимо номера есть еще какой то ключ.

Так что по сути пользователь может потерять сеть на несколько минут пока злоумышленник все сделает что ему нужно. И не нужно даже смс отключать.

[neonlj.livejournal.com]

То есть по скудоуму возражения нет ) Ладно обмудок, расскажи как нам почему Telegram - говно.