Войти в систему

Home
    - Создать дневник
    - Написать в дневник
       - Подробный режим

LJ.Rossia.org
    - Новости сайта
    - Общие настройки
    - Sitemap
    - Оплата
    - ljr-fif

Редактировать...
    - Настройки
    - Список друзей
    - Дневник
    - Картинки
    - Пароль
    - Вид дневника

Сообщества

Настроить S2

Помощь
    - Забыли пароль?
    - FAQ
    - Тех. поддержка



Пишет alexakarpov ([info]alexakarpov)
@ 2025-09-24 21:37:00


Previous Entry  Add to memories!  Tell a Friend!  Next Entry
Музыка:Tom MacDonald - "Fake Woke"

телесрам
сломали мне Телеграм, которым я, впрочем, почти и не пользовался. в итоге удалился оттуда нафиг, слишком много красных флажков

1) после взлома, нашел сайт их тех. поддержки, где "оставил" сообщение о взломе. в кавычках, потому что не верю, что эта система что-то делает. запросила имя/фамилию, телефон, email, ну и описание. после отправки не пришло ни письма, ни звонка, вообще 0 обратной связи. даже сообщения с ссылкой на открытый инцидент/кейс не было. думаю, имя и телефон просто ушли в БД первого отдела
2) там в меню есть подменю "безопасность", в котором предложе список активных сессий - одна моя, и две взломщиков, из РФ и Лондона. Но попытка их закрыть выдала сообщение об ошибке - "вы не можете закрыть эту сессию, потому что она старше вашей". такая вот смешная "безопасность" - "кто раньше встал, того и тапки"
3) но предложение включить "многофакторную аутентификацию" взяло первый приз в чемпионате позора - оно не предложило ни подключить хардверный ключ, ни использовать один из нескольких всеи известных генераторов ключей - нет. "вы можете создать второй пароль". они вообще знают, что значит "многофакторное"?

надеюсь (а зачем?), что они не такие тупые, а просто троллят пользователей из страны веростного противника, но думаю, что это глупость, и они реально настолько тупы. ну или не тупы, но реально держат пользомателей за говно. совок же, бессмысленный и бессмертный



(Читать комментарии) - (Добавить комментарий)


[info]alexakarpov
2025-09-25 14:05 (ссылка)
да, mea culpa, так и взломали. один из контактов типа прислал ссылку, мол, "проголосуйте за нашу девочку". я, как лох, и проголосовал, но кто ж знал, что телесрам хранит _публично_ коды доступа? или это я тоже не разбираюсь в security, а телесрам разбирается? я там никаких данных не вводил, например.

(Ответить) (Уровень выше) (Ветвь дискуссии)


(Анонимно)
2025-09-25 14:44 (ссылка)
что значит "хранит публично коды доступа" ? объясни смысл этой фразы.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]alexakarpov
2025-09-25 15:24 (ссылка)
ну, браузер ведь авторизован - через СМС с кодом, видимо, полученным давно. в обмен на тот код телега сгенерила какой-то браузерский код/ключ, браузер теперь его хранит и предъявляет (как secret) для авторизации. не знаю, как именно в этом диалоге телега определяет, кто я (principal), и где именно хранит secret, используемый для аутентификации - но если какой-то левый вебсайт его считал, то, очевидно, ключ лежит в паблике
phishing по сути своей это наёбка, когда secret вводят вручную человеческие руки. я там ничего не вводил

(Ответить) (Уровень выше) (Ветвь дискуссии)


(Анонимно)
2025-09-25 17:23 (ссылка)
Не только браузер, а любое устройство, где запускается телеграм - клиент на телефоне, клиент на компьютере, браузер и т.д, это как раз и называется сессия. Левый вебсайт не может его считать(если у тебя смог, то это действительно серьезный баг, выложи подробности, будет скандал). Фишинг это наёбка, да, где ты своими руками даёшь доступ. В случае телеграма надо либо вводить код, либо нажать на кнопку с подтверждением. Т.е. ты открываешь ссылку, тебе в существующую сессию приходит сообщение от телеграма вроде такого:
Name, мы получили запрос на авторизацию Вашего аккаунта в Telegram на telegram.org.

Чтобы принять запрос, нажмите кнопку «Принять» ниже.

Браузер: Firefox 143 on Windows
IP: xxx.xxx.xxx.xxx (xxxx, Russia)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]alexakarpov
2025-09-25 19:58 (ссылка)
да, вероятнее всего, нажал на ссылку.

(Ответить) (Уровень выше)


(Читать комментарии) -