Что есть небезопасный механизм? И какая сейчас защита по вашему?

Мобильный номер есть небезопасный механизм, когда его 1) перевыпускает любая пешка в любом из салонов без какого-либо наказания; 2) блокирует оператор и номер остаётся свободным; 3) когда отбирают за неуплату через 3 месяца; 4) когда злоумышленники звонят ожидая перезвон и восстанавливают как будто СИМ вообще их; 5) когда с помощью уязвимости в SS7 могут получить и совершить что угодно; 6) когда купив устройство за 100-200 баксов, имитирующе фемтосоту или базовую станцию воруют контент из смс; 7) когда владелец условного Мегафона захочет ваш канал без палева отобрать.

И никакая 2FA не поможет, т.к. хоть переписка и будет очищена, но аккаунт будет угнан.

Любой ИБ-специалист вам скажет, что полагаться на безопасность мобильных номеров всё равно что доступы в сеть опубликовать.

А относительно ботов и спамеров скажу, что купить пачку виртуальных или даже реальных номеров и зарегистрировать на них аккаунты не представляет никакого труда, не говоря уже о сворованных и купленных в даркнете аккаунтах. Иначе спамеров бы сейчас не было. А они есть. И каждый день в личку отправляют бесящие картинки.

1) И что? 2FA и левые люди не могут войти в профиль.

2) И? Заблокировали номер, пользователь перенёс аккаунт на новый номер и уже никто не знает на каком он номере.

3) Смотреть пункт выше.

4) Всё также второй пункт, и двухфакторка, лишние люди, которые не знают пароля не могут войти, а через настройки приватности можно завершить незаконченные попытки авторизации (тот кто ввел код из СМС, но не ввел парол), или просто перенести аккаунт на другой номер, и всё, попытки входа в твой аккаунт остановились.

5) Несмотря на то что это супер старая уязвимость спасает двухфакторка, о которой написано выше.

6) Ну и пусть покупает хоть за тысячу долларов, двухфакторка спасает.

7) Как владелец мегафона обойдёт пароль?

С чего это двухфакторка не спасает? Более того, людей которые ввели код из СМС но не ввели пароль можно убирать (Кик из сессии).

Ну, взлома двухфакторки не было ни разу, так что не важно что там скажут ИБ-специалисты, все пункты похожи на то, что их писал человек который совершенно не разбирается в защите своего аккаунта.

И да, о какой переписке речь? Что будет удалено?

Вот вам пример:

Купить оружие несложно, поэтому государство должно их выдавать всем, да?

1) Могут. Через мобильный номер восстановят пароль и сбросят аккаунт. Угадайте где будет юзернейм. И такое делали с известными людьми -- https://habr.com/ru/company/pt/blog/283052/

2) И все пользователи веб-версии, которые не устанавливали приложение на устройство не могут войти, т.к. нужно подтверждение с заблокированного мобильного номера. Но вы же о таких людях не думаете!

3) Смотреть пункт выше.

4) Реализованная 2fa в телеграме вас не защитит. Смотреть пункт №1. 2fa защищает от чтения переписки, а не от угона аккаунта с юзернеймом.

5) Эта "старая" уязвимость до сих пор присутствует в сетях оператора и ещё так же будет присутствовать не один год.

6) Не спасает. Я это писал ещё в прошлом комментарии, но вы же не читаете.

7) Владелец Мегафона сбросит аккаунт и угонит тем самым юзернейм.

А с того и не спасает. Если даже сделают так, что при сбросе аккаунта юзернейм навечно блокируется в системе Телеграма, то как минимум аккаунтом будут манипулировать представляясь другим человеком и ведя переписку от его имени, т.к. этот номер у кого-то в контактах, на минуточку.

Попробуйте сбросить аккаунт, у которого подключёна двухфакторка в Телеграм и сразу станет известно.

Советую больше задумываться. Тогда такие тупые примеры в подобных ситуациях не будут возникать

1) Аккаунт удаляется через 7 дней,за это время можно отменить удаление а также сменить номер (о чем я писал выше).

2) Если у вас есть активная сессия, то код приходит туда, а не в смс, вы опять показываете как ничего не знаете об авторизации в мессенджере.

3) Уже ответил.

4) Удалить аккаунт мгновенно нельзя, у пользователя есть неделя (и даже больше), на то, чтоб отменить удаление аккаунта.

5) Все равно удалить или войти в аккаунт нельзя.

6) Приведите пример, когда кто-то взламывал или угадывал двухфакторку, иначе опять безобоснованный бред.

7) Аккаунт не сбрасывается и не удаляется моментально, юзеру приходит ссылка с отменой удаления аккаунта.

Вот теперь проверьте информацию, которую пишите, фактчекинг очень важен в наше время, а вы только языком чешете пока что.

Вовремя я в коменты заглянул, интересная дискуссия ... и да, я согласен от части с обеими сторонами, регистрация по номеру не так безопасна как хотелось бы, но альтернативы как таковой не видно. Плюс, удобно сразу видеть зарегистрирован ли контакт в телеге или нет (ФСБшникам тоже удобно, это минус)

Пробовал, сразу не удаляется

Это конкретный пример, попробуйте пофантазировать.

1) Не имеет отношения к тому, что я писал. Всем будет чихать на какие-то 7 дней. Как только получат доступ к мобильному номеру, так сразу же и сбросят аккаунт (т.е. восстановят пароль).

2) Сессии в браузере заканчиваются, кеши чистятся, ОС меняется и прочее прочее. Я таки хорошо знаю ИБ, ИТ и принцип работы мессенджера.

4) Речь не удалении аккаунта через соответствующую кнопку. Но вы же лучше меня знаете механизм авторизации (на самом деле вы сделали ошибку, правильно аутентификации) в мессенджере.

5) Можно. Я описывал. Повторять не собираюсь.


6) Я ссылку выше скинул, но вы же не читаете. Там даже комментарий есть https://habr.com/ru/company/pt/blog/283052/#comment_9622106

7) Интересно как юзеру придёт ссылка на удаление, если аккаунт не удаляется, а сбрасывается.

В отличии от вас, я не занимаюсь пустословием и приводил пруфы, которые вы НЕ ЧИТАЛИ. Если бы читали, то поняли бы ситуацию, возможно увидили бы детальные комментарии и нашли следующую статью -- https://habr.com/ru/post/357108/

Это не пример, а булшит. Я не говорил, что нужно из всех сделать спамеров (как и всем раздать оружие, использование которого в США, кстати, намного более гибко, чем у нас), я говорил, что нужно СДЕЛАТЬ ЗАЩИТУ ЛУЧШЕ. Если текущие способы борьбы с нелегальным оружием не работают, то я предлагаю искать новые способы борьбы с этим самым нелегальным оружием. И да, многие политики видят решением дать возможность носить оружие многим людям, что бы в условиях контрабанды оружия была возможность защититься. За это были как множественные петиции, так и куча организаций и политиков.


И ещё раз повторяю -- Я ЗА РАЗРАБОТКУ ЛУЧШИХ МЕХАНИЗМОВ, а не за послабление спамерам и злоумышленникам.

Маразм блин. Все ИБ специалисты ОРУТ, что мобильные номера не безопасны и ТОЛЬКО ВРЕДЯТ, а находятся люди, которые ещё и защищают это без каких-либо пруфов и с надуманными примерами.

Пусть разрешат использовать TOTP без всяких там восстановлений по мобильному номеру, тогда я буду только "за".

1) Вы вообще сами пробовали это сделать? Сбросить аккаунт нельзя, на отмену сброса даётся 7 дней, если вы плюёте, то хотя бы учитывайте матчасть, а то голословны в своих высказываниях.

2) Опять голословное высказывание, у меня больше двух лет активная сессия в браузере, более того, если человек переживает за сохранность своих данных имеет запасную сессию, где уже может сменить номер, отменить удаление аккаунта (сброс), и многое другое.

4) Лучше что-нибудь нормальное сказали бы, а то неизвестно зачем этот пункт.

5) Не можете повторить потому что не знаете как, а не знаете, потому что невозможно.

По ссылке: https://habr.com/ru/company/pt/blog/283052/#comment_9622106 написано следующее:

сможет войти под вашим номером телефона и писать сообщения от вашего имени

Это полнейший бред, вы хоть сами читали это? Как войти в аккаунт не вводя пароля? Продемонстрируйте такую способность, или опять голословны?

7) Читайте внимательно, юзеру придёт ссылка на отмену сброса или удаления, то есть перейдя по ссылке пользователь отменит процедуру удаления (сброса аккаунта)

У вас нет пруфов, от слова совсем, всё это брехня, про сброс аккаунта написано да, но уже несколько раз написал: сброс сразу не происходит, вам бы ещё проверять всё что пишут в статьях за 2016 год, вы хоть понимаете что прошло 4 года?

Так что пустословие только с вашей стороны.

Не переживайте, механизмы разрабатываются, и аккаунты которые были зарегистрированы на виртуальные симки многое не могут сделать, а ботов очень часто удаляют в телеге.

Кто вас заставляет использовать номер? Удаляйтесь из Telegram, вас никто не держит, специалист блин)

Пароль не восстанавливается на телефон. Телефон - это не защита аккаунта, это удобное средство нахождения своих друзей, а защита это двухфакторка. И если почта не привязана взломать акаунт невозможно