что такое авторизация аккаунта в телеграм
Авторизация/Регистрация пользователя через Telegram
В данном топике хочу описать дополнительный, а для некоторых сервисов возможно и основной способ авторизации и регистрации пользователя через Telegram, подобно OAuth авторизации через социальные сети и web-сервисы.
Допустим, у Вас есть некий сервис, который предлагает пользователям вход через Telegram. На странице авторизации пользователю предлагается ввести его Username в Telegram. После ввода Username, на аккаунт пользователя приходит сообщение с кодом подтверждения, который он вводит на странице авторизации.
В первую очередь нам потребуется «живой» аккаунт в Telegram, то есть аккаунт который зарегистрирован на мобильный номер телефона. В данном случае боты не подходят для данной задачи, так как боты не могут писать сообщения первыми.
Теперь что касается серверной стороны.
На странице приложений Telegram есть не официальное приложение telegram-cli. Оно и будет выполнять функцию приложения которое будет взаимодействовать с сервером Telegram.
Для упрощения примера telegram-cli будем ставить в каталог /usr/local/src/:
cd /usr/local/src/
Ставим необходимые пакеты:
sudo apt-get install libreadline-dev libconfig-dev libssl-dev lua5.2 liblua5.2-dev libevent-dev libjansson-dev python-dev
Собираем telegram-cli:
./configure make
При первом запуске, приложение попросит ввести номер телефона нашего «живого» аккаунта. После ввода номера, будет выслан код подтверждения по смс или в приложение если данный аккаунт сейчас активен на другом устройстве. После подтверждения, в вашем домашнем каталоге будет создана директория «.telegram-cli» в которой будут хранится файлы конфигураций для указанного аккаунта.
Видим следующую картину: 
Выходим из приложения:
quit
Теперь нам необходим скрипт который будет взаимодействовать с telegram-cli.
По ключевым словам(telegram-cli php client) на GitHub было найдено готовое решение на PHP.
Создаем файл tg.php со следующим содержанием:
Запускаем скрипт:
php tg.php
Если все прошло успешно, пользователю будет отправлено сообщение с кодом.
На базе данного примера можно легко реализовать регистрацию/авторизацию пользователей через Telegram.
Почему двухфакторная авторизация в Telegram не работает
После недавних громких взломов Telegram-аккаунтов в России, основатель сервиса Павел Дуров сказал, что двухфакторная авторизация «позволяет защитить важную информацию».
Да, если двухфакторная авторизация в Telegram включена, то атакующий, угнавший ваш аккаунт, не получит историю ваших переписок — но от самого угона эта двухфакторная не защищает, хотя вроде как должна бы.
То есть если атакующий может получить вашу SMS с кодом для входа, то он гарантированно может угнать ваш аккаунт независимо от того, включена ли у вас двухфакторная авторизация или нет.
Под «угнать» я понимаю «может войти в приложение Telegram под вашим номером телефона» и писать от вашего имени сообщения вашим контактам.
Происходит это следующим образом:
1. Атакующий у себя в приложении указывает номер телефона жертвы и пытается войти в аккаунт. Тут он видит сообщение, что код отправлен не по SMS, а на приложение, зарегистрированное на этот номер, на другом устройстве:
2. В этот момент жертва получает системное уведомление у себя в приложении (или приложениях) Telegram:
3. Атакующий нажимает «Didn’t get the code?» и Telegram отправляет код через SMS:
4. Тут атакующий вводит код из SMS и узнает, что в настройках аккаунта включена двухфакторная авторизация и что ему нужно ввести пароль (в данном случае «10» это подсказка для пароля, выбранная при включении двухфакторной):
5. Далее атакующий притворяется, будто он забыл пароль — «Forgot password?». Тут атакующему сообщают, что код восстановления отправлен на электронную почту (если жертва при включении двухфакторной авторизации указала адрес электронной почты). Атакующий не видит адреса электронной почты — он видит лишь то, что после «собачки»:
6. В этот момент жертва получает код для сброса пароля на адрес электронный почты (если она указала адрес электронной почты при включении двухфакторной авторизации):
7. Атакующий нажимает «ok» и видит окошко, куда нужно ввести код для сброса пароля, который был отправлен на электронную почту. Тут атакующий говорит, что у него проблемы с доступом к своей почте — «Having trouble accessing your e-mail?». Тогда Telegram предлагает «reset your account»:
8. Атакующий нажимает «ok» и видит два варианта — или ввести пароль, или нажать «RESET MY ACCOUNT». Telegram объясняет, что при «переустановке» аккаунта потеряется вся переписка и файлы из всех чатов:
9. Атакующий нажимает «RESET MY ACCOUNT» и видит предупреждение, что это действие невозможно будет отменить и что при этом все сообщения и чаты будут удалены:
10. Атакующий нажимает «RESET» и Telegram просит указать имя для «переустановленного» аккаунта:
11. Собственно, все, атакующий успешно угнал аккаунт: он вошел под номером телефона жертвы и может писать от её имени сообщения:
12. Жертва при этом видит приложение таким, каким оно было сразу после установки. Приветственный экран рассказывает о Telegram и предлагает зарегистрироваться или войти в уже существующий аккаунт:
13. Когда атакующий пишет от имени жертвы кому-нибудь из контактов жертвы, этот контакт видит, что жертва только что присоединилась к Telegram (что подозрительно), а также новое сообщение (или сообщения) в новом чате от жертвы. Через 12–16 часов контакт также увидит, что в старых чатах вместо имени жертвы указано «Deleted Account»:
Если жертва имеет возможность получать SMS на этот номер телефона, она может войти в приложение Telegram на своём устройстве. Если атакующий на угнанном аккаунте не включил двухфакторную авторизацию, жертва может войти и в меню Settings => Privacy and Security => Active Sessions прекратить все остальные сессии (то есть сессии атакующего):
Если же атакующий на угнанном аккаунте включил двухфакторную авторизацию — жертва, в свою очередь, таким же образом может «угнать обратно» свой аккаунт.
Получается, что единственная польза от двухфакторной авторизации в Telegram — чтобы атакующий не получил переписку из обычных не секретных чатов (если угнать аккаунт без включенной двухфакторной, то атакующий получит всю историю переписок из несекретных чатов, из секретных чатов он и так и так ничего не получит). То есть Telegram с включённой двухфакторной авторизацией даёт приблизительно то же самое, что Signal и WhatsApp обеспечивают и так, без никакой двухфакторной авторизации.
Иными словами, двухфакторная авторизация в Telegram не совсем настоящая, Telegram все равно позволяет войти используя один лишь фактор — код из SMS.
Ситуация несколько анекдотичная: вот вам, юзеры, двухфакторная авторизация. Первый фактор — код из SMS (что у меня есть), второй фактор — пароль (что я знаю). Звучит супер, но когда юзер говорит — а я вот забыл пароль, Telegram говорит — ну ничего, бывает, заходи без пароля и пользуйся на здоровье 🙂
Это удалось выяснить экспериментальным путём в рамках немножко более масштабного исследования о Telegram, WhatsApp и Signal — «Как «защищённые» мессенджеры защищены от кражи SMS»
Как войти в Телеграмм и выйти из него, инструкция
В обновленном Телеграмм каждый пользователь может осуществить вход на русском языке. Процедура аутентификации является простой, но у нее есть некоторые особенности. Вход с ПК, мобильного устройства и через браузер будет отличаться.
Как войти в Телеграмм на компьютере
Если вы впервые входите в Телеграмм с компьютера, нужно выполнить следующие действия:
Для повторного входа в Телеграмм с компьютера алгоритм действий будет несколько иной. Официальное приложение позволяет сохранить последний аккаунт. Если вы повторно откроете мессенджер, вход будет выполнен автоматически.
Но есть и некоторые исключения:
Чтобы зайти с компьютера в Телеграмм, необходимо использовать тот телефонный номер, который вы указывали при регистрации. После осуществления входа пользователь сразу попадет в свой персональный кабинет.
Авторизация на Android
Если вы впервые выполняете вход в мессенджер, нужно будет следовать такому алгоритму:
Если вы уже входили в мессенджер с компьютера, планшета или смартфона, вам будет выслан код на это устройство. Он придет в виде сообщения в Телеграм. Также придет сообщение о входе в мессенджер с другого устройства, будет указан IP адрес, дата и время входа.
Если отсутствует доступ к другому устройству, следует нажать «Не получили код». В этом случае на ваш номер телефона придет смс с кодом.
Войти в Телеграм на iOS (Iphone, Ipad)
Чтобы войти в Телеграмм через айфон, выполните следующие действия:
Войти через браузер
Чтобы попасть в мессенджер через браузер, необходимо перейти по ссылке https://web.telegram.org. Если вы входите впервые, потребуется указать свой телефонный номер и нажать «Далее».
На указанный телефон поступит активационный код. Его нужно будет ввести в отведенное для этого окошко.
После этого доступ к мессенджеру откроется.
Как войти без смартфона и кода
При попытках входа в Телеграмм с другого устройства каждый раз требуется вводить активационный код, который поступает на телефон. Этот код является гарантией того, что злоумышленник, получивший доступ к аккаунту вашему, не сможет привязать его к другому номеру или деактивировать. Но порой доступа к телефону не оказывается. Как же попасть в Телеграмм без смартфона и кода?
Попасть в этот мессенджер без смартфона можно в следующих ситуациях:
Если не произошло разлогинивание, то вы можете просто запустить мессенджер и начать общаться. Единственное, может понадобиться указать пароль локальной защиты. Но для безопасного использования Телеграмм разработчики рекомендуют пользоваться кнопкой Logout. Ведь смартфон могут украсть.
Если вы разлогинились на смартфоне, а на компьютере покинули мессенджер без нажатия на Logout, то можете зайти в аккаунт без введения телефонного номера. Если же вы разлогинились и на ПК, и на смартфоне, то попасть в Телеграмм без активационного кода не удастся.
Важно! Обратите внимание на то, что в интернете появилось множество программ, предлагающих попасть в аккаунт без телефонного номера. Не устанавливайте подобные программы, ведь они могут содержать вирусы.
Как выйти из Телеграмма
Выйти из Телеграмма просто. Но многие не могут отыскать клавишу выхода. Давайте рассмотрим, как покинуть мессенджер на разных устройствах.
На компьютере
Осуществить выход из Телеграмм на ПК вы можете через настройки или с помощью завершения сеанса на смартфоне дистанционно. Если вы нажмете на крестик, мессенджер просто свернется.
В активном режиме Телеграмм отображается в трее — внизу экрана в Windows справа. Для закрытия Телеграмм на компьютере нужно выполнить следующие действия:
Важно! Программа не будет отображаться в трее, если в процессе установки не выставили необходимую галочку. В этой ситуации придется снова скачать Телеграмм и поставить его на компьютер по инструкции.
На Android
Если у вас получилось выйти из приложения на ПК, то покинуть Телеграмм со смартфона не составит сложности.
На iOS (Айфоне)
Что делать при ошибках входа
Устранить возникшие проблемы можно обратившись в техподдержку мессенджера. Вот наиболее часто встречающиеся проблемы пользователей.
Не приходит смс
Если вы осуществляете вход в Телеграмм со стороннего устройства, то код будет выслан не на телефон, а в мессенджер. Проверьте все устройства, на которых вы выполняли вход. Код будет выглядеть так.
Если у вас нет доступа к другим устройствам, следует нажать «Не получил код?», в этой ситуации код будет выслан по смс.
Слишком много попыток входа
Если пришло сообщение о том, что совершено очень много попыток входа, это говорит о том, что вы выполняли какое-то действие слишком часто за последние несколько минут.
Вам придется подождать сутки, только после этого можно будет пытаться повторно войти. Посмотреть точное количество времени, которое осталось до входа, можно в web-версии Телеграмм. Для этого нужно запросить вход в систему, а после этого нажать «показать технические данные». Вы увидите количество секунд, которые остались до совершения повторной попытки входа.
Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
Как двухэтапная авторизация Телеграмм защищает данные пользователей
В связи с недовольством многих клиентов однофакторной аутентификацией на основе СМС-кода разработчики известного мессенджера добавили второй фактор проверки идентичности. В данной статье поговорим о том, что собой представляет двухэтапная авторизация Телеграмм и насколько она надежна в плане защиты клиентской информации.
Два фактора защиты данных
До апреля 2015 года пользователь мог авторизоваться в системе, введя полученный по СМС код. При этом дополнительной защиты от несанкционированного входа в мессенджер не существовало. Таким образом, злоумышленники могли перехватить сообщение, отосланное на телефон клиента, и обзавестись доступом к его переписке. И хотя массовых случаев подобных взломов не наблюдалось, разработчики во главе с Павлом Дуровым решили устранить подобную возможность.
Благодаря внедрению в Telegram двухэтапной авторизации теперь пользователь может установить дополнительный пароль, который вводится каждый раз при открытии приложения на новом девайсе. Помимо этого, осталась СМС-авторизация, выполняемая на первом этапе входа в систему.
Двухэтапная аутентификация Телеграмм позволяет установить пароль, запрашиваемый при входе в аккаунт с нового устройства.
Двухэтапный вход в мессенджер выполняется следующим образом:
Помогает ли двухэтапная авторизация Телеграмм от взлома аккаунта
На первый взгляд, данное нововведение является очень полезным для безопасного хранения информации на серверах мессенджера. Однако, как показала практика, даже с двумя факторами аутентификации возможность «угнать» аккаунт осталась. Как это происходит:
Хакерами была взломана двухэтапная авторизация Телеграмм, с помощью перехвата СМС кода.
По сути, для нейтрализации двухэтапной защиты, как и раньше, достаточно узнать СМС-код, отосланный на телефонный номер жертвы. Отличием является конечный результат. В этом случае атакующий имеет доступ к чистому аккаунту, тогда как взлом однофакторной защиты позволял прочитать всю переписку.
Случаи обнуления профиля известных деятелей
В апреле 2016 года произошел практически одновременный взлом аккаунтов Telegram Георгия Албурова (Фонд борьбы с коррупцией) и Олега Козловского (некоммерческая организация «Образ будущего»). Интересно, что несанкционированный доступ к аккаунтам был получен в результате отключения приема/передачи СМС на телефонах Албурова и Козловского. Позже, представители оператора сотовой связи (МТС) заявили, что техническая поддержка не производила отключение услуг на данных номерах, а проблемы со связью были вызваны вирусной атакой.
Три месяца спустя подобная неприятность случилась с журналистом Сергеем Пархоменко. По его словам, на мобильный номер стали приходить СМС с цифрами для авторизации. При попытке зайти на свой профиль журналист получил предложение пройти процедуру регистрации, как при первом посещении. Открыв аккаунт, Пархоменко обнаружил, что он полностью обнулен, а история переписки удалена. Таким образом, не помогли даже два этапа аутентификации, ведь злоумышленники смогли раздобыть необходимые данные у оператора связи.
Как подключить двухфакторную авторизацию в Телеграмм: пошаговая инструкция
Чтобы при входе в приложение с нового устройства система кроме СМС-кода запрашивала пароль, необходимо выполнить следующую процедуру:
Подобная инструкция справедлива для всех платформ, на которых работает Телеграмм. Чтобы убедиться, что новые настройки вступили в силу, следует попробовать войти в мессенджер с другого устройства. Если после ввода СМС-кода система запросила пароль, тогда авторизация работает корректно.
Дополнительная функция – Passcode
В одном из недавних обновлений Телеграмм для iOS и Android в меню появился пункт «Passcode». Данная функция позволяет настроить защиту для входа в приложение. Код может содержать как простую комбинацию из 4-х чисел, так и сложную с использование букв и прочих символов.
Подобная защита реализована достаточно гибко. Пользователь может установить запрос кода при каждом включении мессенджера или активировать функцию только в случае необходимости посредством нажатия специального значка в виде замка. Последний вариант удобен, если телефон на время остается без присмотра и существует вероятность, что переписка станет доступной постороннему человеку.
Кроме того, появилась возможность установки таймера автоблокировки, который заблокирует приложение и запросит код, если в течение определенного времени не производились активные действия. Система позволяет включить блокировку через 1 минуту, 5 минут, 1 час и 5 часов.
Функция Passcode защитит приложение от любопытных глаз
Ответ разработчиков
Павел Дуров заявил, что проблем с безопасностью мессенджера не было, а вину за взлом приложения полностью возложил на МТС. Тем не менее, служба поддержки на время отключила возможность обнуления активного профиля в случае забытого пароля. То есть, по сути, Дуров признал, что проблема существует и пообещал в ближайшее время решить ее «более элегантным путем».
На выставке Mobile World Congress 2016 Павел Дуров рассказал о проблеме безопасности Телеграмм.
По состоянию на конец августа 2016 года атака на аккаунт все так же возможна: атакующий, получив СМС-код клиента, может обнулить профиль и для этой операции ему не требуется пароль входа. Иными словами, двухфакторная аутентификация не работает, или работает не так надежно, как бы хотелось пользователям Telegram.
Group-IB рассказала о случаях взлома аккаунтов в Telegram при помощи перехвата SMS с кодом авторизации Статьи редакции
Таким способом злоумышленники могут получить доступ и к другим мессенджерам и сервисам без дополнительной защиты.
Злоумышленники могут получить доступ к переписке в Telegram, используя перехваченные SMS-коды, которые приходят пользователю при входе в аккаунт с нового устройства. Это выяснили специалисты по кибербезопасности российской Group-IB.
С проблемой несанкционированного доступа к переписке столкнулись несколько российских предпринимателей, они обратились в Group-IB за помощью, рассказали в компании. Пострадавшие пользовались устройствами на Android и iOS и были клиентами разных операторов связи.
Во всех случаях на устройствах пострадавших единственным фактором авторизации были SMS. Опасность в том, что таким образом злоумышленники могут получить доступ и к другим мессенджерам, социальным сетям, электронной почте, различным сервисам или приложениям мобильного банкинга, где для авторизации используются только SMS.
Во всех случаях, о которых известно Group-IB, злоумышленники входили в чужие аккаунты через мобильный интернет в Самаре. Компания нашла на хакерских форумах несколько объявлений о продаже доступа к разным мессенджерам. В одном из объявлений неизвестный обещает, что за 100 тысяч рублей покупатель через два-четыре дня сможет в режиме реального времени увидеть всю переписку человека в WhatsApp, Telegram или Viber.
Для защиты Group-IB рекомендует установить двухфакторную верификацию или пароль в дополнение к обязательной SMS в Telegram и других сервисах.