Двухэтапная аутентификация Telegram: облачный пароль, почта восстановления и ловушки

По умолчанию Telegram-аккаунт защищён ровно одним: кто получил SMS, тот и вошёл. Для личности, на которой висят переписки, контакты, а на рабочем флоте ещё и бизнес, это тонкая защита. Двухэтапная аутентификация - в Telegram её называют облачным паролем - тот слой, который держит, когда номер перестаёт быть вашим.

И это же защита, которую чаще всего настраивают неправильно. Наполовину настроенная, она выглядит включённой, пока ключ остаётся у постороннего; поставленная с чужой почтой восстановления, она вообще не защита, а замок, запасной ключ от которого лежит в чужом ящике. Разбираем, что именно она закрывает, чего не может и какие ловушки делают пароль слабее, чем кажется.

Что на самом деле закрывает облачный пароль

Облачный пароль - дополнительный секрет, который спрашивают после кода из SMS при каждом новом входе. Под капотом Telegram проверяет его по протоколу SRP: сам пароль на серверы Telegram не уходит никогда, туда отправляется только математическое доказательство, что вы его знаете. Закрывает пароль вещь узкую и конкретную - выпуск новых авторизаций. Он ничего не шифрует из того, что у вас уже есть, и не трогает уже существующие ключи.

В этой таблице есть строка, которую понимают неправильно чаще всего. Против утёкшего файла сессии облачный пароль не делает ничего: авторизация - это ключ, а у существующего ключа пароль больше не спрашивают. У кого копия вашей tdata, тот уже внутри - с паролем или без. Средство здесь одно: завершить сеанс, и все копии этого ключа умрут разом.

Ещё одна граница: вход по QR-коду облачный пароль уважает. Подтверждение нового устройства на защищённом аккаунте всё равно требует пароль, так что сценарии, выпускающие вторую сессию, мимо него не проскочат. И не путайте его с локальным код-паролем Telegram Desktop: тот шифрует tdata на диске, а облачный пароль закрывает вход на стороне сервера. Атаки они закрывают разные, и серьёзная настройка использует оба.

Почта восстановления - запасной ключ, но чей

Почта восстановления - аварийный выход на случай забытого пароля: Telegram присылает код, и пароль сбрасывается за минуты. Без неё остаётся только полный сброс (account.resetPassword) с ожиданием семь дней, и всё это время аккаунт не принимает новых входов вообще. Для рабочего аккаунта это неделя простоя, так что почту иметь стоит.

Обратная сторона ровно та же и без полутонов: кто контролирует ящик, тот контролирует пароль, а значит и аккаунт. Адрес восстановления, который ставили не вы, - это не мелочь на потом, а живой бэкдор, и он переживает почти всё, что вы инстинктивно сделаете.

Есть и второй тип адреса, который легко пропустить. Telegram умеет вход по почте вместо кода из SMS. В аккаунт с чужой почтой для входа можно зайти вообще без номера телефона - и этот бэкдор к облачному паролю отношения не имеет и сменой пароля не убирается. Если на экране статуса виден незнакомый адрес для входа, считайте, что аккаунт по-прежнему принадлежит владельцу того ящика.

Отдельно о том, чего не сделает за вас ни один инструмент: привязку почты восстановления автоматизировать нельзя. На запрос «поставить пароль вместе с почтой» Telegram отвечает EMAIL_UNCONFIRMED и ждёт код подтверждения, доставленный в этот ящик, поэтому честная платформа ставит пароль без почты и оставляет адрес на вас. Привязывайте вручную, в официальном клиенте, на ящик под вашим контролем - лучше отдельный алиас на аккаунт и со своей двухфакторной защитой. И никогда не делайте один ящик адресом восстановления для всего флота: так права на восстановление всех аккаунтов сходятся в одну точку отказа.

Аккаунт, который достался от кого-то другого

На купленном аккаунте всё вышесказанное складывается: продавец владел им полностью вплоть до сделки и мог заранее позаботиться о том, чтобы владеть дальше. Что вообще продаётся и как размечают происхождение - отдельный разговор; здесь - гигиена, которая нужна в момент, когда в руки попал аккаунт, зарегистрированный не вами.

1. Сначала прочитайте состояние, ничего не меняя: стоит ли пароль, привязан ли адрес восстановления, привязана ли почта для входа, какие сеансы живы.
2. Снимите существующий облачный пароль и поставьте свой с нуля. Не просто смените: смена сохраняет привязанный адрес восстановления прошлого владельца.
3. Завершите все авторизации, которые создавали не вы. Сеанс младше примерно суток завершать другие не может, поэтому делайте это с давнего устройства.
4. Привяжите свою почту восстановления вручную в официальном клиенте, на ящик под вашим контролем.
5. И только после этого давайте аккаунту делать что-то значимое, а первые недели считайте прогревом, а не работой.

Шаги два и три пропускают чаще всего - и именно они решают, чей это аккаунт. Пароль, который сменили, а не переставили, или один неучтённый живой сеанс означают, что аккаунт вы арендуете, а не владеете им. Полный порядок приёмки - сначала прокси, потом карантин, плюс признаки, по которым аккаунт уже не спасти, - собран в приёмке купленного аккаунта.

Вход, упёршийся в пароль, - это тревога

Облачный пароль работает ещё и датчиком. Если попытка входа дошла до запроса пароля и застряла там, значит код из SMS уже добыт и использован - удержал только пароль. Это не рядовое событие, а свидетельство, что канал доставки кода скомпрометирован: SIM-swap, сервис аренды номеров, перепродавший номер, или выуженный фишингом код.

Реагируйте так, будто номер засвечен, пока не поймёте, где утёк код: проверьте список устройств, завершите всё незнакомое и стройте планы на аккаунт из допущения, что коды на этот номер может получить кто-то ещё. Откуда взялся номер, обычно и объясняет, как это произошло.

Teleliner показывает этот сигнал прямо на аккаунте, чтобы его не приходилось искать: если среди авторизаций замечена сессия, застрявшая на вводе пароля, аккаунт помечается. Пометка означает, что пароль сработал, - и что номер больше не принадлежит вам одному.

Карантины Telegram после смены пароля

Сразу после установки или смены пароля, а также сразу после входа новой сессии Telegram включает суточные карантины. Они выглядят как поломка, но ей не являются.

• FRESH_RESET_AUTHORISATION_FORBIDDEN - сеанс младше примерно суток не может завершать другие сеансы. Отзывайте с более старого устройства или подождите.
• PASSWORD_TOO_FRESH и SESSION_TOO_FRESH - часть чувствительных операций какое-то время после смены пароля или свежего входа не выполняется, а в ошибке приходит остаток секунд.
• Полный сброс пароля без почты восстановления завершается только через семь дней.

Практический вывод: делайте работу по безопасности в правильном порядке и с запасом времени. Поставить пароль и тут же попытаться вычистить старые сеансы из этой же свежей сессии - ровно та последовательность, которую карантин запретит; поэтому чек-лист выше и начинается с давнего устройства.

Двухфакторка на дашборде - это про другое

Не путайте облачный пароль аккаунта с двухфакторной защитой инструмента, который этим аккаунтом управляет. Это разные двери. Если платформа держит сессии целого флота, вход в неё - самая ценная единственная учётка, которая у вас есть: один утёкший пароль от дашборда иначе отдаёт сразу все аккаунты за ним.

В Teleliner у этой двери свой второй фактор: обычный TOTP-код из любого приложения-аутентификатора, включается в настройках, плюс одноразовые резервные коды, которые выдаются при включении. Защита стоит на пользователе, а не на способе входа, поэтому вход через Google её не обходит. Опасные операции - например, экспорт сессии аккаунта - дополнительно спрашивают свежий код даже внутри уже залогиненной сессии, так что угнанной вкладки браузера не хватит, чтобы унести флот. Восстановление - только резервными кодами, и поэтому их стоит хранить в надёжном месте.

И честное замечание про хранение, потому что этот вопрос справедливо задавать любому инструменту, который логинится от вашего имени: облачные пароли, ключи сессий и доступы к прокси хранятся в зашифрованном виде, каждая запись под собственным ключом, - украденная копия базы не равна украденному флоту.