Cómo la verificación en dos pasos protege los datos de los usuarios en Telegram

Teniendo en cuenta la insatisfacción de muchos clientes con la verificación de un solo factor basada en el código SMS, los desarrolladores del famoso mensajero añadieron el segundo factor de verificación de identidad. En este artículo, vamos a hablar sobre la verificación en dos pasos en Telegram y su fiabilidad en términos de seguridad de la información de los clientes.

;

Dos factores de seguridad de los datos

Hasta abril de 2015, un usuario podía iniciar sesión en el sistema introduciendo un código recibido en el mensaje de texto. Al mismo tiempo, la protección adicional contra el inicio de sesión no autorizado no existía. De este modo, los intrusos podían interceptar un mensaje enviado al teléfono de un cliente y acceder a sus conversaciones. Aunque no se registraron casos masivos de este tipo de hackeos, los desarrolladores dirigidos por Pavel Durov decidieron eliminar esta posibilidad.   Debido a la implementación de la verificación en dos pasos en Telegram, hoy en día un usuario puede establecer una contraseña adicional que se puede introducir en caso de abrir una aplicación en algún dispositivo nuevo. Además, se mantiene la verificación por SMS que se realiza en la primera etapa del inicio de sesión en el sistema.     El inicio de sesión en dos pasos se realiza de la siguiente manera:

1. Al iniciar sesión en la aplicación dada, un cliente introduce su número de teléfono.
.
2. Además, recibe un mensaje de texto con un código de verificación que es necesario introducir en el campo correspondiente.
3. Si es correcto, el cliente verá un campo para introducir su contraseña (él mismo elige una combinación de símbolos en la fase de registro)
.
4. En caso de combinación correcta, un usuario obtiene acceso a su página.

 

¿Es útil la verificación en dos pasos cuando se trata de hackear cuentas?

A primera vista, la innovación dada es muy útil para el almacenamiento seguro de información en los servidores de Telegram. Sin embargo, como ha demostrado la práctica, sigue existiendo la posibilidad de hackear cuentas incluso a pesar de los dos factores de verificación. Así que, así es como funciona:

1. Un intruso introduce el número de teléfono de su víctima y envía una solicitud de autenticación.
2. Un intruso introduce el número de teléfono de su víctima y envía una solicitud de autenticación.
3. Una víctima recibe un código de verificación que llega a ser conocido por un intruso (una posibilidad de la interceptación de SMS es que un hacker penetre en el soporte técnico de un operador de red móvil).
4. Un intruso introduce los números recibidos y accede a la página de introducción de la contraseña.
5. Con el pretexto de un olvido, un intruso pulsa el enlace correspondiente "¿Olvidó su contraseña?" y recibe una notificación de envío de un código de recuperación a una dirección de correo electrónico que se indicó al registrarse.
6. Como un intruso no tiene la oportunidad de iniciar sesión en la cuenta de correo electrónico de su víctima, pulsa un enlace "¿Tiene problemas para acceder a su correo electrónico?" mientras menciona que tiene problemas con
7. El sistema le ofrece realizar un restablecimiento completo de la cuenta borrando todas las conversaciones. El hacker acepta estas condiciones y obtiene acceso a la cuenta de su víctima junto con la posibilidad de enviar mensajes en su nombre.
8. El sistema le ofrece un reinicio completo de la cuenta borrando todas las conversaciones.

    De hecho, para neutralizar la seguridad en dos pasos basta con conocer el código SMS enviado al número de teléfono de la víctima. La diferencia está en el resultado final. En este caso, un pirata informático tiene acceso a una página vacía, mientras que el pirateo de seguridad de un solo factor permitía leer todas las conversaciones.  

Casos de restablecimiento de cuentas de personajes conocidos

En abril de 2016 se produjo un hackeo prácticamente simultáneo de las cuentas de Telegram de Georgy Alburov (Fundación Anticorrupción) y Oleg Kozlovskiy (organización sin ánimo de lucro "Visión del mañana"). Es interesante que el acceso no autorizado a sus páginas se produjo como resultado de la desactivación de la opción de recepción y envío de SMS en los teléfonos inteligentes de Alburov y Kozlovskiy. Además, los representantes de un operador de redes móviles (MTS) declararon que su equipo de asistencia técnica no había desactivado los servicios en los números de teléfono indicados y que los problemas de comunicación habían sido causados por un ataque de virus.   Tres meses después, un problema similar le ocurrió a Sergey Parkhomenko, un periodista ruso. Según su versión, recibió los mensajes de texto que contenían números de verificación. Al intentar acceder a su perfil, al periodista se le ofreció iniciar sesión, como si visitara el servicio por primera vez. Al abrir su cuenta, Sergey descubrió que estaba restablecida y que se había borrado todo el historial de mensajes. Así pues, ni siquiera la verificación en dos pasos resultó útil, porque los hackers habían logrado obtener los datos necesarios de un operador de red móvil.  

Instrucciones paso a paso para configurar la verificación en dos pasos en Telegram

Si quieres que el sistema solicite tanto el código SMS como una contraseña al iniciar sesión en una aplicación desde algún dispositivo nuevo, es necesario realizar el siguiente procedimiento:

1. Entra en los ajustes y selecciona la opción "Privacidad y seguridad"
.
2. A continuación, hay que buscar la línea "Verificación en dos pasos" en una subsección llamada "Seguridad" y hacer clic en ella. Además, también está la sección "Sesiones activas" una línea más abajo. Te será útil si quieres ver todas las sesiones y cerrar las que estén abiertas en otros dispositivos cuando surja la necesidad.
3. Puedes ver todas las sesiones activas y cerrar las que estén abiertas en otros dispositivos cuando surja la necesidad.
4. Además, se abrirá una página con el campo para introducir la contraseña. Es deseable que la combinación que elija contenga los números y los símbolos con mayúsculas y minúsculas.  
5. Después de introducir tu contraseña, es necesario confirmarla para eliminar errores.
6. Para protegerte del olvido, el servicio te ofrece señalar una pista de contraseña que dirigirá tus pensamientos en la dirección correcta y te ayudará a recordar la combinación de símbolos necesaria.
7. La siguiente etapa incluye la introducción de su dirección de correo electrónico, necesaria para llevar a cabo el procedimiento de recuperación de contraseña. Usted puede saltar este paso, pero usted debe recordar que es la única manera de iniciar sesión en el sistema en caso de que si usted no puede recordar la combinación inicial, incluso con la ayuda de una pista de contraseña.  
8. A continuación, se te enviará un enlace por correo electrónico para que confirmes los cambios. Haz clic en este enlace y verás un mensaje que notifica que la verificación en dos pasos está habilitada para la cuenta en cuestión.
10. Para confirmar los cambios, haz clic en el enlace.

  Dicha instrucción es apropiada para todas las plataformas de Telegram. Para asegurarte de que la nueva configuración surte efecto, tienes que intentar iniciar sesión en el servicio de mensajería desde otro dispositivo. Si el sistema solicita una contraseña después de introducir el código SMS, significa que la autenticación funciona correctamente.  

Opción adicional "Código de acceso"

La sección "Passcode" apareció en una de las últimas actualizaciones de Telegram para iOS y Android. La opción dada permite configurar la seguridad para iniciar sesión en una aplicación. El código puede contener tanto una simple combinación de 4 números como una más complicada que contenga letras y otros símbolos.   La realización de tal seguridad es bastante flexible. Un usuario puede activar la opción de solicitud de código en cada conmutación de Telegram o activarla sólo si es necesario haciendo clic en un icono especial que se parece a un candado. Esta última variante es muy útil en caso de que dejes temporalmente tu teléfono fuera de la mano y exista la posibilidad de que tus conversaciones puedan estar disponibles para un extraño.   Además, también existe la posibilidad de configurar un temporizador de bloqueo automático que bloqueará una aplicación y solicitará un código en caso de inactividad durante un periodo de tiempo determinado. El sistema permite activar un bloqueo en 1 y 5 minutos o 1 y 5 horas.   .  

Respuesta de los desarrolladores

Según explicó Pavel Durov, no hubo problemas con la seguridad del mensajero. Además, echó la culpa del hackeo de la aplicación a la compañía MTS. Sin embargo, el equipo de soporte desactivó temporalmente la posibilidad de restablecer el perfil activo en caso de olvido de la contraseña. En otras palabras, Durov admitió realmente la existencia del problema y prometió solucionarlo lo antes posible de una manera más elegante.   .   Desde finales de agosto de 2016, el pirateo de cuentas sigue siendo posible: tras recibir el código SMS del cliente, un hacker puede restablecer su perfil sin utilizar una contraseña de inicio de sesión. Dicho de otro modo, la verificación en dos pasos no funciona o no es tan segura como los usuarios de Telegram quieren que sea.