О мышках и кактусах

[vitus_wagner]

Что-то последнее время какая-то эпидемия атак на телеграм. Мало того что пишут в телеграм с фейкового аккаунта директора, причем подделанного крайней аккуратно - с копированием юзерпика и все такое, теперь повадились угонять реальные аккаунты сотрудников.

Делается это путем социальной инженерии. Человека просят за что-нибудь проголосовать и подтвердить выбор вводом кода из СМС. А вредоносный сайт для голосования на самом деле использует эту СМС для авторизации в телеграме.

По-моему основаная причина этого всего безобразия в том, что телеграм это пресловутая "глобальная деревня". Плоское пространство имен без какой-либо структуризации по доменам. Соответственно человек и ведет себя в нем как в тесном кругу знакомых, где все всех знают. А на самом деле в этой сети миллионы людей.

Плюс к тому телеграм представляет собой странное смешение мессенждера, для которого характерен обмен личными сообщениями между знакомыми по другим каналам людьми, и социальной сети, которая по охвату аудитории является средством массовой информации.

Вот как-то распространение почтового спама и фишинга мы пережили горазло легче. Понаставили себе всяких спамассасинов, и живем. Возможно, потому что несмотря на все усилия гугля. яндекса и mail.ru, превратить пространство имен электронной почты в плоское, все равно все более-менее информационно продвинутые конторы (включая даже МФЦ) используют корпоративные домены электронной почты. Ну а в корпоративных доменах усилиями, что удивительно, того же гугля, сплошь и рядом SPF,DKIM, DMARC, и хрен подделаешь.

Кстати, по-моему лично у меня телеграм это единственный канал коммуникации где не разделяются рабочие и личные контакты. Потому что не умеет он. В почте - разделяются, в матрице, разделяются. Whatsapp и Skype я просто в рабочих целях не использую. А телеграм вроде и чисто рабочий, но туда периодически попадают люди знакомые по другим причинам - nasse, beldmit.

Вообще надо на работе объявить что телеграмом я не пользуюсь и все желающие ко мне обратиться в мессенжере пусть делают это через matrix. nataraj это уже сделал и вроде ничего.

Comments

[stanislavvv]

Телеграм умеет несколько аккаунтов (пользовался на предыдущей работе как раз для отделения личного от рабочего), но требует наличия нескольких номеров.

[vitus_wagner]

А при этом будет видно, в какой аккаунт постучался корреспондент?

[stanislavvv]

Там несколько хуже — требуется явное переключение между аккаунтами, чтобы посмотреть, кто чего написал.

[vitus_wagner]

Да, в матрице как-то проще. Запускаешь два клиента с разными профайламси и видишь все сразу Но с удобством джаббера, где практичнески все клиенты поддерживали много аккаунтов, не сравнить..

[fau74]

Да про избыточное доверие только ленивый не выступал еще со времен фидо. "Помните, человек с модемом - не обязательно хороший человек!" (с) вроде бы Майк Браво. Только вот беда, социнженерия столь же "успешно" работает во всех средах, будь они хоть в бутылку Клейна скручены. Она даже при личных контактах работает, хотя куда уж тут локальнее. Это не вопрос среды, это вопрос мозгов. Ко мне прилетало несколько таких атак - они же читаются влет, и самый большой головняк вызывают не они, а службы охранительства: "кудах-тах-тах, логи показали что к вам приносили бяку, немедленно, ко-ко-ко, вымойте руки и поменяйте пароль вот тут, вот тут и еще вот тут, и пока не поменяете мы вас никуда вообще не пустим, вот! Кудах!"

Насчет "странного смешения" - он в этом плане таков же, как и любая соцсетка типа ВК. Просто ВК начинался как соцсеть, в которой есть еще и личная переписка - а телеграм как система чатов, в которой еще и посты можно писать. Шли с разных сторон, пришли примерно к тому же функционалу. Как Avaya и Cisco приходили к IP-телефонии с разных сторон :)

У телеграмма для разделения контактов по любым признакам, в том числе и по твоему, существует система папок. Она не идеальна - как и любая другая - но на практике лично мне ее вполне хватает для двух работ, двух слабопересекающихся хоббийных тусовок и мелкой текучки типа "собраться группой куда-то съездить". Мало того - ты можешь разнести по разным папкам тематически разные разговоры с одними и теми же людьми: в одной папке у тебя чатик с коллегами Васей и Петей по работе, а в другой вы с теми же Васей и Петей собираетесь, не знаю там, в лес прогуляться на выходных. Вполне раздельно.

[vitus_wagner]

Это с какой версии в телеграме папки еоявились? У меня telegram-desktop 4.8.1 никаких папок не видно.

[fau74]

Да уж давненько, больше года как, емнимс. Вон, гугль подсказывает - март 2020 года.

У меня 4.14.8 х64 виндовый телеграм-десктоп и 10.6.1 (4275) для андроида (arm64-v8a). Папки есть в обоих. Если у тебя 4.8.1 - может это какой-то другой форк телеграм-десктопа?

[vitus_wagner]

В testing 4.14.4 так что это наверное та же самая ветка, что и 4.14.8

[fau74]

У меня в десктопе это в settings, пятая сверху строка - Folders.
В телефоне - аналогично, но шестая сверху, Chat folders.

[vitus_wagner]

Нашел, есть они там. Но какие-то неудобные на мой взгляд. Нет иерарахии, например, способ раскладывания контактов по папкам тоже какой-то неудобный.

[fau74]

Не идеал, согласен, но вопрос привычки - как с большинством интерфейсов.
Чаты, кстати, тоже можно дробить на тематические подчаты - такой чат выглядит очень похоже на папку с чатами. Его можно положить в папку, и он сам дает второй уровень тематического деления.

В общем, на мой взгляд телеграм сейчас ближе всех к оптимальному коммуникатору. Возможно, матрикс и прочий федиверс в чем-то его превосходят - но они катастрофически проигрывают в охвате.

[vitus_wagner]

Так это же хорошо что они проигрывают в охвате. Чужие здесь не ходят, что уменьшает вероятность фишинговых атак. А наличие веб-клиента снижает порог вхождения. Вот чем меня злят ссылки на телеграмовские каналы, которвн лжди дают а ЖЖ, тпе это теи сто t.me настаивает,ч тобы я эту ссылку в телеграме открывал, а не в браузере.

[fau74]

Ты уж определись, чужие здесь не ходят, или снижает порог вхождения :) эти лебедь с раком тянут в противоположные стороны. ФИДО в свое время это неплохо продемонстрировало. Фишинговые атаки тоже ведь люди делают, и бывает что и чьи-то лично знакомые. Я вот случайно убедился, что в тусовке работа на холодных звонках отнюдь не делает человека нерукопожатным...

Для своей маленькой уютненкой группы ты можешь хоть голубиную почту использовать, не вопрос. А во внешнем мире доступность коммуникатора - параметр критичный, потому что для успешной коммуникации этот коммуникатор должен стоять на обеих сторонах. Если его не стоит - скорее всего поищут другой способ связи. Ну или другого корреспондента, если это проще.

[vitus_wagner]

А вот это как раз оптимальаня комбинация "низкий порог вхождения" + "чужие здесь не ходят". Если ты хочешь стать в этой тусовке/компании своим, тебе это сделать просто. Но если ты не хочешь войти в этот узкий круг людей, ты туда не пойдешь.

И скорее всего фишер туда не пойдет, потому что узкий круг для него не стоит зартаты усилий.

Это примерно как число раундов в pbkdf - оно таково, что легитимного пользователя не напрягает, а для взломщика явяляется шоу-стоппером.

[nataraj]

Вообще надо на работе объявить что телеграмом я не пользуюсь и все желающие ко мне обратиться в мессенжере пусть делают это через matrix. nataraj это уже сделал и вроде ничего.

Тебе будет сложнее, потому что все знают что на самом деле телеграмм у тебя есть.

Более того я так сделал и для не рабочих контактов... Те кто хотят быстрого взаимодействия -- в матрикс. Кого устравиает раз в несколько часов -- вконтакте (и при частом взаимодействии будут настаивать на матриксе). Раз несколько недель, можно на facebook мне написать. А телеграмма у меня считай нету.

Если мне самому нужен человек из телеграмма, то я чьими-то силами создаю с ним чат на одно лицо и бриджую его в матрикс. Народ удивляется, но сильно не возражает...

[fau74]

Искренне исхожу удивлением от умного человека, предпочитающего по уши загаженный ВК - телеграмму :)
Но на вкус и цвет...

[nataraj]

Всё очень просто. То что вконтакт плох понимают все. И ситуация оказывается как минимум симметричная. Меня принуждают к плохому, я им отвечаю тем же.

Телеграмм же ни чем не лучше, а кое чем еще и хуже. Но люди этого не видят. Они думают что делают хорошо, а меня в ответ тошнит. Я на такое не согласен. И предпочитаю ситуацию где ясность есть с обеих сторон.

[vitus_wagner]

Ну вот сейчас второго человека из группы безопасности туда перенаправил)

[nataraj]

Здорово!

[vlad_suh]

А какого рода нужно разделение?

В телеграмме есть папки контактов (только выключены по умолчанию). Можно распихать контакты по папкам рабочие и личные, например.

[vikarti_anantra]

У нас вообще смешно получается.
В телеграм-чатике разработчиков - некоторое время было требование что надо переименоваться в ИмяФамилия чисто чтобы не искать по отдельной таблице а кто это. Часть - забила.
В телеграм чатике команды передиодически вопросы у людей на тему а что за nick и почему такой странный и может поправите?
Параллельно при этом заведен весь из себя корпоративный мессенджер с доступом по корппочте но вот только но вот только пользоваться им нормально - нельзя.

[vitus_wagner]

У нас заведено два мессенжера с авторизацией через корпоративный ldap - matrix и mattermost. Обоими пользоваться можно. Но вот попытка устроить гейт между одним и другим вызывала панику у пользователй mattermost "А-а-а, почему в мой аккаунт без моего ведома аксесс токен доабвили!"

братья Дуровы

[roschah.livejournal.com]

Дуровы гады, не открывают код сервера

только китайские патченные есть

Re: братья Дуровы

[vitus_wagner]

Какой смысл в доступности кода серера, если в протоколе не предусмотрен s2s?

[phd_ru]

https://www.computerra.ru/291685/sotrudnikam-tsru-zapretili-ispolzovat-telegram-na-rabochih-kompyuterah/

«Сотрудникам ЦРУ запретили использовать Telegram на рабочих компьютерах. Это касается тех, кто собирает информацию о России в открытых источниках (OSINT). Причина такого запрета не объясняется, но есть предположения, что это связано с тем, что в США Telegram считают российским мессенджером.» :-D

[vitus_wagner]

Ну вообще сотрудникам государственных учрежедений стоит запретить любые мессенжреры, функциоаинирование которых зависит от сторонней серверной инфраструктуры.

Ног как раз ЦРУ в этом смысле стреляет себе в ногу. Именно потому что в России очень многие пользуются для обмена мнениями как раз этим мессенжером, и мониторить телеграм-каналы аналиитикам ЦРУ наджо.

[phd_ru]

> мониторить телеграм-каналы аналиитикам ЦРУ наджо

Им запретили использовать Тг на рабочих компьютерах для деловой и личной переписки. Мониторят телеги они на выделенных хонипотах. ;-)

[vitus_wagner]

Ежели подумать то запрет сотрудникам ЦРУ использовать вражественные мессенжеры это примерно из той же серии что при перевозке самолетом подразделения солдат с полным вооружением отобрать у них штык-ножи, ибо с ножом в салон самолета не положено. Винтовки при этом оставить. (говорят в Англии такое было)