Man With Dogs (man_with_dogs) wrote,
Man With Dogs
man_with_dogs

Category:
  • Mood:

немного несвежие новости о безопасности авторизации через смс

Чудеса техники. Вместо того, чтоб вламываться с утра по 2 адресам, проводить обыск, изымать всю электронику и воровать оттуда пароли, государство РФ нашло чудесный способ получить тоже самое (частную переписку), никого не беспокоя. Просто отключив на время доставку смсок и своровав в это время пароль для входа в Телеграм. Соучаствовал в этом ОПСОС - служба "безопасности" МТС.

Не в курсе, как там проходит вход в Телеграм, но с двухфакторной авторизацией такой финт мог бы не пройти.

Ну и хранение инфы в незашифрованном виде в любом месте - это уже риск её потерять при взломе места хранения. Облачные сервисы принципиально не делают криптостойкими и даже хоть сколько-то защищёнными - т.к. государства любят совать свой нос в чужие дела везде (может быть не все с такими нарушениями). Так что тут самим что-то мудрить, вроде прокладок-шифоровальшиков.
===
(ПОЛНОСТЬЮ ЧИТАТЬ ПО ССЫЛКЕ)
http://mts-slil.info/
В ночь на 29 апреля 2016 года были взломаны аккаунты двух оппозиционных активистов — Олега Козловского и Георгия Албурова. Атака была необычна тем, что в ней ключевую роль играл оператор сотовой связи МТС, абонентами которого были Козловский и Албуров.

Как произошел взлом

Схема атаки была простой

Ночью отдел технологической безопасности МТС отключает Козловскому и Албурову прием SMS, мобильный Интернет, информирование о подключенных и отключенных услугах и еще ряд базовых сервисов.

Через несколько минут злоумышленники через анонимайзер Tor направляют в Telegram запрос на вход в аккаунты Козловского и Албурова.

Telegram, как и положено, отправляет SMS с кодом авторизации на соответствующие номера. Козловский и Албуров их не получают, поскольку сервис приема SMS у них отключен.

Зато эти коды попадают к злоумышленникам, которые еще через несколько минут успешно авторизуются в Telegram и скачивают все сообщения.

Спустя несколько часов, когда вся грязная работа окончена, МТС восстанавливает отключенные сервисы, чтобы Козловский и Албуров ничего не заметили.

Хронология событий
Козловский

02:25:14 МТС включает запрет на информирование о добавлении/удалении услуг
02:25:48 МТС отключает услуги СМС и мобильного интернета
02:39:30 У сервиса Telegram запрашивается вход в аккаунт, одоразовый код отправляется по СМС
03:08 Выполняется вход в аккаунт с ip адреса 162.247.72.27 и начинается скачивание переписки
04:55:34 МТС возвращает услуги СМС и мобильного интернета

Албуров

02:23:20 МТС включает запрет на информирование о добавлении/удалении услуг
02:23:47 МТС отключает услуги СМС и мобильного интернета
02:39:12 У сервиса Telegram запрашивается вход в аккаунт, одоразовый код отправляется по СМС
03:12 Выполняется вход в аккаунт с ip адреса 162.247.72.27 и начинается скачивание переписки
08:11:50 МТС возвращает услуги СМС и мобильного интернета

Таким образом, взлом аккаунтов — уголовное преступление, произошел при непосредственном участии компании МТС.
...
Как врал МТС

А теперь самое интересное. Разоблачаем ложь МТС. Дело в том, что сразу после взлома Олег Козловский позвонил оператору и два человека (оператор колл-центра и сотрудник экспертного управления) ему прямо сказали о следующем

* отключение сервиса действительно было
* оно было произведено отделом технологической безопасности МТС
* сервис был отключен в 2:25 и включен в 4:55
* переадресация SMS включена не была
...
Самое серьезное документальное доказательство своего соучастия в преступлении нам выдало само МТС. Это счет за услуги в апреле 2016 года. И в этом счете черным по белому указан список услуг, которые отключались и подключались, а также время этих операций. Дело в том, что все записи об удалении услуг они подчистили, а счет забыли. Нам удалось получить его официально, он заверен печатью и подписью ответственного сотрудника МТС.
Tags: сети и ИТ
Subscribe

  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 0 comments