Comment la vérification en deux étapes sécurise les données des utilisateurs sur Telegram

Compte tenu de l'insatisfaction de nombreux clients à l'égard de la vérification à un facteur basée sur le code SMS, les développeurs de la célèbre messagerie ont ajouté un deuxième facteur de vérification de l'identité. Dans cet article, nous allons parler de lavérification en deux étapes dans Telegram et de sa fiabilité en termes de sécurité des informations des clients.   ;

Deux facteurs de sécurité des données

Jusqu'en avril 2015, un utilisateur pouvait se connecter au système en entrant un code reçu dans le message texte. Parallèlement, il n'existait pas de protection supplémentaire contre les connexions non autorisées. De cette manière, les intrus pouvaient intercepter un message envoyé au téléphone d'un client et accéder à ses conversations. Bien qu'aucun cas massif de piratage de ce type n'ait été enregistré, les développeurs dirigés par Pavel Durov ont décidé d'éliminer cette possibilité.   ; Grâce à la mise en œuvre de la vérification en deux étapes dans Telegram, l'utilisateur peut aujourd'hui définir un mot de passe supplémentaire qu'il devra saisir en cas d'ouverture d'une application sur un nouvel appareil. Par ailleurs, la vérification par SMS effectuée lors de la première étape de connexion au système est maintenue.   ; .   ; La connexion en deux étapes s'effectue de la manière suivante :

1. Lorsqu'il se connecte à l'application donnée, un client saisit son numéro de téléphone.
2. En outre, il reçoit un message texte contenant un code de vérification qu'il doit saisir dans le champ correspondant.
3. Si la combinaison est correcte, le client voit apparaître un champ pour saisir son mot de passe (il choisit lui-même une combinaison de symboles à l'étape de l'enregistrement).
4. En cas de combinaison correcte, un utilisateur obtient l'accès à sa page.

  ;

La vérification en deux étapes est-elle utile en cas de piratage de compte ? À première vue, cette innovation est très utile pour sécuriser le stockage d'informations sur les serveurs Telegram. Cependant, comme la pratique l'a montré, il existe toujours une possibilité de piratage de compte même en dépit des deux facteurs de vérification. Voici donc comment cela fonctionne :

1. Un intrus saisit le numéro de téléphone de sa victime et envoie une demande d'authentification.
2. La victime reçoit un code de vérification qui est connu de l'intrus (l'une des possibilités d'interception des SMS est qu'un pirate s'introduise dans le support technique d'un opérateur de réseau mobile).
3. Un intrus saisit les numéros reçus et accède à la page de saisie du mot de passe.
4. Sous prétexte d'un oubli, un intrus appuie sur le lien correspondant "Mot de passe oublié ?" et reçoit une notification d'envoi d'un code de récupération à l'adresse électronique indiquée lors de l'enregistrement.

  ;   ; En fait, pour neutraliser la sécurité en deux étapes, il suffit de connaître le code SMS envoyé au numéro de téléphone de la victime. La différence réside dans le résultat final. Dans ce cas, un pirate a accès à une page vide alors que le piratage de la sécurité à un facteur permettait de lire toutes les conversations.   ;

Cas de réinitialisation de comptes de personnalités connues

En avril 2016, les comptes Telegram de Georgy Alburov (Anti-Corruption Foundation) et d'Oleg Kozlovskiy (organisation à but non lucratif "Vision of Tomorrow") ont été piratés pratiquement simultanément. Il est intéressant de noter qu'un accès non autorisé à leurs pages a été reçu suite à la désactivation de l'option de réception et d'envoi de SMS sur les smartphones d'Alburov et de Kozlovskiyʼs. En outre, les représentants d'un opérateur de réseau mobile (MTS) ont déclaré que leur équipe d'assistance technique n'avait pas désactivé les services sur les numéros de téléphone indiqués et que les problèmes de communication avaient été causés par une attaque de virus.   ; Trois mois plus tard, un problème similaire est survenu à Sergey Parkhomenko, un journaliste russe. Selon sa version, il a reçu des messages textuels contenant des numéros de vérification. Lorsqu'il a essayé de se connecter à son profil, le journaliste s'est vu proposer de s'identifier, comme s'il visitait le service pour la première fois. En ouvrant son compte, Sergey a découvert qu'il avait été réinitialisé et que tout l'historique des messages avait été supprimé. Ainsi, même la vérification en deux étapes ne s'est pas avérée utile, car les pirates avaient réussi à obtenir les données nécessaires auprès d'un opérateur de réseau mobile.   ;

Instructions étape par étape pour configurer la vérification en deux étapes dans Telegram

Si vous souhaitez que le système demande à la fois le code SMS et un mot de passe lorsque vous vous connectez à une application à partir d'un nouvel appareil, il est nécessaire d'exécuter la procédure suivante :

1. Partez dans les paramètres et sélectionnez "Confidentialité et sécurité"
.
2. Il faut ensuite trouver la ligne "Vérification en deux étapes" dans une sous-section appelée "Sécurité" et cliquer dessus. En outre, il y a aussi la section "Sessions actives" une ligne plus bas. Elle vous sera utile si vous souhaitez afficher toutes les sessions et fermer celles qui sont ouvertes sur d'autres appareils lorsque le besoin s'en fait sentir.
3. En outre, une page contenant le champ de saisie du mot de passe s'ouvre. Il est souhaitable que la combinaison que vous choisissez contienne les chiffres et les symboles en majuscules et en minuscules.  
4. Après avoir saisi votre mot de passe, il est nécessaire de le confirmer afin d'éliminer les erreurs.
5. Pour vous protéger contre les oublis, le service vous propose d'indiquer un indice de mot de passe qui orientera vos pensées dans la bonne direction et vous aidera à vous souvenir de la combinaison de symboles requise.
6. L'étape suivante consiste à saisir votre adresse électronique, nécessaire pour mener à bien la procédure de récupération du mot de passe. Vous pouvez sauter cette étape mais vous devez vous rappeler que c'est le seul moyen de vous connecter au système au cas où vous ne vous souviendriez pas de la combinaison initiale, même avec l'aide d'un indice de mot de passe.  
7. Un lien vous sera ensuite envoyé par courriel pour confirmer les modifications. Cliquez sur ce lien et vous verrez un message vous informant que la vérification en deux étapes est activée pour le compte donné.

  ; Cette instruction est valable pour toutes les plateformes Telegram. Pour vous assurer que les nouveaux paramètres prennent effet, vous devez essayer de vous connecter à une messagerie à partir d'un autre appareil. Si le système demande un mot de passe après avoir saisi le code SMS, cela signifie que l'authentification fonctionne correctement.   ;

Option supplémentaire "Code de passe"

La section "Passcode" est apparue dans l'une des dernières mises à jour de Telegram pour iOS et Android. L'option donnée permet de configurer la sécurité pour se connecter à une application. Le code peut contenir aussi bien une simple combinaison de 4 chiffres qu'un code plus compliqué contenant des lettres et d'autres symboles.   ; La mise en place d'une telle sécurité est assez souple. L'utilisateur peut activer l'option de demande de code à chaque commutation de Telegram ou l'activer uniquement en cas de besoin en cliquant sur une icône spéciale qui ressemble à un cadenas. Cette dernière variante est très pratique si vous laissez temporairement votre téléphone de côté et qu'il y a un risque que vos conversations soient accessibles à un inconnu.   ; En outre, il est également possible de configurer une minuterie de verrouillage automatique qui verrouillera une application et demandera un code en cas d'inactivité pendant une période donnée. Le système permet d'activer un verrouillage en 1 et 5 minutes ou en 1 et 5 heures.   ;   ;

Réponse des développeurs

Comme l'a expliqué Pavel Durov, il n'y a pas eu de problèmes avec la sécurité de la messagerie. En outre, il a rejeté la responsabilité du piratage de l'application sur la société MTS. Néanmoins, l'équipe d'assistance a temporairement désactivé la possibilité d'une réinitialisation active du profil en cas d'oubli du mot de passe. En d'autres termes, Durov a admis l'existence du problème et a promis de le résoudre dès que possible d'une manière plus élégante.   ; .   ; Fin août 2016, le piratage de compte est toujours possible : après avoir reçu le code SMS du client, un pirate peut réinitialiser son profil sans utiliser de mot de passe de connexion. Autrement dit, la vérification en deux étapes ne fonctionne pas ou n'est pas aussi sûre que les utilisateurs de Telegram le souhaitent.