ChanScout账号安全蓝图：两步验证（2FA）、云端密码与活跃会话
本指南讲解如何通过两步验证保护 Telegram 账号，区分应用锁与云端密码的不同作用，说明忘记密码后的后果，并教你查看设备列表、终止陌生会话，防止手机号被盗后账号被完全接管。
本指南讲解如何通过两步验证保护 Telegram 账号，区分应用锁与云端密码的不同作用，说明忘记密码后的后果，并教你查看设备列表、终止陌生会话，防止手机号被盗后账号被完全接管。
你的账号注册在一个手机号上，默认情况下，发送到该号码的验证码就是整扇前门。任何能收到该验证码的人都能以你的身份登录，而且由于第 001 步所描述的一切，他们可以从自己的设备上读取你的全部历史记录。
两步验证增加了他们还需要另一样东西：一个不在你手机上、不在你的 SIM 卡上、Telegram 任何人也无法找回的密码。设置只需两分钟，而这是本课程中最关键的两分钟。
完成这一步后你将能够
- 开启两步验证，并设置一条真正有效的恢复途径。
- 解释为什么应用锁和云端密码保护的是不同的东西。
- 在事情发生之前，就准确说明如果你忘记密码会怎样。
- 查看设备列表，并终止你不认识的会话。
为什么手机号是薄弱环节
手机号让人感觉是永久且私密的。但它两者都不是。当人们停止缴费时，号码会被重新分配；而只要有人说服运营商相信他就是你，号码就可以被转移到另一张 SIM 卡上——这是一种由来已久的攻击，有个名字叫 SIM 卡交换，完全不需要任何技术能力。
在任何服务中，只要发送到该号码的验证码足以登录，那么拿到号码就等于拿到账号。这不是 Telegram 特有的问题；这正是如今每个严肃的服务都提供第二因素的原因。
在这里更严重的原因在于云端历史记录。在一个将对话存储在手机上的通讯应用中，拿到你号码的攻击者只会得到一个以你名字命名的全新空账号。而在 Telegram 上，他们会立即在自己的设备上得到你发送过的一切。第 001 步中的好处和这里的风险，是同一特性的两面。
两步验证可以堵住这个漏洞。开启后，验证码仍然是必需的，但仍然不够：登录时还会要求输入一个从不经过你的运营商、你手机中任何东西都无法泄露的密码。
人们混淆的两把锁
在日常对话中它们都被称为密码。它们防范的是完全不同的事件，而两者你都需要。
应用锁
云端密码
它们互相弥补对方的缺口。云端密码是今天就该设置的那个；应用锁是在任何并非你专属的设备上都该设置的那个。
设置它，让它在你忘记时仍能救你
开关在“设置”中的“隐私与安全”下，名为两步验证。设置过程会询问三件事，每一件都有一个并不显而易见的正确答案。
- 密码本身 把它当作一个你一年才需要一次的密码，而不是每天都要输入的密码——因为它本来就是。这使得一句好记的短语比一个巧妙但简短的字符串更好，也使得密码管理器成为存放它的合理之处。不要重复使用你在其他地方已经用过的密码。
- 提示 这会显示给任何到达密码输入界面的人，包括你正在防范的那个人。像你狗的名字这样的提示等于给了他们一个起点。使用一个只有你自己才懂的隐晦说法，或者留空。
- 恢复邮箱 这是可选项，却是屏幕上最重要的一个字段。没有它，忘记密码就完全没有补救办法。使用一个你五年后仍能控制的邮箱地址，并确认邮件确实能收到——未确认的地址等同于没有。
- 写下你把它放在哪里 不是密码本身：而是位置。六个月后，问题几乎从来不是忘记了密码，而是不记得它被放进了哪个管理器、笔记或抽屉。
你的手机上的 Telegram 应用设有应用锁。有人接管了你的手机号。他们能读到什么？
什么都读不到——应用锁阻止了对账号的访问
只有他们登录后发送的消息
你的全部云端历史记录，在他们自己的设备上
应用锁只是锁住一个安装实例。拿到你号码的攻击者根本不会靠近你的手机——他们在自己的设备上安装 Telegram，收到验证码，服务器就会把完整的历史记录交给他们，就像交给你一样。这正是两步验证存在的意义所在，你手机上的任何东西都无法替代它。
你今天开启了两步验证。你上周已经登录的那台笔记本电脑会怎样？
它会被登出，必须用新密码重新登录
什么都不会发生——它保持登录状态，因为密码只保护新的登录
它继续工作，但在验证之前变为只读
两步验证是入口处的一道门，而不是对已经在里面的人的清扫。现有会话不受影响，这很方便，也正是设备列表重要的原因：如果你是因为感觉不对劲才开启它，那就开启它并且终止你不认识的会话。只做其一而不做其二，你担心的那扇门仍然敞开着。
你忘记了云端密码，而且从未确认过恢复邮箱。Telegram 客服能做什么？
验证你的身份并为你重置密码
在核实后通过你的手机号恢复访问
什么都做不了——唯一剩下的途径是删除账号及其中的所有内容
剩下的选择是重置账号，这会启动一个等待期，然后清除账号：该号码可以用于注册一个新账号，而旧的历史记录则消失了。这是有意为之的设计——一个能恢复你聊天记录访问权限的客服，就是一个攻击者能说服的客服。这也正是恢复邮箱字段值得花点心思而不是跳过不填的原因。
设备列表，以及值得养成的习惯
“设置”中的“设备”列出了当前登录你账号的每一个会话：应用程序、大致连接位置，以及最后活跃时间。这是账号安全的另一半，它回答了一个密码无法回答的问题——现在谁在里面。
今天就看一次。大多数人都会发现点什么：两年前旅行时用过的一个浏览器、一台你已不再拥有的笔记本电脑、一台你送给亲戚的平板电脑。终止一个会话即使你判断错了也没有代价，因为你实际使用的设备只会要求你重新登录。
这个屏幕上还有一个值得顺手更改的设置：自动终止一段时间内不活跃的会话。把它设得足够短，短到有意义。这是整个过程中唯一能自我维护的部分。
如果手机丢失或被盗，这是第一件要做的事——在联系运营商之前，在其他任何事情之前。终止那个会话会立即切断访问，无论设备在谁手里。第 028 步会详细讲解这个屏幕，包括那些条目实际告诉了你什么，以及没有告诉你什么。
这个阶段的常见问题
我每次打开 Telegram 都要输入密码吗？
不用。只有新设备登录你的账号时才会被要求输入，对大多数人来说一年也就几次。这就是为什么它可以很长，也是为什么把它存进密码管理器是明智的——日常摩擦为零。如果你想要更频繁地被要求输入，那是应用锁，它是一个独立设置，承担不同的职责。
当我已经有其他设备登录后，登录验证码会发到哪里？
发到 Telegram 本身，作为官方服务聊天中的一条消息，出现在你已登录的设备上，而不是通过短信发送。这是有意为之：在应用内送达的验证码，是只拿到你手机号的人无法触及的。如果你没有其他会话，它会回退到短信。无论哪种方式，上面那条规则都一样——那个验证码只属于你，不属于任何其他人。
我可以用验证器应用或硬件密钥代替吗？
云端密码就是 Telegram 的第二因素，没有替代品。更新的登录方式已经出现——在支持它们的设备上，你可能会被提供一种用设备自身生物识别来授权登录、而无需输入验证码的方式。这些改变的是你在门口证明自己身份的方式；它们并不取代密码，这里的建议不变：设置它，给它配一个恢复邮箱，并保留两者。
我改主意了。可以关掉它吗？
可以，在同一个屏幕上，使用当前密码即可。值得诚实地想一想你为什么要关：通常的原因是害怕被锁在外面，而正确的解决办法是确认的恢复邮箱和密码管理器，而不是移除这把锁。关掉它会让你的账号回到那种状态：一个陌生人到你的历史记录之间，只隔着一个手机号。
两步验证会加密我的消息吗？
不会，这个区别很重要。它控制的是谁可以登录你的账号；它不是你的云端历史记录的加密密钥。普通聊天在你的设备和 Telegram 服务器之间加密，并存储在服务器上，这正是它们能在每台设备上可用的原因。两台设备之间的端到端加密、服务器上没有任何可读内容，那是秘密聊天——一个不同的功能，有不同的取舍，在第 025 步中讲解。
如果我觉得已经有人在我的账号里，现在应该做什么？
按这个顺序，从任何你仍能控制的设备上操作。打开“设置”，然后“设备”，终止所有其他会话——这会立即切断访问。然后设置或更改云端密码，并确认一个恢复邮箱。接着检查“设置”中他们在时被改动的任何东西：被更改的用户名、新的恢复地址、陌生的聊天。第 028 步讲解了取证方面，但前两个动作是止血的，用时不到一分钟。