活动会话与已连接设备审计：远程清除与会话劫持取证

为什么这个列表就是账号本身

第 024 步讲过，每个客户端都独立登录，之后不再需要你手机提供任何东西。方便的一面是，手机没电对你毫无影响。另一面，就是这个界面。

会话不是需要你续期的登录。它会一直存在，直到有东西结束它——你从这里结束，或者你设置的不活跃规则。没有人会被再次要求输入密码，因为保持登录的意义就在于此。

而且由于历史记录存放在服务器上，一个会话不只是接收新消息。它拥有全部内容：多年以前的记录，可搜索，可下载。这正是要偶尔查看这个列表、而不是等出了问题才看的原因。

读懂一条会话记录

每一行都会告诉你一些信息，而每一行也都有其局限，在你据此下结论之前值得了解。

由此可以得出两个实用的解读。第一，真正要紧的是你完全无法解释的那条记录——而不是位于意外城市的那条。第二，终止的代价很低：你实际在用的设备只会要求你重新登录一次，所以判断错了也没有惩罚，也没有理由在犹豫期间把可疑的记录留着不动。

那条告诉你事情已发生的消息

每当有新会话被创建，Telegram 都会通过它自己的服务聊天向你账号发送一条消息——包含设备、大致来源位置和时间。那个聊天是官方的，也是登录通知唯一合法出现的地方。

了解真实通知长什么样是值得的，因为冒充它是常见的伎俩。真正的通知只是告诉你一些信息。它不会要求你确认任何东西，不包含需要点击的链接，不要验证码，也不邀请你回复。

所以规则很简单：如果一条关于登录的消息要求你做任何事，都不要在那里做。关掉它，自己打开“设置”，再打开“设备”。这样问题由列表来回答，而不是由消息来回答，再逼真的伪造也拿你没办法。

新会话出现后还有一段刻意的延迟：刚登录的设备在一段时间内会被限制执行最具破坏性的账号操作，这存在的目的正是让合法主人有时间发现并清除它。这是一张安全网，而不是计划——计划是第 008 步的两步验证，让那个会话根本不存在。

不需要的会话从何而来

它们很少是戏剧性的。三条普通途径就占了大多数，而这三条都是可以避免的。

一个你没有退出的浏览器。图书馆终端、酒店电脑、朋友的笔记本。关闭标签页只是把它藏起来；会话仍在工作。第 006 步的习惯——用隐私窗口并明确退出登录——可以完全消除这种情况。

你替别人扫的一个二维码。登录二维码是一个在扫描它的账号上创建会话的请求。扫描别人给你看的、或通过消息发来声称要验证什么的二维码，就是把你的账号登录到他们的电脑上。这种情况没有任何合法版本。

从一台未受保护的电脑上复制走的桌面会话文件夹。第 027 步讲过：在桌面上，你的登录状态就是一个文件夹，而本地密码是让它的副本变得无用的关键。这是唯一一种完全不需要你任何操作就会发生的情况。

注意，这三种情况都不涉及猜密码，所以强密码在这里不是防线。防线是：结束你不再需要的会话、加密桌面文件夹，以及永远不要扫描别人生成的二维码。

现在试一试——五分钟

前三项各花一分钟。第四项是出问题时你要做的，值得在需要之前先读一遍。

1. 打开“设置”，再打开“设备”，阅读每一条记录大多数人至少会发现一件自己已经忘记的事。终止任何你无法解释的会话；你在用的设备只会要求你重新登录一次。
2. 为不活跃会话设置自动过期设一个短到有意义的期限。这是这里唯一一个不需要你操心就能持续生效的项目。
3. 找到服务聊天，看看真实的登录通知知道真实通知长什么样，才能让伪造的以后一眼就露馅。
4. 如果你怀疑有人进来了：终止所有其他会话，然后更改云端密码按这个顺序，从你仍能控制的任意设备操作。然后检查你的设置有没有被改动——新的恢复地址、被改的用户名、陌生的聊天。

另一个列表：你授权过的网站和机器人

会话并不是附加在你账号上的唯一长期权限。还有两类会悄悄累积，而且都不出现在设备列表里。

你用 Telegram 登录过的网站。有些网站提供通过你的 Telegram 账号而非密码登录的方式；批准一次就会创建一个连接，直到你移除它为止。该网站会收到你的名字、用户名和头像——不是你的消息——而这个连接会在你早已忘记该网站存在之后很久仍然保留。Telegram 在隐私设置里保存了这些网站的列表，值得每年读一次，理由和设备列表一样。

你授予过权限的机器人。你在某个群里授予管理员权限的机器人会一直保留这些权限，直到你收回，第 067 步详细讲了那实际上允许什么。把机器人移出房间，等同于在那里终止一个会话。

共同点值得说明：账号不只是登录其中的设备。它是你做出过却再未回顾的每一项长期授权，而偶尔阅读这些列表的习惯，就是在三个地方做同一件事。

这个阶段的常见问题