В бете Telegram для macOS появился режим защиты от целевых атак

В бета-версии Telegram для macOS (версия 13.2, сборка 283493) появился Lockdown Mode — режим усиленной защиты от опасного контента и целевых кибератак. Это выяснил «Код.ру», у редакции есть сборка клиента.

В описании Telegram называет режим крайней и необязательной мерой для тех, кого могут целенаправленно атаковать сложными методами. После включения мессенджер ограничивает автоматическую загрузку и обработку контента и просит подтверждения для ряда действий.

Что меняется в Lockdown Mode:

• Медиа: автоматически загружаются только фото от контактов и собственные фото пользователя.

• Личные чаты: перед открытием переписки с человеком не из контактов Telegram может попросить подтверждения. Эта опция настраивается отдельно.

• Ссылки: превью и страницы Instant View больше не загружаются автоматически.

• Мини-приложения: каждый запуск нужно подтверждать, для веб-контента действуют дополнительные ограничения безопасности WebKit.

• HTML-виджеты и стикеры: потенциально опасный контент скрыт и загружается только после подтверждения.

• Файлы: перед загрузкой и открытием рискованных файлов появляются отдельные предупреждения. Исполняемые и замаскированные файлы через Telegram не открываются, доступ к ним есть только через Finder. Из изображений открываются только JPEG, PNG, WebP, HEIC и GIF, остальные форматы блокируются.

• Платежи: страницы оплаты заблокированы, пока режим включён.

Подтверждение в сборке выглядит как отдельное окно с ползунком, который нужно сдвинуть вправо. Так клиент спрашивает и перед открытием чата с незнакомым аккаунтом, и перед переходом по ссылке.

Режим включается в разделе «Настройки» → «Конфиденциальность» → Lockdown Mode, Telegram просит подтверждения и при включении, и при выключении. В тех же настройках есть переключатель Calls and messages from contacts: с ним звонить и добавлять в группы смогут только контакты, а новые чаты от остальных потребуют Premium.

HTML-виджеты, которые скрывает новый режим, на этой неделе оказались в центре истории с уязвимостями. Как ранее рассказывал «Код.ру», после демонстрации взлома от команды V12 Telegram отключил виджеты для всех ботов на стороне сервера.