通过通行密钥登录 Telegram，取代电话号码和验证码
Telegram 计划在未来引入通过通行密钥进行身份验证的功能，该功能在 Android 版 Telegram 12.2.8 Beta 版中已有蛛丝马迹。
通行密钥的主要优点在于，无需输入电话号码或一次性验证码即可登录您的账户。这与通过电子邮件或 Google/Apple ID 登录不同，后者只是接收短信验证码的替代方式。
在应用登录页面出现了一个“使用通行密钥登录”按钮。点击该按钮将启动您的密码管理器，后者通过面容 ID、指纹或屏幕锁定 PIN 码验证您的身份。Telegram 应用随后收到您的签名，这相当于您的登录、密码和一次性确认码。
与电子邮件登录类似，这项新功能需要在 Telegram 的安全设置中预先配置。密钥将保存在创建它的手机上，但可以通过 Google 密码管理器、iCloud 密码或其他应用程序与其它设备同步。
为什么这很重要？
• 减少对短信的依赖：即使您没有活跃的会话且移动运营商阻止了 Telegram 的短信，也可顺利登录。
• 安全性：通行密钥存储在密码管理器的安全区域中——钓鱼网站无法拦截或诱导输入。
• 快速：点一下即可通过生物识别（面部或指纹）登录。当您更换手机时，通行密钥可通过您的密码管理器使用 Google 账户或 Apple ID 自动同步。
该功能目前仍在开发中，尚未完全可用。请关注我们的 Beta Info 频道，获取一手 Telegram Beta 版情报。
#Android #beta #security
Telegram 计划在未来引入通过通行密钥进行身份验证的功能，该功能在 Android 版 Telegram 12.2.8 Beta 版中已有蛛丝马迹。
通行密钥的主要优点在于，无需输入电话号码或一次性验证码即可登录您的账户。这与通过电子邮件或 Google/Apple ID 登录不同，后者只是接收短信验证码的替代方式。
在应用登录页面出现了一个“使用通行密钥登录”按钮。点击该按钮将启动您的密码管理器，后者通过面容 ID、指纹或屏幕锁定 PIN 码验证您的身份。Telegram 应用随后收到您的签名，这相当于您的登录、密码和一次性确认码。
与电子邮件登录类似，这项新功能需要在 Telegram 的安全设置中预先配置。密钥将保存在创建它的手机上，但可以通过 Google 密码管理器、iCloud 密码或其他应用程序与其它设备同步。
为什么这很重要？
• 减少对短信的依赖：即使您没有活跃的会话且移动运营商阻止了 Telegram 的短信，也可顺利登录。
• 安全性：通行密钥存储在密码管理器的安全区域中——钓鱼网站无法拦截或诱导输入。
• 快速：点一下即可通过生物识别（面部或指纹）登录。当您更换手机时，通行密钥可通过您的密码管理器使用 Google 账户或 Apple ID 自动同步。
该功能目前仍在开发中，尚未完全可用。请关注我们的 Beta Info 频道，获取一手 Telegram Beta 版情报。
#Android #beta #security
👍24❤12
Telegram Info 中文
通过通行密钥登录 Telegram，取代电话号码和验证码 Telegram 计划在未来引入通过通行密钥进行身份验证的功能，该功能在 Android 版 Telegram 12.2.8 Beta 版中已有蛛丝马迹。 通行密钥的主要优点在于，无需输入电话号码或一次性验证码即可登录您的账户。这与通过电子邮件或 Google/Apple ID 登录不同，后者只是接收短信验证码的替代方式。 在应用登录页面出现了一个“使用通行密钥登录”按钮。点击该按钮将启动您的密码管理器，后者通过面容 ID、指纹或屏幕锁定 PIN…
Telegram 在全球范围内推出通行密钥认证
Telegram 新增了通行密钥认证作为登录方式，目前正面向全球范围推出。通行密钥认证的主要优势在于，用户只需点击一下即可登录账户，无需输入手机号码或查看验证码 (OTP)。
如何创建通行密钥：
如何使用通行密钥登录：
问答：
若在 Android 上设置通行密钥时遇到问题，请阅读我们的 Android 通行密钥故障排除指南。
#security
Telegram 新增了通行密钥认证作为登录方式，目前正面向全球范围推出。通行密钥认证的主要优势在于，用户只需点击一下即可登录账户，无需输入手机号码或查看验证码 (OTP)。
如何创建通行密钥：
• 确保你使用的是最新版本的应用 (Android — 12.2.10；iOS — 12.2.3)。
• 这项新功能需在使用前提前配置好，方法是前往设置 (Settings) › 隐私与安全 (Privacy and Security) › 通行密钥 (Passkeys)。
• 如果没有看到“通行密钥 (Passkeys)”选项，则说明该功能尚未在你的账户中启用。
• 点击“添加通行密钥”并确认创建。
• 你的设备可能会要求你输入锁屏密码或进行生物识别以解锁密钥存储。
• 创建的密钥将出现在列表中。
如何使用通行密钥登录：
• 在最新版本的 Android 或 iOS 版 Telegram 应用中，应用会自动提示选择通行密钥进行登录。
• 如果未出现此提示，几秒钟后“你的手机号 (Your phone number)”标题下方会出现“使用通行密钥登录 (log in with passkey)”链接。点击此链接。
• 点击后会启动你的密码管理器，提示你选择密钥，并在通过面部识别、指纹或锁屏密码验证身份后将所选密钥传送至 Telegram。
• 通行密钥同时发挥手机号和验证码的作用。
• 如果你启用了两步验证，仍需输入在安全性设置中设置的密码。
问答：
1. 我可以用通行密钥注册新账户吗？
不可以，此功能仅作为替代短信或邮箱登录的选项。
2. 如果我丢失手机会怎样？
密钥存储在创建它的设备上，但可以通过 Google 密码管理工具、iCloud 密码或其他应用同步到其他设备。
你可以在设备上检查密码管理器设置，方法如下：
• Android：打开“设置”，搜索“Google 自动填充 (Google Autofill)”。确保在密码管理工具中选择了正确的 Google 账户。
• iOS：打开“设置”，点击顶部的你的姓名。选择iCloud › 密码 (Passwords)。确保启用了同步功能。
3. 如果我的手机或密钥被盗会怎样？
通行密钥安全地存储在密码管理器的加密区域中 — 无法被拦截或在钓鱼网站上输入。此外，你可以在 Telegram 的安全性设置中随时删除与你的账户关联的密钥。
4. 支持第三方密码管理器吗？
支持。如果你使用支持通行密钥的密码管理器 (例如 Bitwarden、KeePassDX)，并在系统自动填充设置中启用它，你可以在那里保存你的 Telegram 通行密钥。
5. 哪些客户端支持通行密钥？
最新版本的官方 Android、iOS 版 Telegram 和 Telegram Desktop（仅限 Windows — 需要Windows Hello）支持通行密钥。
不支持：macOS 和 Linux 版 Telegram Desktop、macOS 版 Telegram (Swift)、Telegram WebK 和 WebA、Telegram X。由于通行密钥的安全要求，非官方应用将不会在此次更新中得到支持。
6. 我可以在一台设备上为一个账户设置多个密钥吗？
可以。登录屏幕上会出现一个列表，允许你选择所需的账户。
7. 我最多可以添加多少个通行密钥？
每个 Telegram 账户最多 5 个
若在 Android 上设置通行密钥时遇到问题，请阅读我们的 Android 通行密钥故障排除指南。
#security
❤11👍2
Telegram 移动端应用可能通过快速代理设置链接泄露 IP 地址
一位安全研究员发现，Telegram 的移动端应用在用户点击快速代理设置链接时，并未对潜在的 IP 泄露风险进行提示。虽然对普通用户而言这算不得重大威胁，但对于那些担心被监视的人来说，这显然不可取。
核心问题
点击外部链接或不安全文件通常会触发警告弹窗。然而，点击快速代理设置链接的处理方式却截然不同：应用会立即尝试连接服务器以检查其可用性，这完全绕过了警告提示。
攻击者可以将此类链接伪装成用户名或其他超链接。一旦用户点击该链接，应用就会向攻击者控制的服务器发送请求，从而泄露用户的 IP 地址。
• 此问题仅影响 Android 和 iOS 客户端。
• @tginfo 团队独立确认，Telegram Desktop、macOS 版、Telegram X 及网页版均能安全处理此类链接，不会自动连接到代理服务器。
风险较低
需要指出的是，对大多数用户而言，这个问题并非致命。IP 地址通常仅能泄露用户的大致位置（城市级别），而且许多用户使用的是动态 IP。
Telegram 团队在过去曾经修复过类似的漏洞，如 EvilLoader。我们认为开发者可能会在即将到来的更新中禁用对格式化链接中打开的代理的自动检查功能。
对于那些对 IP 隐私要求极高的人，我们建议使用全局 VPN。这是防止应用中 IP 泄露的唯一可靠方法。
#security
一位安全研究员发现，Telegram 的移动端应用在用户点击快速代理设置链接时，并未对潜在的 IP 泄露风险进行提示。虽然对普通用户而言这算不得重大威胁，但对于那些担心被监视的人来说，这显然不可取。
核心问题
点击外部链接或不安全文件通常会触发警告弹窗。然而，点击快速代理设置链接的处理方式却截然不同：应用会立即尝试连接服务器以检查其可用性，这完全绕过了警告提示。
攻击者可以将此类链接伪装成用户名或其他超链接。一旦用户点击该链接，应用就会向攻击者控制的服务器发送请求，从而泄露用户的 IP 地址。
• 此问题仅影响 Android 和 iOS 客户端。
• @tginfo 团队独立确认，Telegram Desktop、macOS 版、Telegram X 及网页版均能安全处理此类链接，不会自动连接到代理服务器。
风险较低
需要指出的是，对大多数用户而言，这个问题并非致命。IP 地址通常仅能泄露用户的大致位置（城市级别），而且许多用户使用的是动态 IP。
Telegram 团队在过去曾经修复过类似的漏洞，如 EvilLoader。我们认为开发者可能会在即将到来的更新中禁用对格式化链接中打开的代理的自动检查功能。
对于那些对 IP 隐私要求极高的人，我们建议使用全局 VPN。这是防止应用中 IP 泄露的唯一可靠方法。
#security
🥴13👍2
Telegram Info 中文
Telegram 在全球范围内推出通行密钥认证 Telegram 新增了通行密钥认证作为登录方式，目前正面向全球范围推出。通行密钥认证的主要优势在于，用户只需点击一下即可登录账户，无需输入手机号码或查看验证码 (OTP)。 如何创建通行密钥： • 确保你使用的是最新版本的应用 (Android — 12.2.10；iOS — 12.2.3)。 • 这项新功能需在使用前提前配置好，方法是前往设置 (Settings) › 隐私与安全 (Privacy and Security) › 通行密钥 (Passkeys)。…
通行密钥创建通知
从今天起，用户在新创建通行密钥时，所有已登录设备都会收到通知——类似于新设备登录的提醒。
此前，缺乏通知会带来潜在的安全风险：不法分子可以悄悄将自己的通行密钥添加到他人的账户中。
系统消息包含以下信息：
• 通行密钥提供商（例如：🔒 Apple 密码）。
• 设备详情：应用版本、手机型号和操作系统。
• 添加通行密钥的位置。
• 检查活跃会话的指南。
重要安全注意事项
• 删除通行密钥时，用户也会在所有设备上收到通知。
• 通过“设置 › 设备”结束所有活跃会话后，新创建的通行密钥会自动随会话一起删除，同时会收到删除通知。
• 仅能在授权后 24 小时内添加通行密钥。
#security #authorization #passkey
从今天起，用户在新创建通行密钥时，所有已登录设备都会收到通知——类似于新设备登录的提醒。
此前，缺乏通知会带来潜在的安全风险：不法分子可以悄悄将自己的通行密钥添加到他人的账户中。
系统消息包含以下信息：
• 通行密钥提供商（例如：
• 设备详情：应用版本、手机型号和操作系统。
• 添加通行密钥的位置。
• 检查活跃会话的指南。
重要安全注意事项
• 删除通行密钥时，用户也会在所有设备上收到通知。
• 通过“设置 › 设备”结束所有活跃会话后，新创建的通行密钥会自动随会话一起删除，同时会收到删除通知。
• 仅能在授权后 24 小时内添加通行密钥。
#security #authorization #passkey
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤1
若使用非官方客户端，Telegram 或将向对话伙伴发出警告
在官方 iOS 版 Telegram 客户端的翻译字符串数据库中发现的新条目表明当对话伙伴使用第三方 Telegram 客户端时，Telegram 可能会向用户发出警告。
此类通知的出现很可能与俄罗斯第三方客户端“Telega”日益流行有关。与普通代理不同，“Telega”会将消息发送至俄罗斯公司的服务器，允许这些服务器对消息进行解密和阅读。此外，俄罗斯公司有法律义务应 FSB 要求存储并移交数据。
@tginfo 编辑推测，Telegram 并非直接封禁该客户端，而是为了妥协以维持其在俄罗斯市场的地位，但同时也在努力降低声誉风险：只要有一位对话参与者使用非官方应用，就足以让其他用户面临风险。
目前尚不清楚 Telegram 是否会对所有客户端（即使是官方注册并遵守 API 服务条款的客户端）发出警告，或者新功能仅会影响 Telegram 认为不可靠的应用。@tginfo 编辑担心，若新功能适用于所有第三方应用，此类警告可能会变成视觉上的干扰。
#iOS #security
在官方 iOS 版 Telegram 客户端的翻译字符串数据库中发现的新条目表明当对话伙伴使用第三方 Telegram 客户端时，Telegram 可能会向用户发出警告。
翻译字符串中写道：“用户使用非官方 Telegram 客户端——向该用户发送的消息可能不够安全。”
此类通知的出现很可能与俄罗斯第三方客户端“Telega”日益流行有关。与普通代理不同，“Telega”会将消息发送至俄罗斯公司的服务器，允许这些服务器对消息进行解密和阅读。此外，俄罗斯公司有法律义务应 FSB 要求存储并移交数据。
@tginfo 编辑推测，Telegram 并非直接封禁该客户端，而是为了妥协以维持其在俄罗斯市场的地位，但同时也在努力降低声誉风险：只要有一位对话参与者使用非官方应用，就足以让其他用户面临风险。
目前尚不清楚 Telegram 是否会对所有客户端（即使是官方注册并遵守 API 服务条款的客户端）发出警告，或者新功能仅会影响 Telegram 认为不可靠的应用。@tginfo 编辑担心，若新功能适用于所有第三方应用，此类警告可能会变成视觉上的干扰。
#iOS #security
👌13😁8❤4
第三方 Telegram 客户端中的通行密钥
关于第三方客户端如何使用通行密钥授权的说明已出现在 Telegram API 文档中。
这项新功能的主要限制是通行密钥将不具备通用性。您将无法使用在第三方客户端中创建的通行密钥登录官方 Telegram 应用（反之亦然）。
回顾一下，去年年底 Telegram 新增了对通行密钥的支持——这是一种便捷且安全的登录方式，允许用户通过生物识别或 PIN 码登录账户，而无需短信验证码。当时我们在常见问题解答中明确说明，该选项仅适用于官方 Telegram 客户端。
这将如何运作
现在，第三方客户端的开发者有机会实现此功能，但存在一个重大限制：
为什么会发生这种情况？
这种隔离并非 Telegram 人为施加的限制，而是通行密钥技术本身的限制，该技术禁止在第三方网站和应用程序上使用密钥，以防止网络钓鱼。
@tginfo 编辑指出，为第三方应用引入通行密钥支持是一个积极的信号。尽管密钥在技术上不可避免地会出现碎片化，但 Telegram 并未让第三方客户端的用户失去现代安全方法，为他们提供了比短信验证码更可靠的替代方案，后者费用昂贵，且在 Telegram 被禁用的国家有时无法使用。
#security #authorization #passkey
关于第三方客户端如何使用通行密钥授权的说明已出现在 Telegram API 文档中。
这项新功能的主要限制是通行密钥将不具备通用性。您将无法使用在第三方客户端中创建的通行密钥登录官方 Telegram 应用（反之亦然）。
回顾一下，去年年底 Telegram 新增了对通行密钥的支持——这是一种便捷且安全的登录方式，允许用户通过生物识别或 PIN 码登录账户，而无需短信验证码。当时我们在常见问题解答中明确说明，该选项仅适用于官方 Telegram 客户端。
💬 您只能使用通行密钥登录现有账户。创建新账户仍需要接收短信验证码。
这将如何运作
现在，第三方客户端的开发者有机会实现此功能，但存在一个重大限制：
通行密钥仅在其创建的 App 中有效。官方 Telegram 应用中的通行密钥无法用于第三方客户端，而第三方应用中的密钥也无法在官方 Telegram 应用或任何其他非官方版本中使用。
为什么会发生这种情况？
这种隔离并非 Telegram 人为施加的限制，而是通行密钥技术本身的限制，该技术禁止在第三方网站和应用程序上使用密钥，以防止网络钓鱼。
@tginfo 编辑指出，为第三方应用引入通行密钥支持是一个积极的信号。尽管密钥在技术上不可避免地会出现碎片化，但 Telegram 并未让第三方客户端的用户失去现代安全方法，为他们提供了比短信验证码更可靠的替代方案，后者费用昂贵，且在 Telegram 被禁用的国家有时无法使用。
#security #authorization #passkey
Please open Telegram to view this post
VIEW IN TELEGRAM
👍15❤4🎉1
Telegram Desktop 存在严重安全漏洞：一次点击即可窃取任意文件
如何保护自己：
• 不要继续使用低于 7.2.9 的版本——请立即更新客户端。如果你使用的是非官方客户端，在相关更新发布之前，请暂时切换到官方客户端。
下载：
• Windows/macOS/Linux：官方网站或 GitHub
• Windows：Microsoft Store
• macOS：App Store
• Linux：Flathub、Snapcraft
给旧版客户端用户的建议：
• 链接可能存在危险：点击任何链接时，都要仔细阅读弹出的窗口。如果 Telegram 显示的链接结构异常（例如以
• 不要在未设置本地锁定码的情况下使用客户端：启用锁定码功能后，
问题的本质是什么？
一项漏洞 (CVE-2026-107181) 在低于 7.2.9 版本的 Telegram Desktop 客户端中被发现。由于未对分隔符
主要风险
风险并不局限于窃取
#security #desktop #vulnerabilities
如何保护自己：
• 不要继续使用低于 7.2.9 的版本——请立即更新客户端。如果你使用的是非官方客户端，在相关更新发布之前，请暂时切换到官方客户端。
下载：
• Windows/macOS/Linux：官方网站或 GitHub
• Windows：Microsoft Store
• macOS：App Store
• Linux：Flathub、Snapcraft
给旧版客户端用户的建议：
• 链接可能存在危险：点击任何链接时，都要仔细阅读弹出的窗口。如果 Telegram 显示的链接结构异常（例如以
tg:// 开头），请不要继续访问。• 不要在未设置本地锁定码的情况下使用客户端：启用锁定码功能后，
tdata 目录中的会话文件将被加密。即使这些文件泄露，也能防止攻击者立即接管账号。问题的本质是什么？
一项漏洞 (CVE-2026-107181) 在低于 7.2.9 版本的 Telegram Desktop 客户端中被发现。由于未对分隔符
; 进行转义，tg:// 协议链接中的参数会被识别为独立的 IPC 命令。攻击者可以利用专用处理程序 interpret:，让用户点击经过特制的链接后，在用户不知情且未获得用户确认的情况下，将系统中的文件发送到攻击者自己的频道。主要风险
风险并不局限于窃取
tdata 会话文件和劫持账号。利用该漏洞，攻击者可以静默窃取计算机上用户有权访问的任意文件，包括文档、浏览器保存的会话、SSH 密钥、系统配置文件或加密货币钱包。#security #desktop #vulnerabilities
👍13
售卖礼物诈骗
最近，针对拥有收藏礼物的用户的诈骗活动有所增加。
诈骗手法
用户收到一条看起来像是官方礼物购买邀请的私信。在该消息中，诈骗者会诱导受害者点击一个按钮，将礼物转移给买家，并承诺受害者将立即收到一定数量的星币奖励。实际上，该按钮包含一个链接，该链接会将礼物免费转移给另一个用户。
如何验证购买邀请？
以下是区分真实购买邀请和欺诈邀请的方法：
• 真实的邀请显示在屏幕中央，而欺诈性的邀请则对齐左侧（看起来和您对话的另一方发送的普通消息一样）。
• 真实的邀请包含买家想要购买的礼物的缩略图，文本“该用户以 xxx ⭐️ 的价格向您购买礼物<礼物名称及编号>”，邀请的有效期，以及“拒绝”和“接受”按钮。欺诈性消息的内容可能不同。
• 如果您将应用程序的界面语言更改为英语，真实邀请的文字也会显示为英语。欺诈性消息的语言不会改变。
• 如果您长按真实的邀请中的“接受”按钮，不会发生任何事情。如果您在欺诈性邀请中的按钮上执行相同的操作，Telegram应用程序会显示该按钮背后隐藏的链接——通常，该链接以 tg://send_gift 开头。
请在收到礼物购买邀请时保持警惕，仔细检查，以避免损失礼物。
如何保护自己免受风险？
如果您的礼物被隐藏在您的个人资料中，那么没有人能够向您发送官方的购买邀请。要隐藏礼物，请打开您的礼物列表，点击您想要隐藏的礼物，然后点击“隐藏”按钮。
如果您已经转移了礼物，该怎么办？
1. 无法找回礼物。您无法向 Telegram 客服证明您遭受了欺骗。提供截图是没有意义的：截图可以伪造，而且 Telegram 的管理员无法访问私信内容。
2. 您可以向 Telegram 举报诈骗者：请参阅我们文章《如何联系 Telegram？》的“举报违规行为”章节。不幸的是，通常单个举报不足以让 Telegram 的管理员封禁诈骗者的账户。此外，诈骗者通常拥有许多备用账户。
#security #gifts #scam
最近，针对拥有收藏礼物的用户的诈骗活动有所增加。
诈骗手法
用户收到一条看起来像是官方礼物购买邀请的私信。在该消息中，诈骗者会诱导受害者点击一个按钮，将礼物转移给买家，并承诺受害者将立即收到一定数量的星币奖励。实际上，该按钮包含一个链接，该链接会将礼物免费转移给另一个用户。
如何验证购买邀请？
以下是区分真实购买邀请和欺诈邀请的方法：
• 真实的邀请显示在屏幕中央，而欺诈性的邀请则对齐左侧（看起来和您对话的另一方发送的普通消息一样）。
• 真实的邀请包含买家想要购买的礼物的缩略图，文本“该用户以 xxx ⭐️ 的价格向您购买礼物<礼物名称及编号>”，邀请的有效期，以及“拒绝”和“接受”按钮。欺诈性消息的内容可能不同。
• 如果您将应用程序的界面语言更改为英语，真实邀请的文字也会显示为英语。欺诈性消息的语言不会改变。
• 如果您长按真实的邀请中的“接受”按钮，不会发生任何事情。如果您在欺诈性邀请中的按钮上执行相同的操作，Telegram应用程序会显示该按钮背后隐藏的链接——通常，该链接以 tg://send_gift 开头。
请在收到礼物购买邀请时保持警惕，仔细检查，以避免损失礼物。
如何保护自己免受风险？
如果您的礼物被隐藏在您的个人资料中，那么没有人能够向您发送官方的购买邀请。要隐藏礼物，请打开您的礼物列表，点击您想要隐藏的礼物，然后点击“隐藏”按钮。
如果您已经转移了礼物，该怎么办？
1. 无法找回礼物。您无法向 Telegram 客服证明您遭受了欺骗。提供截图是没有意义的：截图可以伪造，而且 Telegram 的管理员无法访问私信内容。
2. 您可以向 Telegram 举报诈骗者：请参阅我们文章《如何联系 Telegram？》的“举报违规行为”章节。不幸的是，通常单个举报不足以让 Telegram 的管理员封禁诈骗者的账户。此外，诈骗者通常拥有许多备用账户。
#security #gifts #scam
❤1