Анонімна SMS-верифікація: що приховує віртуальний номер, а що ні
Віртуальний номер — це одна ланка в ланцюжку, а не плащ-невидимка. Він прибирає найсильніший ідентифікатор, який більшість людей віддають під час реєстрації, — SIM-карту, зареєстровану на їхнє ім'я, — і вже саме це змінює те, що платформа взагалі може про них дізнатися. Але та сама покупка може знову вивести на вас через платіж, через акаунт, у якого ви купили номер, через вашу IP-адресу або через сам номер, щойно ви використаєте його повторно. Цей гайд простежує весь ланцюжок від початку до кінця, позначає п'ять місць, де він рветься, і завершується чеклистом, який можна пройти приблизно за дві хвилини.
Номер телефону — це ідентифікатор, а не контактні дані
Коли ви вводите номер мобільного в форму реєстрації, здається, що ви просто даєте сервісу спосіб зв'язатися з вами. Насправді ви передаєте йому стабільний, глобально унікальний ключ, який переживає сам акаунт, який ви ділите майже з кожним іншим сервісом, яким користуєтеся, і який у більшості країн видають лише на підставі документа, що посвідчує особу.
Це одне поле виконує чотири окремі завдання, і жодне з них не звучить як “щоб ми могли надіслати вам код”.
- Він пов'язує ваші акаунти між собою. Дві платформи, що зберігають один і той самий номер, зберігають дані однієї й тієї самої людини — хоч би які імена стояли в профілях.
- Він пов'язує ваші акаунти з реєстром. Там, де реєстрація SIM-карти обов'язкова, оператор зберігає прив'язку номера до особи за документами — і те саме знає будь-хто, здатний змусити цього оператора розкрити ці дані.
- Він переживає сам акаунт. Номери спливають у зламаних базах роками пізніше. Номер, яким ви скористалися лише раз, усе одно вкаже на вас у витоку, опублікованому вже сьогодні.
- Він робить вас вразливими до зіставлення контактів. Застосунки, що завантажують адресні книги, можуть повідомити будь-кого, у кого збережено ваш номер, що ви щойно приєдналися.
Віртуальний номер атакує рівно одну річ: він замінює поле, що несе всі чотири ці властивості, на таке, що не несе жодної з них. Усе інше на цій сторінці — про те, як не звести цю заміну нанівець у наступні п'ять хвилин.
Примітка. Термінологія, яку тут використано, — non-VoIP, рівень оператора, автентифікація за сід-фразою — визначена в глосарії, якщо якийсь термін здається незнайомим.
Що насправді розриває віртуальний номер
Варто бути точним у цьому твердженні, бо чесна відповідь корисніша за маркетингову. Номер, куплений тут, — це справжня лінія у справжнього оператора, яку ми утримуємо, — просто її ніколи не видавали на ваші документи. Це змінює одні зв'язки і залишає інші точно там, де вони й були.
| Зв'язок | Розірваний віртуальним номером? | Чому |
|---|---|---|
| Акаунт → реєстрація вашої SIM-карти | Так | Цей номер ніколи не видавали на ваше ім'я чи ваші документи |
| Акаунт → ваші інші акаунти | Так | Нема за чим зіставляти — ні спільного номера, ні спільної пошти |
| Акаунт → ваша адресна книга | Так | Ніхто не зберігає цей номер поруч із вашим ім'ям |
| Акаунт → майбутній витік бази даних | Так | Номер у витоку — це номер із пулу, не ваш особистий |
| Акаунт → ваш спосіб оплати | Лише якщо ви платите криптовалютою | Картка передає продавцю ваше юридичне ім'я, а вашому банку — рядок у виписці |
| Акаунт → ваша IP-адреса | Ні | Платформа бачить з'єднання, з якого ви реєструвалися |
| Акаунт → ваш пристрій і поведінка | Ні | Зняття цифрового відбитка повністю не залежить від номера |
Саме через ці два рядки з “Ні” цей гайд довший за один абзац. Одноразовий номер дає сильний контроль над тим, хто ви на папері, і жодного контролю над тим, звідки ви підключаєтесь. Ставитися до першого так, ніби воно вирішує друге, — найпоширеніша помилка з усіх.
П'ять витоків, які повертають ваше ім'я на акаунт
Кожен рядок нижче — це реальний шлях від завершеної реєстрації назад до конкретної людини. Вони впорядковані за тим, як часто вони насправді підводять людей, а не за тим, наскільки кваліфікованим мав би бути зловмисник, — для перших двох зловмисник узагалі не потрібен, досить продавця, який просто читає власні записи.
| Витік | Як це виводить на вас | Що це закриває |
|---|---|---|
| Платіж | Картка чи банківський переказ несуть ваше юридичне ім'я; монета з публічним реєстром, куплена на біржі з KYC, лишає простежуваний слід | Поповнюйте баланс криптовалютою і віддавайте перевагу Monero |
| Дані для входу | Пошта або повторно використаний пароль пов'язують цей акаунт з усіма іншими місцями, де ви їх застосовували | Єдина сід-фраза, згенерована тут і ніде не збережена онлайн |
| Мережа | Ваша IP-адреса доходить до платформи, яку ви верифікуєте, а також до цього сайту | VPN або Tor, а також профіль браузера, який більше ні для чого не використовується |
| Повторне використання номера | Два акаунти, верифіковані одним номером, для будь-кого, хто їх порівнює, — одна й та сама людина | Один номер на одну особу, ніколи не спільний для кількох |
| Номер після завершення | Одноразовий номер повертається в пул і може бути повторно виданий комусь іншому | Ніколи не використовуйте одноразовий номер як номер для відновлення чи для 2FA — орендуйте номер, якщо він має служити довше |
Решта цього гайду розбирає їх по черзі. Жодне з рішень не складне; спільне в них те, що всі вони мають бути ухвалені до того, як ви натиснете кнопку, бо жодне не можна застосувати заднім числом.
Витік 1 — слід платежу
Якщо картка бере участь хоч десь у цьому ланцюжку, ланцюжок уже розірвано. Саме тому тут не приймають картки: картка передає продавцю ваше юридичне ім'я і залишає в банківській виписці рядок із датою, де вказано, що і коли ви купили. Жодна обережність згодом не прибере жоден із цих записів.
Криптовалюта миттєво вирішує проблему імені — те, що ви надсилаєте з гаманця, не несе жодного імені. Але вона автоматично не вирішує проблему сліду. Bitcoin, Litecoin, Ethereum, Solana, TRON і стейблкоїни фіксуються в назавжди публічному реєстрі: обидві адреси й точна сума лишаються видимими назавжди. Якщо монети потрапили в цей гаманець з біржі, яка верифікувала вашу особу, шлях від вас до цієї покупки — це запит до бази даних, а не дослідницький проект.
Monero відрізняється протоколом, а не політикою. Кільцеві підписи приховують, який саме вхід було витрачено, приховані адреси означають, що адреса, яку ви вставляєте, ніколи не з'являється в блокчейні, а конфіденційні транзакції приховують суму. Усі дев'ять способів поповнення працюють однаково з вашого боку; XMR просто єдина, що не залишає постійного публічного сліду. Повний покроковий розбір — у гайді оплата номера в Monero.
Корисно знати. Варто знати одну тонкість: баланс поповнюють один раз, а витрачають багато разів. Один депозит у $25 покриває довгу серію номерів, а це означає, що одне рішення щодо приватності на екрані поповнення захищає кожну наступну верифікацію.
Витік 2 — акаунт, у якого ви купуєте номер
Одноразовий номер, куплений з акаунта, зареєстрованого на вашу повсякденну електронну пошту, не є анонімним. Це ваша ж особа, лише з одним зайвим кроком попереду. Будь-який сервіс, що вимагає пошту під час реєстрації, за визначенням уже зібрав те саме поле, яке пов'язує цю покупку з усім іншим, чого коли-небудь торкалася ця пошта.
Тут немає форми реєстрації у звичному сенсі: ні поля для пошти, ні пароля, ні посилання для підтвердження, ні власного номера телефону. Сайт генерує сід-фразу, показує її один раз, і саме ця фраза і є акаунтом. Політика конфіденційності точно вказує, що при цьому залишається на сервері, — bcrypt-хеш сід-фрази з коротким префіксом для пошуку, записи про ваші транзакції та замовлення, серверна сесія і тимчасові записи обмеження частоти запитів за IP-адресою, які видаляються автоматично. Зберігати особу нема чого, бо її тут ніколи й не збирають.
Цей компроміс реальний, і його варто сформулювати прямо:
- Нічого фішити, нічого скидати, нічого витребувати повісткою у поштового провайдера.
- Немає повторного використання пароля, бо немає самого пароля.
- Немає листа підтвердження, що лежить у поштовій скриньці, яку індексують і в якій можна шукати.
- Жодного відновлення акаунта. Втратите фразу — і баланс зникне.
- Будь-хто, хто прочитає цю фразу, отримує контроль над балансом — це реквізит на пред'явника, як готівка.
Обережно. Те, де ви зберігаєте фразу, і вирішує, чи спрацює все перелічене вище. Папір або офлайн-менеджер паролів. Надсилання її собі на пошту, вставлення в хмарну нотатку чи в чат відтворює точнісінько той зв'язок з вашою особою, якого сід-фраза й мала уникнути.
Витік 3 — ваша IP-адреса і ваш браузер
Це той витік, з яким номер узагалі нічого не робить, і саме про нього найчастіше забувають. Платформа, яку ви верифікуєте, ніколи не бачить мережевого шляху номера — вона бачить ваш: IP-адресу, з якої ви реєструвалися, браузер, яким ви скористалися, шрифти й розмір екрана, що роблять цей браузер впізнаваним, і те, чи той самий цифровий відбиток створив ще три акаунти минулого місяця.
Віртуальний номер — це контроль над даними про особу. VPN чи Tor — це контроль над мережевими даними. Вони захищають різні стовпці однієї й тієї самої таблиці, і жоден не замінює іншого.
Розділіть браузер
Використовуйте новий профіль, контейнерну вкладку або приватне вікно, де немає жодної сесії з ваших звичайних акаунтів.
Прикрийте з'єднання
Проводьте реєстрацію і купівлю номера через VPN чи Tor, а не напряму з домашньої мережі.
Тримайте географію правдоподібною
Номер з одного континенту й з'єднання з іншого — це поєднання, за яке деякі платформи знижують довіру.
Не перетинайте потоки
Ніколи не відкривайте новий акаунт і особистий акаунт в одному профілі — спільні кукі й сховище пов'яжуть їх за вас.
Обережно. Не пропускайте цей крок лише тому, що номер здавався найскладнішою частиною. Анонімний номер, до якого ви дістаєтеся через домашнє з'єднання, у браузері, де ви вже всюди залогінені, захищає значно менше, ніж здається.
Витоки 4 і 5 — сам номер, під час і після використання
Останні два витоки — це властивості самого номера, а не ваші, і обидва випливають з одного факту: одноразовий номер позичений, а не ваш власний. Він активний приблизно двадцять хвилин, а потім повертається назад у пул.
Поки номер у вас, ризик — це зіставлення. Верифікуйте два акаунти одним номером, і ви вручаєте будь-кому, хто порівнює ці платформи, — брокеру даних, агрегатору витоків, самим платформам, якщо вони обмінюються сигналами, — однозначний ключ, який каже, що обидва акаунти належать одній людині. Це та сама помилка, що й повторне використання електронної пошти, і вона зводить нанівець ту саму розділеність, за яку ви щойно заплатили.
Після того як ви його звільните, ризик змінюється на протилежний. Номер можуть повторно видати комусь іншому, і той, у кого він опиниться далі, отримає все, що на нього надішлють. Для реєстрації, до якої ви більше ніколи не повернетеся, це нешкідливо, але тихо небезпечно для всього, що ви залишили прив'язаним до нього:
- Одноразовий номер, встановлений як номер для відновлення на важливому для вас акаунті, — скидання пароля може потрапити в кабінет незнайомої людини.
- Одноразовий номер, встановлений як номер для SMS-кодів двофакторної автентифікації, — з тієї самої причини.
- Усе, що згодом очікує на другий код: запит підтвердження при вході, повторна верифікація, сповіщення про доставку.
Рішення — підібрати продукт під потребу, а не боротися з терміном дії номера. Одноразовий код підходить для реєстрації, до якої ви більше ніколи не повернетеся. Якщо ж акаунт має й надалі отримувати повідомлення, орендуйте виділений номер на 7, 14, 30 або 90 днів — протягом усього цього періоду він належить винятково вам, приймає необмежену кількість вхідних SMS і поповнюється з того самого балансу так само, як і завжди.
Корисно знати. Корисне правило: якщо втрата доступу до акаунта вас засмутить, номер, прив'язаний до нього, має бути таким, який ви контролюватимете і завтра. Це оренда, а не одноразовий номер.
Чого віртуальний номер не може зробити для вас
У кожного інструмента контролю є межа, і саме знання того, де вона проходить, робить цей інструмент корисним. Віртуальний номер змінює те, що платформа знає про вашу особу. Він не змінює ось цього:
- Він не приховує ваше з'єднання. Платформа все одно бачить IP-адресу, пристрій і модель поведінки.
- Він не витримує перевірки особи, яку проведуть пізніше. Платформа, що вимагає документ під час виведення коштів, вимагатиме його й надалі.
- Він не скасовує те, що ви самі вводите. Справжнє ім'я, особиста пошта чи фотографія в профілі миттєво знову розкривають, хто стоїть за акаунтом.
- Він не робить номер назавжди вашим. Це може лише оренда, і лише на той період, за який ви заплатили.
- Це не спосіб обійти правила платформи. Шахрайство та крадіжка особистих даних заборонені умовами надання послуг, а конфіденційність — не синонім безкарності.
Що він робить надійно, то це прибирає обов'язкове ідентифікаційне поле з операції, якій воно ніколи й не було потрібне, — розсилка, що вимагає номер телефону, маркетплейс, яким ви скористаєтеся один раз, пробний період, що хоче код, перш ніж хоч щось вам показати. Це вузьке твердження, але воно правдиве.
Двохвилинний чекліст
Пройдіть це по порядку до першого коду. Чотири з п'яти кроків — це рішення, а не робота, і всі вони мають бути ухвалені до покупки, а не після неї.
Поповніть приватно
Поповнюйте баланс криптовалютою, віддаючи перевагу Monero, з гаманця, монети якого не ведуть до верифікованого акаунта на біржі.
Тримайте фразу офлайн
Запишіть сід-фразу на папері або збережіть в офлайн-менеджері. Ніколи — в пошті, чаті чи хмарній нотатці.
Ізолюйте сесію
Новий профіль браузера, VPN чи Tor, жодного особистого акаунта, відкритого в тому самому вікні.
Один номер, одна особа
Ніколи не верифікуйте два непов'язані акаунти одним номером і ніколи не використовуйте один номер для різних осіб.
Узгодьте термін дії з потребою
Одноразовий код — для одноразової реєстрації; оренда на строк від 7 до 90 днів — для всього, що згодом потребуватиме ще одного повідомлення.
Це весь метод. Номер прибирає ідентифікатор, платіж прибирає ім'я, мережа прибирає місцезнаходження, а дисципліна щодо повторного використання не дає скласти все це докупи. Коли будете готові, оберіть країну та сервіс на сторінці країн або в каталозі сервісів — а якщо перший код не прийде, гайд з усунення несправностей пояснить чому, і чому це не коштуватиме вам нічого.
Чи справді SMS-верифікація з віртуальним номером анонімна?
Вона анонімна щодо даних про особу, але не щодо мережевих даних. Платформа ніколи не отримує номер, зареєстрований на вас, вашу пошту чи платіж із вашим ім'ям. Але вона все одно бачить IP-адресу й пристрій, з яких ви реєструвалися, тож віртуальний номер у поєднанні з вашим домашнім з'єднанням і повсякденним браузером виконує лише частину роботи.
Чи можна простежити віртуальний номер до мене?
Не через сам номер — його ніколи не видавали на ваші документи, і в самому номері немає нічого, що пов'язувало б його з вами. Простежити можна через те, що ви до нього прив'язуєте: оплату карткою, електронну пошту, використану для покупки, характерну IP-адресу або той самий номер, повторно використаний на другому акаунті, який уже несе ваше ім'я.
Чи потрібен мені VPN, якщо я користуюся віртуальним номером?
Вони вирішують різні проблеми, і жоден не замінює іншого. Номер контролює, які дані про особу збирає платформа; VPN чи Tor контролює, звідки нібито надходить з'єднання. Якщо ваша модель загроз враховує, що платформа зіставляє реєстрації за IP-адресою, самого лише номера буде недостатньо.
Чи достатньо приватна оплата в Bitcoin, чи потрібен Monero?
Bitcoin прибирає ваше ім'я з транзакції, але не слід: обидві адреси й сума лишаються в назавжди публічному реєстрі, тож монети, що надійшли з біржі, яка знає вашу особу, залишаються простежуваними. Monero приховує відправника, отримувача і суму на рівні протоколу. Приймаються обидві монети; але лише одна з них не залишає публічної квитанції.
Чи можна використати той самий віртуальний номер для двох різних акаунтів?
Технічно — іноді можна, практично — це майже завжди погана ідея. Спільний номер — це однозначний ключ, який каже, що обидва акаунти належать одній людині, а саме такому зіставленню й покликаний запобігти одноразовий номер. До того ж багато платформ відмовляють у номері, який уже використовувався з ними.
Чи варто використовувати одноразовий номер для двофакторної автентифікації?
Ні. Одноразовий номер звільняється приблизно через двадцять хвилин і може бути повторно виданий іншому клієнту, тож скидання пароля чи код входу, надісланий пізніше, можуть потрапити в чужий кабінет. Якщо акаунт має й надалі отримувати SMS, натомість орендуйте виділений номер на строк від 7 до 90 днів.
Що саме SMSBurner зберігає про мене?
Жодної особи, бо її ніде й не збирають: на жодному етапі немає ні пошти, ні імені, ні номера телефону, ні документа. Те, що залишається, — суто технічне: bcrypt-хеш вашої сід-фрази з коротким префіксом для пошуку, записи про ваші депозити та замовлення, серверна сесія і тимчасові записи обмеження частоти запитів за IP-адресою, які видаляються автоматично. Повний перелік — у політиці конфіденційності.
Що відбувається з номером після того, як прийде мій код?
Він повертається в спільний пул, щойно код доставлено або закінчується двадцятихвилинне вікно, і згодом його можуть видати іншому клієнту. Усе, що надішлють на нього далі, до вас уже не дійде, тому одноразовий номер ніколи не можна залишати як номер для відновлення на акаунті, який ви плануєте зберегти.
Готові отримати код?
Поповніть баланс у Monero чи будь-якому з восьми інших активів, оберіть країну та сервіс і прочитайте SMS у своєму кабінеті. Без пошти, без документа, без картки.