🔐 Наглядно о разнице между двухэтапной и двухфакторной аутентификацией

Когда-то я сформулировал разницу в блоге так:

Двухфакторная аутентификация подразумевает создание одноразового пароля непосредственно на устройстве, которым вы обладаете (аппаратный токен или смартфон). Если OTP отправлен в SMS, аутентификация считается двухэтапной.

В комментариях было много несогласных, считавших SMS таким же вторым фактором. Спустя пару лет я возвращался к теме в контексте рекомендаций NIST. Но не столь принципиально, кто и где проводит границу. Важны сценарии компрометации, а также доступные нам способы аутентификации - выбор-то не всегда есть!

👀 На прошлой неделе на Хабре появилась интересная новость: Почтовые ящики «Яндекса» взломали через платформу рассылки SMS. У автора новости была настроена двухэтапная аутентификация: пароль + SMS. Злоумышленники перехватили SMS с одноразовым кодом на платформе для рассылок и вошли в аккаунт.

Однако у жертвы изначально была возможность выбрать другой способ аутентификации - у Яндекса есть и двухфакторная (2FA)! И в обоих ее вариантах↓ одноразовый пароль генерируется непосредственно на смартфоне. С такой настройкой взлом сторонней платформы SMS ничем не грозит!

🔑 Любопытно, что изначально в своем велосипеде 2FA Яндекс полностью отказался от стандартов и постоянного пароля - его заменил одноразовый. Однако теперь в способах входа есть и комбинированный вариант: постоянный пароль + одноразовый пароль якобы из Ключа. Но на самом деле подойдет любой аутентификатор!

Другими словами, вдобавок к велосипеду Яндекс реализовал второй вариант 2FA по общепринятым стандартам (RFC 6238). И внезапно стандартный вариант - самый надежный :) Ложка дегтя - не предусмотрены резервные коды 2FA 🤦‍♂️ Зато теперь я избавился от приложения Ключ, которое держал только ради Яндекс ID.

🔁 По умолчанию для восстановления доступа к аккаунту Яндекса служит привязанный номер телефона. Именно посредством SMS автор новости смог сбросить пароль, заданный злоумышленниками. Тут ему повезло, потому что враги контролировали подтверждения по SMS и, наверное, могли поменять и номер телефона. В настройках безопасности можно сменить способ восстановления аккаунта с номера телефона на анкету и фотографию паспорта.

✔️ Советы
• По возможности выбирайте 2FA, нежели код в SMS
• Храните в надежном месте резервные коды 2FA
• Делайте бэкап секретных ключей 2FA

Читайте другие посты канала по теме #2FA ✌️

_______
Источник | #sterkin_ru
@F_S_C_P

Стань спонсором!

😱 С помощью нейросетей удалось вывести редкие породы животных.

Выбираем себе пушистика 😂

_______
Источник | #neurohub
@F_S_C_P

-------
Секретики!
-------

bHaptics выпускает три новых тактильных жилета VR https://t.iss.one/VR_Journal/7607

———
ДАККА, 17 ноября (Рейтер) - Временный лидер Мухаммад Юнус сообщил, что около 1500 человек погибли в ходе протестов, которые привели к смещению премьер-министра Шейхи Хасины. Эта цифра значительно превышает предыдущую официальную цифру около 1000 погибших. Протесты начались в июле из-за квот на рабочие места в государственном секторе и переросли в серьезные беспорядки, в результате чего Хасина бежала в Индию. Юнус также упомянул, что расследования насильственных исчезновений выявили 1600 случаев, и, по оценкам, общее число может превысить 3500. www.reuters.com

———
Папа Франциск призывает к расследованию возможного геноцида в секторе Газа apnews.com

———
Amazon закрывает свой стриминговый сервис с рекламой Freevee в рамках стратегии по упрощению своих стриминговых предложений. Сервис будет закрыт в течение ближайших недель. Контент из Freevee будет интегрирован в Amazon Prime Video. economictimes.indiatimes.com

———
Аргентина угрожает заблокировать итоговое коммюнике саммита G20 в Бразилии из-за несогласия с пунктами о налогообложении и экологии, сообщила газета Financial Times. https://t.iss.one/tass_agency/285770

———
Правительство определило перечень госуслуг, которые россияне смогут получить в МФЦ по биометрии без паспорта. Среди них — регистрация транспорта, заявление на развод и получение пособий.

Сервис протестируют в трёх регионах России vc.ru/services/1659121

———
Двойники биометрии уже реальность https://t.iss.one/cardreview/2892

———
VK планирует выкладывать часть проектов в Open Source

Для этого корпорацией были зарегистрированы домены opensourcevk.ru и vkopensource.ru, а официальное объявление ожидается до конца года

———
Спот — первая собака-робот от компании Boston Dynamics — начал патрулировать резиденцию Трампа в Мар-а-Лаго www.bbc.com

———
Операторам придется платить еще больше неналогов – отчисления в резерв универсального обслуживания повышаются до 2%

Неналог в 1,2% действовал с 2004 года. Теперь предлагается его повысить до 2%, это означает, что операторам придется ежегодно платить «в резерв универсального обслуживания» примерно на 10 млрд рублей больше. https://t.iss.one/abloud62/5888

———
Китай призывает к созданию единого стандарта 6G https://t.iss.one/abloud62/5889

———
@F_S_C_P

▪️Генерируй картинки в боте:
Flux + MidJourney

шо? опять?
@F_S_C_P

-------
Секретики!
-------

Администраторов Telegram каналов теперь можно деанонимизировать по кастомным стикерам и эмоджи

Уязвимость заключается в том, что UID стикер-пака позволяет извлечь ID его создателя, что помогает раскрыть профиль пользователя.

Авторы Telegram-каналов заказывают у дизайнеров фирменные наклейки и «регистрируют» их в мессенджере с помощью бота Stickers, не подозревая о том, что это раскрывает их аккаунт всем.

Для популярной OSINT-утилиты Maltego даже уже разработали модуль позволяющий автоматизировать данную задачу.

___
Источник | #black_triangle_tg
@F_S_C_P

-------
Секретики!
-------

Майкл Сейлор — гений, филантроп, миллиардер или новый SBF этого цикла

Дополню этот буллпост по Сейлору небольшой страшилкой.

Контекст

MicroStrategy ($MSTR) воспринимается на рынке акций как бета на BTC и на ее балансе уже >300к BTC. При этом перфоманс с начала года несопоставим: BTC — рост на 113% vs MSTR — рост на 415%.

Откуда деньги, Майкл?

MSTR привлекает деньги на покупку BTC через выпуск и продажу облигаций. Такие облигации могут быть сконвертированы в акции компании, либо сразу в кеш (в зависимости от цены акций и даты погашения).

Получается такой флоу:
Для того чтобы покупать BTC на баланс → Сейлор формирует долг → обеспечен этот долг акциями → акции, во многом, обеспечены BTC на балансе.

Текущий долг MSTR $4.25B, в ближайшие 3 года планируется привлечь еще $42B (на покупку BTC)


Вопросы, о которых можно подумать перед сном

- Что будет если BTC сильно упадет?
- Будет ли цена на MSTR перформить с утроенной силой и в обратную сторону?
- Какая у MSTR в портфолио точка ликвидации?
- И наконец, будет ли Сейлор однажды вынужден продавать BTC с баланса в условиях даунтреда?

Краткий обзор позиции Michael Saylor от BitMEX: статья

-------
🪨@defihopes

_______
Источник | #DeFiHopes
@F_S_C_P

-------
Секретики!
-------

Так, потерпите, меня пробило на грибы и Runway.

Я щас доберусь до видеогенератров, но вот вам еще один очень классный пример, похожий на предыдущий о том, как вытаскивать 3Д мир из любой картинки, уже не имея никакой болванки в блендоре.

Берете в Runway Image2Video.
Просто используете новые управлялки из Runway, чтобы сделать видео облетов "внутри" картинки.
Используете эти видео чтобы собрать трехмерную сцену из Гауссианов в Unity Gaussian BOX Splatting.
А дальше вы уже в 3Д и просто светите сцену с помощью Custom URP Lit 6 ways Shader.

Еще раз - на входе картинка (хоть Флюкс, хоть древний Мидж) - на выходе вы бродите в Юнити по этой картинке внутри!

Шел 2024 год. Люди массово переселялись в картинки.
Сорс.

@cgevent

_______
Источник | #cgevent
@F_S_C_P

Узнай судьбу картами Таро:
✨Anna Taro bot

Сегодня где-то в глубинах Балтики был поврежден подводный кабель C-Lion1 финской компании Cinia Oy. https://t.iss.one/kipchat/1290

———
Пентагон только что провалил свой 7-й аудит и заявил, что не может полноценно отчитаться за потраченные 824 млрд долларов. (FOX News)

Конгрессмен Тим Берчетт на линии:
«Пентагон скрывает миллиарды долларов, за которые не отчитывается. Они не прошли ни одного аудита за всю историю аудитов. Я часто говорил, что единственный способ, как мы действительно докопаемся до сути, — это когда кто-то выйдет из одной из этих лабораторий с информацией и выложит её в интернет, перед тем как совершит самоубийство путем пятикратного выстрела себе в затылок».

———
Mozilla получила штраф за неудаление плагинов RuTracker и Censor Tracker pikabu.ru

———
Илон Маск добавил в свой иск к OpenAI еще одного ответчика — Microsoft. Маск считает, что Microsoft собирается "ограбить" OpenAI, к основанию которой он имел отношение, утверждая, что компания из Редмонда играла главную роль в устранении трех директоров non-profit организации. www.theinformation.com

———
Microsoft представила ИИ- модель BiomedParse для анализа биомедицинских изображений
Эта модель для распознавания, обнаружения и сегментации медицинских изображений.

Помогает врачам анализировать опухоли и их границы на КТ и других снимках.
Работает с 9 различными типами медицинских изображений.
Обучена модель на датасете из 6+ млн изображений.
Охватывает 64 основных типа биомедицинских объектов.
Использует GPT-4 для систематизации данных.
Имеет открытый исходный код.

Применение:
1. Ранняя диагностика заболеваний
2. Мониторинг прогрессирования болезни
3. Поддержка принятия решений при лечении
4. Прогнозирование

———
Иран и Россия ведут переговоры о строительстве железной дороги с шириной колеи российского стандарта от иранского города Парсабад на границе с Азербайджаном до крупнейшего иранского порта Бендер-Аббас на берегу Персидского залива. Президент исламской республики Масуд Пезешкиан отметил, что "расширение железных дорог с севера на юг идет на пользу народу и экономике страны и может удовлетворить экономические потребности России и Ирана".

———
В Пакистане разрешат выращивать техническую МJ в 2025 году.

———
Черногория планирует ввести визовый режим для граждан России, Белоруссии, Китая и некоторых других стран в рамках проведения реформ для соответствия стандартам, действующим в Шенгенской зоне. Сейчас Черногория ожидает прямой запрос от Евросоюза — такие запросы рассылают всем желающим вступить в Шенгенскую зону.

———
Tether выпустил еще 1 миллиард USDT. https://t.iss.one/msgeth/96201

———
@F_S_C_P

Узнай судьбу картами Таро:
✨Anna Taro bot

MagicQuill 🪄 редактор с функцией инпэинта.
Набор из кистей позволяет добавлять, удалять и  перекрашивать отдельные части изображения.

Использовать можно через hugging face или поставить на свою машину локально. Быстро, удобно, бесплатно.

Hardware Requirements
GPU is required to run MagicQuill
Instant prompt guessing ("Draw&Guess") requires ~5GB VRAM
Image editing operations require ~15GB VRAM
@CGIT_Vines

_______
Источник | #CGIT_Vines
@F_S_C_P

▪️Генерируй картинки в боте:
Flux + MidJourney

не #пятничное
@F_S_C_P

▪️Генерируй картинки в боте:
Flux + MidJourney

https://t.iss.one/hypecoinnews/6866
Королевское правительство Бутана продало 367 биткойнов (BTC) на сумму около $33,5 млн через крупнейшую криптовалютную биржу Binance. По данным компании Arkham Intelligence, занимающейся анализом блокчейна и отслеживающей транзакцию, продажа произошла в четверг утром, когда биткойн достиг внутридневного максимума более чем в $90 000, а затем отступил до $87 000.

Эта сделка стала второй значительной продажей биткоина в Бутане за последние недели, после одной на сумму 66 миллионов долларов после того, как биткоин достиг отметки в 70 000 долларов. В совокупности эти продажи составили почти 100 миллионов долларов, однако гималайская страна продолжает оставаться одним из крупнейших государственных держателей биткоинов: под управлением Druk Holding & Investments все еще находится 12 206 биткоинов на сумму около 1,11 миллиарда долларов.

———
Протестующие в Тбилиси окружили свой палаточный лагерь баррикадами из мусорных баков, мешков с песком и скамеек

———
Начальник полиции Берлина Барбара Селвик советует евреям и гомосексуалистам избегать мест в Берлине, где живут «люди арабского происхождения», «симпатизирующие террористическим группировкам» cursorinfo.co.il

———
Mistral, французский стартап, представил Pixtral Large — мощную мультимодальную модель с 124 миллиардами параметров. Она сочетает текстовый анализ и обработку изображений, превосходя конкурентов в таких задачах, как распознавание текста (OCR), анализ графиков и документов. Контекст 128к токенов.

———
Тут появились на прошлой неделе новости про взлом телеком-оператора T-mobile, но постоянные читатели канала знают, что для оператора это ничего нового. Один поиск по термину “t-mobile” выдает массу результатов. Основное (и важное) отличие этого взлома — оператора взломали в результате более глобального взлома китайскими хакерами систем прослушки в США

finance.yahoo.com

О взломе системы
www.msn.com

https://t.iss.one/alexmakus/5393

———
У Meta сегодня не очень удачный день во взаимоотношениях с регуляторами — мало того, что индийский антимонопольный орган оштрафовал компанию на 25 млн долларов за антиконкурентную политику приватности в WhatsApp и запретил использовать данные мессенджера для рекламных целей в течение пяти лет, так еще и немецкий суд принял довольно серьезное решение по иску об утечке пользовательских данных несколько лет назад. https://t.iss.one/blognot/5391

———
Шестой испытательный полет Starship запланирован на 19 ноября www.space.com

———
Суд признал незаконным приостановку договора с Okko на трансляцию Евро-2024 rsport.ria.ru

———
Госслужащим будут выдавать льготную ипотеку под 12%. Как объяснили в Минфине, эта мера поднимет престиж госслужбы, а разница с ключевой ставкой будет покрыта за счёт бюджета. www.infox.ru

———
DeepSeek 2.5 оказался лучшей моделью для автокомплита кода

Спустя всего пару недель после запуска, подъехали результаты с Copilot Arena. На удивление для всех, топовой моделью там оказался DeepSeek 2.5, опередив Claude Sonnet, Codestral и Llama 3.1 405B. А вот модели от OpenAI заметно отстают. GPT 4o-mini — худшая модель из всех, которые тестили, причём отставание огромное. https://t.iss.one/ai_newz/3439

———
Деанонимизатор телеграм каналов через стикеры github.com

———
Германия передаёт Украине «мини-Taurus» — 4000 дронов с искусственным интеллектом, которые могут сами наводиться на цель, сообщает Bild.

———
@F_S_C_P

-------
Секретики!
-------

РКН нагло врёт, когда говорит, что не блокирует ютуб. Элементарная проверка через подмену SNI показывает, что если там стоит сайт в домене googlevideo.com, например, то этот запрос блокируется.

Простейший пример:

curl -i --resolve rr2---sn-4g5edndd.googlevideo.com:443:212.192.156.40 rr2---sn-4g5edndd.googlevideo.com

212.192.156.40 — это адрес самого роскомнадзора.

_______
Источник | #fieryfiles
@F_S_C_P

Стань спонсором!

⚡️Прорыв в омоложении кожи: создана 1-я в мире мРНК-терапия

Команда Гарвардской медицинской школы разработала первую в мире мРНК-терапию для омоложения кожи.

Исследователи создали полный атлас клеток стареющей кожи и обнаружили ключевой ген ATF3, контролирующий процессы старения.
Результаты впечатляют:
• Снижение клеточного старения на 25%
• Рост активности стволовых клеток на 20%
• Увеличение синтеза коллагена на 200%

Преимущества метода:
✓ Безопасность (без изменения ДНК)
✓ Точность воздействия
✓ Доступная стоимость
✓ Персонализация

Исследователи применяли современные методы биоинформатики и анализа данных:

1. Анализ одноклеточного секвенирования РНК

2. Алгоритмы машинного обучения для кластеризации клеток

3. Сложное моделирование экспрессии генов.

_______
Источник | #blockchainRF
@F_S_C_P

Стань спонсором!

В Европе сообщили о повреждении второго подводного кабеля
https://t.iss.one/abloud62/5891
Подводный кабель связи между Литвой и Швецией литовского оператора Telia был оборван, заявил глава технологического отдела компании Андрюс Шемешкявичус в эфире LRT.

Первым был подводный кабель длиной 1 173 километра соединяет Финляндию (через Хельсинки) и Центральную Европу (через немецкий Росток).
Кабель был введен в эксплуатацию в 2016 году. www.cinia.fi

———
Обновления в телеграм https://t.iss.one/durov/373?single
Полноэкранный режим.
Ярлыки на главном экране.
Геолокация и отслеживание движений.
Обмен медиа, создание документов.
Отправка подарков, уровни подписок, статусы с эмодзи.

———
Динамика потребительских цен обзор ЦБРФ www.cbr.ru
Требуется дополнительная жесткость денежно-кредитных условий, способная обеспечить более сдержанный рост спроса, чтобы возобновить процесс дезинфляции, снизить инфляционные ожидания и создать условия для устойчивого снижения инфляции в 2025 г.

———
Trump Media хочет купить крипто-платформу Bakkt www.ft.com

———
Белый дом не подтвердил, что Украине позволили использовать американские дальнобойные ракеты ATACMS для ударов по России

———
Газета Le Figaro удалила публикацию, в которой говорилось, что Франция и Великобритания разрешили Украине бить по России дальнобойными ракетами SCALP/Storm Shadow

———
MicroStrategy разместит облигации на $1.75 млрд. Привлеченные средства потратит на покупку BTC

———
WSJ: YouTube стал крупнейшей платформой для подкастов на рынке США

———
Президент Абхазии подал в отставку. Исполнять обязанности главы непризнанной республики будет вице-президент Бадра Гунба.

———
Bloomberg: Минюст США хочет добиться от Google продажи Chrome, чтобы нарушить монополию поиска

———
The Information: Разработчик корпоративного поисковика Glean привлек внимание OpenAI, Google, Snowflake и Cohere

———
@F_S_C_P

-------
Секретики!
-------