#защита_инвестиций #пароли #2fa
Прочитал вот статью о паролях, где пишут, что сильного пароля, даже менеджера паролей (с этим частично не согласен) уже недостаточно.
"The truth is, even if you keep good cyber hygiene, use strong passwords, and change them often enough, you are still vulnerable, especially your accounts that are not protected by at least the 2-factor authentication (2FA) method"
Вот в чем проблема такого подхода (в статье об этом тоже сказано, к слову): Двухфакторка добавляет условной стойкости, но также добавляет новые векторы атаки. Тот же SIM-swapping, или воровство мыла.
Нынешние, даже 128ми битные пароли, на данный момент принципиально невзламываемые (если мы говорим о разумных временных рамках и разумных растратах энергии)
И лично я считаю, что в нынешней хакерской культуре преобладает соц инженерия, а не тупой брутфорс. Поэтому ситуация когда через оператора у вас крадут сим карту и потом получают доступ к вашему аккаунту - более вероятна чем атака на сильный пароль. В чем опастность одних паролей? В том, что вы не знаете как их хранит принимающая сторона. Уже не один раз такое случалось, что хакеры взламывали БД неких известных сервисов, а там лежал .txt файл и сырые пароли даже без единичного хэширования))))
Но от идиотов-разработчиков вас как раз таки и защитит менеджкр паролей, если вы для каждого сайта будете генерировать новый уникальный пароль. Потеря одного не приведет к уязвимости вашей системы целиком.
Здесь, для 2FA уже или использовать некие токены (вплоть до биометрики, что меня правда пугает) или просто ей не пользоваться. Или организовывать и защиту номера телефона (в данном случае его неизвестность для третьих лиц - лучшая защита).
Личное мое (во избежание) предпочтение, это скорее 2SA (two-step-autentication), когда например нужно два пароля (так организовано кстати в blockchain.com, что есть плюс). Первый пароль для авторизации, а второй для совершения определенных действий. Первый пароль авторизации генерируется любым менеджером паролей, и для каждого сайта он уникален, а второй пароль (например для отправки битков) это один из 3-5 паролей (средний человек гарантированно будет помнить количество паролей в этом диапазоне)
А вообще, по этому поводу у меня уже был хороший пост. В оригинальной статье, кстати, Daniel Miessler добавил еще один пункт (8й). Как раз таки биометрика))
И ее основная уязвимость это конечно же extortion )))
Если тезисно, то 2fa через СМС или мыло это еще большая лажа чем only-password-autentication
_______
Источник | #lemon_crypto
Прочитал вот статью о паролях, где пишут, что сильного пароля, даже менеджера паролей (с этим частично не согласен) уже недостаточно.
"The truth is, even if you keep good cyber hygiene, use strong passwords, and change them often enough, you are still vulnerable, especially your accounts that are not protected by at least the 2-factor authentication (2FA) method"
Вот в чем проблема такого подхода (в статье об этом тоже сказано, к слову): Двухфакторка добавляет условной стойкости, но также добавляет новые векторы атаки. Тот же SIM-swapping, или воровство мыла.
Нынешние, даже 128ми битные пароли, на данный момент принципиально невзламываемые (если мы говорим о разумных временных рамках и разумных растратах энергии)
И лично я считаю, что в нынешней хакерской культуре преобладает соц инженерия, а не тупой брутфорс. Поэтому ситуация когда через оператора у вас крадут сим карту и потом получают доступ к вашему аккаунту - более вероятна чем атака на сильный пароль. В чем опастность одних паролей? В том, что вы не знаете как их хранит принимающая сторона. Уже не один раз такое случалось, что хакеры взламывали БД неких известных сервисов, а там лежал .txt файл и сырые пароли даже без единичного хэширования))))
Но от идиотов-разработчиков вас как раз таки и защитит менеджкр паролей, если вы для каждого сайта будете генерировать новый уникальный пароль. Потеря одного не приведет к уязвимости вашей системы целиком.
Здесь, для 2FA уже или использовать некие токены (вплоть до биометрики, что меня правда пугает) или просто ей не пользоваться. Или организовывать и защиту номера телефона (в данном случае его неизвестность для третьих лиц - лучшая защита).
Личное мое (во избежание) предпочтение, это скорее 2SA (two-step-autentication), когда например нужно два пароля (так организовано кстати в blockchain.com, что есть плюс). Первый пароль для авторизации, а второй для совершения определенных действий. Первый пароль авторизации генерируется любым менеджером паролей, и для каждого сайта он уникален, а второй пароль (например для отправки битков) это один из 3-5 паролей (средний человек гарантированно будет помнить количество паролей в этом диапазоне)
А вообще, по этому поводу у меня уже был хороший пост. В оригинальной статье, кстати, Daniel Miessler добавил еще один пункт (8й). Как раз таки биометрика))
И ее основная уязвимость это конечно же extortion )))
Если тезисно, то 2fa через СМС или мыло это еще большая лажа чем only-password-autentication
_______
Источник | #lemon_crypto
CyberNews
The password hassle: a strong one is no longer enough
A strong password is a must, though not enough to protect yourself or your employer from intrusion.
🔐 Наглядно о разнице между двухэтапной и двухфакторной аутентификацией
Когда-то я сформулировал разницу в блоге так:
Двухфакторная аутентификация подразумевает создание одноразового пароля непосредственно на устройстве, которым вы обладаете (аппаратный токен или смартфон). Если OTP отправлен в SMS, аутентификация считается двухэтапной.
В комментариях было много несогласных, считавших SMS таким же вторым фактором. Спустя пару лет я возвращался к теме в контексте рекомендаций NIST. Но не столь принципиально, кто и где проводит границу. Важны сценарии компрометации, а также доступные нам способы аутентификации - выбор-то не всегда есть!
👀 На прошлой неделе на Хабре появилась интересная новость: Почтовые ящики «Яндекса» взломали через платформу рассылки SMS. У автора новости была настроена двухэтапная аутентификация: пароль + SMS. Злоумышленники перехватили SMS с одноразовым кодом на платформе для рассылок и вошли в аккаунт.
Однако у жертвы изначально была возможность выбрать другой способ аутентификации - у Яндекса есть и двухфакторная (2FA)! И в обоих ее вариантах↓ одноразовый пароль генерируется непосредственно на смартфоне. С такой настройкой взлом сторонней платформы SMS ничем не грозит!
🔑 Любопытно, что изначально в своем велосипеде 2FA Яндекс полностью отказался от стандартов и постоянного пароля - его заменил одноразовый. Однако теперь в способах входа есть и комбинированный вариант: постоянный пароль + одноразовый пароль якобы из Ключа. Но на самом деле подойдет любой аутентификатор!
Другими словами, вдобавок к велосипеду Яндекс реализовал второй вариант 2FA по общепринятым стандартам (RFC 6238). И внезапно стандартный вариант - самый надежный :) Ложка дегтя - не предусмотрены резервные коды 2FA 🤦♂️ Зато теперь я избавился от приложения Ключ, которое держал только ради Яндекс ID.
🔁 По умолчанию для восстановления доступа к аккаунту Яндекса служит привязанный номер телефона. Именно посредством SMS автор новости смог сбросить пароль, заданный злоумышленниками. Тут ему повезло, потому что враги контролировали подтверждения по SMS и, наверное, могли поменять и номер телефона. В настройках безопасности можно сменить способ восстановления аккаунта с номера телефона на анкету и фотографию паспорта.
✔️ Советы
• По возможности выбирайте 2FA, нежели код в SMS
• Храните в надежном месте резервные коды 2FA
• Делайте бэкап секретных ключей 2FA
Читайте другие посты канала по теме #2FA ✌️
_______
Источник | #sterkin_ru
@F_S_C_P
Стань спонсором!
Когда-то я сформулировал разницу в блоге так:
Двухфакторная аутентификация подразумевает создание одноразового пароля непосредственно на устройстве, которым вы обладаете (аппаратный токен или смартфон). Если OTP отправлен в SMS, аутентификация считается двухэтапной.
В комментариях было много несогласных, считавших SMS таким же вторым фактором. Спустя пару лет я возвращался к теме в контексте рекомендаций NIST. Но не столь принципиально, кто и где проводит границу. Важны сценарии компрометации, а также доступные нам способы аутентификации - выбор-то не всегда есть!
👀 На прошлой неделе на Хабре появилась интересная новость: Почтовые ящики «Яндекса» взломали через платформу рассылки SMS. У автора новости была настроена двухэтапная аутентификация: пароль + SMS. Злоумышленники перехватили SMS с одноразовым кодом на платформе для рассылок и вошли в аккаунт.
Однако у жертвы изначально была возможность выбрать другой способ аутентификации - у Яндекса есть и двухфакторная (2FA)! И в обоих ее вариантах↓ одноразовый пароль генерируется непосредственно на смартфоне. С такой настройкой взлом сторонней платформы SMS ничем не грозит!
🔑 Любопытно, что изначально в своем велосипеде 2FA Яндекс полностью отказался от стандартов и постоянного пароля - его заменил одноразовый. Однако теперь в способах входа есть и комбинированный вариант: постоянный пароль + одноразовый пароль якобы из Ключа. Но на самом деле подойдет любой аутентификатор!
Другими словами, вдобавок к велосипеду Яндекс реализовал второй вариант 2FA по общепринятым стандартам (RFC 6238). И внезапно стандартный вариант - самый надежный :) Ложка дегтя - не предусмотрены резервные коды 2FA 🤦♂️ Зато теперь я избавился от приложения Ключ, которое держал только ради Яндекс ID.
🔁 По умолчанию для восстановления доступа к аккаунту Яндекса служит привязанный номер телефона. Именно посредством SMS автор новости смог сбросить пароль, заданный злоумышленниками. Тут ему повезло, потому что враги контролировали подтверждения по SMS и, наверное, могли поменять и номер телефона. В настройках безопасности можно сменить способ восстановления аккаунта с номера телефона на анкету и фотографию паспорта.
✔️ Советы
• По возможности выбирайте 2FA, нежели код в SMS
• Храните в надежном месте резервные коды 2FA
• Делайте бэкап секретных ключей 2FA
Читайте другие посты канала по теме #2FA ✌️
_______
Источник | #sterkin_ru
@F_S_C_P
Стань спонсором!
