Vlákno názorů k článku
GitHub opustil potvrzování akcí pomocí hesel, nabádá ke dvoufaktoru
od Libor Peltan - Já tadyten trend zvyšování bezpečnosti nezávisle na vůli...
-
Já tadyten trend zvyšování bezpečnosti nezávisle na vůli uživatelů nevítám.
Pro mě je třeba účet na Githubu spíš hračička, nic zásadního to nemám a napadnutí mého účtu by mi nezpůsobilo víc, než krátkou blbou náladu. Proto bych chtěl mít možnost zvolit si, že účet nijak zvlášť (více než normálně jedním heslem) zabezpečený mít nechci. Všechny tyhle smsky a tokeny člověka jen otravují.
To samé Gmail, tam je zase problém používat různé e-mailové klienty (třeba K-9 Mail) protože jim Gmail nějak nevěří a zablokuje i přihlášení se správným heslem (a tak se musí imrvéra přes webmail :( ). Hodně to otravuje a nejde to vypnout.
-
Filip JirsákStříbrný podporovatelPro mě je třeba účet na Githubu spíš hračička, nic zásadního to nemám a napadnutí mého účtu by mi nezpůsobilo víc, než krátkou blbou náladu.
Vám by to způsobilo blbou náladu. Člověku, na jehož zařízení by prostřednictvím vašeho účtu na GitHubu a např. GitHub Actions (nebo jen GitHub Pages) někdo útočil, by to mohlo způsobit mnohem víc než jen blbou náladu.To samé Gmail
To samé GMail, příjemci spamu a virů z vašeho účtu by také nadšení nebyli.tam je zase problém používat různé e-mailové klienty (třeba K-9 Mail) protože jim Gmail nějak nevěří a zablokuje i přihlášení se správným heslem
Pro aplikace, které nepodporují bezpečné způsoby přihlášení, si můžete vygenerovat speciální heslo. Popis je zde: Nedaří se mi přihlásit do e-mailového klienta.Já tadyten trend zvyšování bezpečnosti nezávisle na vůli uživatelů nevítám.
Je vidět, že je to potřeba, protože si uživatelé neuvědomují důsledky svého počínání – že nejde ani tak o to, že by napadení způsobilo problém jim, ale hlavně o to, že by tím způsobili podstatně horší problémy jiným. -
> Vám by to způsobilo blbou náladu. Člověku, na jehož zařízení by prostřednictvím vašeho účtu na GitHubu a např. GitHub Actions (nebo jen GitHub Pages) někdo útočil, by to mohlo způsobit mnohem víc než jen blbou náladu.
A povedzte mi aký je rozdiel keď niekto robí takýto útok z účtu A a keď to robí z účtu B... Toto je absurdný argument, ...
> Je vidět, že je to potřeba, protože si uživatelé neuvědomují důsledky svého počínání – že nejde ani tak o to, že by napadení způsobilo problém jim, ale hlavně o to, že by tím způsobili podstatně horší problémy jiným.
Takže na základe určitej skupiny "neuvedomujúcich ľudí" obmedzujeme skupinu, tých čo o zabezpečení niečo vedia a uvedomujú si dôsledky? To mi pripomína tie komentáre "v dnešnej dobe LGBT, BLM a podobných vyčínaní bude už heterosexualita považovaná za nevhodná a biely Európania budú diskriminovaný".
Aneb riešime problém vytváraním opačného problému.
17. 8. 2021, 12:42 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
A povedzte mi aký je rozdiel keď niekto robí takýto útok z účtu A a keď to robí z účtu B...
Nevím, co je účet A a účet B. Ale je rozdíl, jestli to někdo dělá z osobního účtu, na kterém je už dlouho normální provoz – nebo jestli si někdo založí nový účet a hned se pokouší dělat něco, co by mohlo potenciálně škodit. Tomu prvnímu to chcete dovolit bez problémů, protože mu důvěřujete. Tomu druhému nejspíš něco takového nebudete chtít hned povolit, případně si ho nejprve lépe prověříte.Toto je absurdný argument, ...
To, že něčemu nerozumíte, neznamená, že je to absurdní argument.Takže na základe určitej skupiny "neuvedomujúcich ľudí" obmedzujeme skupinu, tých čo o zabezpečení niečo vedia a uvedomujú si dôsledky?
Lidé, kteří o zabezpečení něco vědí a uvědomují si důsledky, tím nijak omezováni nejsou. Ti už totiž mají dvoufaktorovou autentizaci dávno zapnutou. -
Filip JirsákStříbrný podporovatel
Pokud myslíte to, abych konkrétně vám teď unesl účet, pak jste nepochopil bezpečnost. V bezpečnosti jde o riziko, bezpečnější znamená méně rizika. Představte si to třeba jako bezpečnostní pásy nebo airbag v autě – to, že jste je za celý život nepotřeboval, neznamená, že není rozumné je v autě mít a používat.
No a pokud jste se chtěl zeptat obecně, jaká rizika eliminuje 2FA, pak je to třeba riziko toho, že máte slabé heslo; že používáte stejné heslo i jinde; že něco vaše heslo odposlechne; že heslo zadáte někam, kam byste neměl. Pokud byste snad chtěl argumentovat tím, že používáte správce hesel a tudíž vám nic z toho nehrozí, pak to za prvé není pravda (správce hesel některá rizika sníží na nulu, ale některá stále zůstanou, i když menší), a za druhé – a to je to hlavní – když už máte správce hesel, není přece problém používat i tu 2FA. A můžete to mít hezky rozdělené, u nedůležitých účtů můžete mít 2. faktor přímo v tom správci hesel, u důležitých účtů můžete ten druhý faktor mít jinde.
-
Ano, pokud si do stejné databáze keepassxc uložíte heslo i secret pro TOTP, pak se o dvoufaktorové autentizaci opravdu moc mluvit nedá, i když to server samozřejmě poznat nemůže, takže vám to projde. Ale to už je na vás, stejně jako můžete sabotovat první faktor tím, že zvolíte absurdně snadno uhodnutelné heslo.
-
Filip JirsákStříbrný podporovatel
Jako druhý faktor se na webu nejčastěji používají TOTP, dnes se pomalu přechází na U2F. Klíč od TOTP můžete mít uložený ve správci hesel, a rozumný správce hesel vám z něj to jednorázové heslo vypočítá.
Rozdíl oproti rozpůlenému heslu je ten, že TOTP se mění každých 30 sekund. Takže i kdybyste ty údaje teoreticky zadal na kompromitovaném počítači, útočník nezíská trvalý přístup. (Samozřejmě počítám s tím, že v tomto případě hesla odněkud opisujete. Pokud na kompromitovaném počítači spustíte správce hesel a zadáte hlavní heslo, nezachrání vás nic.)
Fakticky to není dvoufaktorová autentizace, protože obě hesla jsou na stejném místě. Ale proti reálným útokům je to dostatečně silná ochrana. A klíč k TOTP pro důležité účty můžete mít pořád uložený někde jinde. Beru to tak, že autentizace jen jménem a heslem dnes už prakticky není žádná autentizace, takže je to nějaký nultý faktor nebo půl faktoru. A to TOTP k tomu přidává ten jeden faktor, aby to bylo alespoň nějak zabezpečené.
-
Na ukradení spousty účtu ale stačí dočasný přístup, ne? Leda že by změna přihlašovacích údajů vyžadovala ještě nějaký další nezávislý faktor. A to je zase další komplikace.
A opisovat hesla ze správce? Můj dojem je, že použití správce hesel vede k heslům, které se bez něj takřka nedají používat. V defaultním nastavení mi správci generují takřka neopsatelná hesla.
-
...takže se nakonec shodneme, že zabezpečení účtů na internetu je vždy nějakým způsobem kompromisní. Absolutní bezpečnosti není možno dosáhnout, takže se hledá ekvilibrium, kdy už je to dost zabezpečené, a přitom to není moc velký oser používat.
Jediné, a čem se neshodneme, je ta míra toho, kde to ekvilibrium je. Pro tebe (vás) je nejschůdnější "2FA" realizované tím, že oba faktory nakonec vyplní jediný správce hesel. Někdo jiný by řekl, že to je moc slabé a nebezpečné a ohrožuješ(te) tím nejen sebe, ale i ostatní uživatele služby, a požadoval by nějaké neprůstřelnější zabezpečení. Pro mě je zas těžko použitelný i ten správce hesel (už jsme tu dříve o tom diskutovali), tak bych chtěl (na mnohých službách) prostě jen heslo, a u bankovnictví zas poctivé 2FA.
Mimochodem, stran zabezpečení (obecně, platí i pro dveřní zámky) je jede aspekt, o kterém se málo mluví: když se zabezpečovací nástroj otočí proti vám. Zabouchnete si klíče, smažete si správce hesel. Zatím v mém osobním případě vede na počet i závažnost případů to, že jsem se sám vyDoSoval svým zabezpečením, než že bych byl obětí útočníka, proti němuž jsem byl zabezpečený málo. To je pro mě argument, proč se nezabezpečovat přehnaně.
-
Lenze ak sa ti uz niekto dostane do pocitaca, kde je ten spravca hesiel naisntalovany a ulozeny, tak je to horsi problem ako len to, ze sa ti dostane k TOTP.
Prakticky vidi vsteko co robis a tiez to moze modifikovat. Aj keby mas vtedy autentifikaciu pomocou sitnice oka a krvy jednorozca, tak ti to uz nepomoze.
-
oss: to je právě jedna z nevýhod správců hesel. Představ si situaci, kdy máš mobil s Androidem, přes který si chceš kupovat jízdenky na vlak. Je to starší mobil s už nepodporovanou verzí Androidu, která je potenciálně děravá, ale na takovouhle úlohu (a třeba offline mapy) by měl stačit.
Pokud používáš jen hesla, pamatuješ si prostě heslo k účtu přes nějž jízdenky kupuješ, a kdyby ti útočník mobil ovládl, dostane se jen k tomu. Přes takové kompromitované zařízení tě prostě bude "rozebírat" postupně. Přičemž poměr cost/benefit útočníkovi nestojí kolikrát ani za to.
Pokud používáš správce hesel, máš pravděpodobně všude nezapamatovatelná, ba neopsatelná hesla, včetně toho účtu na jízdenky. Nezbývá ti tudíž, než toho správce hesel nainstalovat a synchronizovat i do toho mobilu. Když ho útočník ovládne, odposlechne hlavní heslo, má tě na lopatkách, má přístup ke všem účtům co máš.
-
Preto nepouzivam online spravca hesiel ani takeho, ktory nieco sam vyplna. Taktiez nikde nemam zapemtame prihlasovacie udaje.
Ano spravca hesiel ide pouzit rovnako zle ako textovy dokument na ploche.
Ale vo vseobecnosti zvysuje bezpecnost. A ide ho pouzit este bezpecnejsie, len to chce rozum.
Napriklad budete si pametat svoje tajne heslo 1. V spravcovi budete mat k strankam vygenerovane rozne unikatne a naozaj nahodne hesla. Skoprujete zo spravca heslo a rucne tam dopisete tu cast, ktoru si pametate (tajne heslo 1).
Alebo sprca hesiel pouzivat iba na stranky, kde sa bojite kompromitacie. A na dolezite si ich budete pametat...
-
Filip JirsákStříbrný podporovatel
oss: Nebo lze správce hesel použít ještě daleko bezpečněji, než popisujete vy, jen to chce rozum. Stačí ve správci hesel povolit automatické vyplňování – a hned jste chráněn proti phishingu, před kterým vás ruční vyplňování nechrání. Mimochodem, phishing považuji u znalého člověka za největší nebezpečí. Dotyčný neinstaluje na počítač kde co, takže pravděpodobnost, že bude mít na počítači keylogger, je docela nízká. Používá unikátní hesla, takže únik dat z databáze ho neohrozí. Ale phishing je pro něj stále reálnou hrozbou, protože lidský mozek není uzpůsobený tomu, aby při každém zadávání hesla pečlivě kontroloval webovou adresu, kam heslo zadává.
-
Filip JirsákStříbrný podporovatel
Vycházíte ovšem z mylného předpokladu, že tím heslem je chráněn jenom obsah. Ony jsou jím ale chráněny především prostředky provozovatele služby.
Požadavek, aby si o tom rozhodoval sám uživatel, je stejný, jako kdyby si vlastník auta sám rozhodoval o veškerých bezpečnostních prvcích auta. Jenže spousta těch prvků tam není jenom proto, aby chránila posádku, ale také (nebo dokonce hlavně) aby chránila ostatní.
