Vlákno názorů k článku
GitHub zavede od příštího týdne povinné 2FA pro aktivní uživatele
od shagy2301 - Takže ten mor pretláčania authentifikátorov postupuje ďalej (sms...
-
Takže ten mor pretláčania authentifikátorov postupuje ďalej (sms som ešte ochotný pretrpieť). Som z toho veľmi smutný.
Som ochotný to akceptovať vo firemnom prostedí kde viem naspísať alebo zavolať administrátorovi, ktorý mi účet reaktivuje.
Ale vo verejne dostupných službách je to fakt peklo. Už som takto prišiel o pár účtov, lebo som si musel zresetovať stav mobilu, tým pádom sa mi odpároval authentifikátor a už som sa do služby nedostal. samozrejme prístup do supportu zas podmieňujú prihlásením a na maily veľmi často neodpovedajú. -
Ono někdy lemplovství spočívá v tom, že běžně ten přístup nepotřebujete - takže nemáte potřebu kvůli přihlášení dvakrát do roka instalovat aplikaci, nastavovat, řešit záložní metodu. Je to prostě moc velká režie.
A pak ještě přichází komplikace, když přijdete o telefon, na který je posílaná SMS, a zároveň tam máte tu TOTP aplikaci. Že to nemá být? A tedy si musíte pořizovat dvě zařízení, jedno na SMS a druhé na TOTP?To jako vážně?
Jasně že vím o dalších možnostech. Já ano... -
Filip JirsákStříbrný podporovatelI u předplacené karty máte přístup do administrace nebo další možnosti, jak prokázat, že jste vlastníkem čísla. Myslím, že u 2FA autentizace na GitHub vám ta dočasná ztráta možnosti autentizace na novém zařízení bude vadit méně, než dočasná nedostupnost telefonního čísla. A pořád máte možnost uložit si ty náhradní přístupové kódy, synchronizovat si klíče do více zařízení, použít bezpečnostní klíč (token) nebo aplikaci GitHub Mobile).
Mně na tom celém překvapuje nejvíc to, kolik lidí, kteří se zřejmě považují za IT odborníky, se tu jen tak mimochodem přiznává, že GitHub používají bez 2FA.
-
Máte samozřejmě pravdu, ale tady šlo o to, zda o to telefonní číslo přijdete.
U GitHubu to je nejspíš dobře řešitelné, ale možná byste se divil, kolik lidí si zkomplikuje přistup do banky tím, že má přihlašovací aplikaci (klíč
) na mobilu sověřeným číslem
. Pak i blokování karty (ukradená kabelka s doklady a telefonem) začíná dialogem:zavolejte z ověřeného čísla nebo potvrďte identitu v mobilním klíči
. -
Filip JirsákStříbrný podporovatel
Ano, ale o telefonní číslo nepřijdete, jenom ho omezenou dobu nebudete mít dostupné. Pro blokaci karty stačí znát její číslo nebo jiného údaje není potřeba volat z ověřeného telefonního čísla.
-
Většina lidí blokuje kartu v chvíli, kdy je ukradená - a to číslo prostě nezná. ;o)
(Banka pak potřebuje ověřit klienta, aby se podívali, jaké má karty. Běžně stačí volat z registrovaného čísla a znát nějaké údaje, jako rodné číslo a datum narození. Pokud to volající nezná a to číslo momentálně nemá... To bych taky mohl volat, že jsem FIlip Jirsák, ukradli mi karty, telefon a doklady a potřebuju to hned zablokovat, aby mi nevybílili konto - prosím, u které banky máte účet? ;oD ) -
Filip JirsákStříbrný podporovatel
Nechtěl byste k tomu rodnému číslu a datu narození přidat třeba ještě věk? Já bych nechal na bance, jak si ověří, že volá někdo, kdo má právo kartu zablokovat. Každopádně co jsem k tomu hledal na internetu, nic o nějakém registrovaném teleofním čísle nikde napsáno nebylo.
-
Řekněme
praktická zkušenost
. Když to vezmu abecedně:- ČSOB poznává klienta podle telefonního čísla a chce k tomu další údaj (nebo potvrzené klíčem nebo zavolají na to registrované číslo...), pokud voláte
z cizího
, nastupují různé pomocné scénáře; - KB nevadí, když voláte z jiného čísla, ale potřebujete vědět další údaje, jako rodné číslo, adresu a číslo některé z karet, při volání z registrovaného slevili z požadavku na číslo karty.
- ČSOB poznává klienta podle telefonního čísla a chce k tomu další údaj (nebo potvrzené klíčem nebo zavolají na to registrované číslo...), pokud voláte
-
Humanoid č. 1264054 - poruchovýBronzový podporovatel
Já se za odborníka nepovažuju, ale je 2FA s použitím nějaké sms služby typu https://www.receivesms.co/receive-sms-from-anonymous/, protože mnozí se s darováním informace o svém telefonním číslu Googlu/M$ nebudou obtěžovat, či rovnou děravého systému pro šmírování mobilních telefonů (čti Android), lepší, než nejlepší dlouhé heslo přes SSL, které mohu znát a mít jen já? A není 3FA lepší než 2FA? Kolik FA je dost a jak se o počítá?
-
Tak s tým rozhodne nesúhlasím, žiadna z predmetných služieb o ktoré som kvôli 2FA prišiel mi ten druhý spôsob "netlačila pod nos". To že je tam nastavenie niekde na 3 odskrolovanie a 4 kliky nepovažujem za dostatočné.
Ak chceme plošne začať používať druhý faktor, treba aby sa autori authentifikátorov zamisleli a dali užívateľovi možnosť si všetky načítané prístupy nejako pravidelne zálohovať.Som človek čo má rád novinky, rád skúšam nové veci, rád prezentujem produkty ktoré pomôžu k lepšej efektivite. 2FA ako je poňaté dnes je ale z môjho pohľadu jedine na príťaž a len komplikkuje prístup štandardného používateľa a nie že by to chránilo proti hackerských útokom.
Ak budeme nie IT ľuďom dávať takéto prekážky tak sa potom nečudujme, že majú averziu používať novšie technológie, keď aj pre mňa ako programátora je to príťaž a nie pomoc -
Ak chceme plošne začať používať druhý faktor, treba aby sa autori authentifikátorov zamisleli a dali užívateľovi možnosť si všetky načítané prístupy nejako pravidelne zálohovať.
Což je dnes něco, co řada authentikátorů umí. Stačí si umět vybrat. V poslední době jsem pracoval s Authenticator Pro, andOTP a OneAuth a všechny zálohování uměly a to dokonce i automatické.
-
Filip JirsákStříbrný podporovatel
Ak chceme plošne začať používať druhý faktor, treba aby sa autori authentifikátorov zamisleli a dali užívateľovi možnosť si všetky načítané prístupy nejako pravidelne zálohovať.
To vám jako mají držet pistoli u hlavy a donutit vás, abyste si to zálohování nastavil? Zálohování nebo synchronizace jsou naprosto běžné funkce 2FA autentizačních aplikací. Pokud to nepoužíváte, je problém u vás, ne v těch aplikacích. -
zálohovanie/synchronizácia nie je (teda nebolo keď som to skúšal naposledy) defaultné správanie ani authentifikátorov od Google či Microsoft, čo sú prvé voľby ak sa o túto problematiku nezaujímate.
Ako prepáčte, ale v dobe keď všetko ostatné sa mi zálohuje v telefóne automaticky, ale v prípade authentifikátorov to nebolo určite defaultné správanie a ani som si nikde na prvú dobrú nevšimol možnosť to nastaviť.
Zatiaľ ale trvám na svojom, že 2FA je veľmi zlá módna výstrelka a že bezpečnosť by sa mala riešiť tak aby to nezaťažovalo užívateľa. Jediné čo to 2FA dosiahne je znechutenie používateľov vôbec služby používať -
Filip JirsákStříbrný podporovatel
Google Authenticator je už spoustu let zastaralá aplikace, nedává smysl jí používat. Microsoft Authenticator zálohování do cloudu umožňuje (nevím, zda je to default). Ale hlavně ukládání klíčů pro 2FA a zálohování/synchornizaci přes cloud umožňuje každý rozumný správce hesel.
Bezpečnost, která méně zatěžuje uživatele, bude Passkeys. Akorát se musí počkat, než to bdue dostatečně rozšířené. Každopádně teď, pokud chce uživatel zjednodušit přihlašování a zároveň zvýšit bezpečnost, začne používat správce hesel. A jak jsem psal, každý rozumný správce hesel dnes podporuje 2FA. -
Proč by nedávalo smysl používat Authenticator od výrobce OS telefonu? Mimochodem automaticky zálohuje do Google účtu by default, takže po factory resetu telefonu si stáhne účty. Udělal jsem si "export" vyfocením obrázku vygenerovaného QR kódu, ale ukázalo se to jako zbytečné. Účty se objevily, než jsem stihl zjistit, co s tím QR kódem.
13. 3. 2023, 02:23 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Protože má divné UX; není moc jasné, zda se vyvíjí (teď je tam verze z roku 2022, dříve tam bývala myslím několik let neaktualizovnaá verze); v popisu nemá nic o zálohování; i pokud vám obnovení fungovalo po resetu telefonu, není jasné, zda se data přenesou na jiné zařízení; neumí synchronizaci mezi více zařízeními; nepodporuje standardní export – je tam jakýsi převod pomocí QR kódu, ale u toho vůbec není jasné, jak to funguje a zda by to bylo použitelné s jinou aplikací.
-
Filip JirsákStříbrný podporovatel
Když tam chybí základní funkce, jako záloha nebo export, jsou tam věci na dodělávání. Mění se API samotné platformy Android, vývojáři občas musí vydávat nové verze aplikací jenom proto, aby s tím drželi krok. Pokud Google nemá potřebu měnit funkce aplikace, hodila by se alespoň zmínka, že aplikace je aktivně udržovaná. Zejména když ta aplikace má oficiální repository Googlu na GitHubu, které je archivované a neaktualizované. Zkrátka ta aplikace nevzbuzuje moc důvěry, že je aktivně udržovaná – což mi u aplikace pro správu 2FA klíčů připadá jako poměrně zásadní problém.
Divné UX – myslím, že nešlo položky přejmenovat, nebo změnit jejich pořadí, nebo něco takového.
Zařízení má uložené nějaké šifrovací klíče, které pokud vím factory reset nezruší. Pokud jsou klíče TOTP uložené v datech šifrované klíčem zařízení, tak vám záloha na jiném telefonu k ničemu nebude, protože ji nedešifrujete.
-
Pokud tam něco nejde, možná jste jen nepřišel, jak na to. Zálohu to dělá do cloudu, takže export/import není tak potřeba. Beztak bude asi formát dat mezi takovými aplikacemi nekompatibilní. API Androidu se mění, ale tohle je od stejné firmy, takže si to interně hlídá. Ten GitHub může být export, nemusí to být primární repozitář.
-
Filip JirsákStříbrný podporovatel
Pokud tam něco nejde, možná jste jen nepřišel, jak na to.
Takže to má špatné UX.Zálohu to dělá do cloudu, takže export/import není tak potřeba.
Na Google Play u té palikace nikde není napsáno, že dělá zálohu do cloudu – a dříve to nedělala. A záloha, u které nevím, zda se dělá, a zda a jak půjde obnovit, je dost k ničemu.Beztak bude asi formát dat mezi takovými aplikacemi nekompatibilní.
Pro inicializaci autentizačních aplikací klíčem se používá formát Key Uri Format obvykle zakódovaný jako QR kód: https://github.com/google/google-authenticator/wiki/Key-Uri-Format Pro přenos do jiné aplikace je ideální právě tenhle formát.API Androidu se mění, ale tohle je od stejné firmy, takže si to interně hlídá.
Pohlídá si to jedině tehdy, pokud je ta aplikace aktivně udržovaná. Na což moc nevypadá.Ten GitHub může být export, nemusí to být primární repozitář.
Ano, není to primární repozitář, je tam napsáno, že tam nemusí být změny z upstreamu. Ale pokud má ta aplikace vypadat aktivně spravovaná, očekávla bych tam nějakou větu ve smyslu „aplikaci dál vyvíjíme interně, toto repository neaktualizujeme, proto jsme ho archivovali.“. -
> Takže to má špatné UX.
Existuje ještě druhá možnost ;-)
> Na Google Play u té palikace nikde není napsáno, že dělá zálohu do cloudu
To jako tam má být vypsán každý prd? Stejně to uživatelé nečtou.
> Pro inicializaci autentizačních aplikací klíčem se používá formát Key Uri Format obvykle zakódovaný jako QR kód
Však tento QR kód jsem psal, že jsem z té aplikace dostal, když jsem nevěděl, jestli to zálohuje do cloudu.
> pokud je ta aplikace aktivně udržovaná. Na což moc nevypadá
Však jsem psal, že nemusí jít o primární repositář. Odpověděl jste si pak sám.
-
Filip JirsákStříbrný podporovatel
Existuje ještě druhá možnost ;-)
Jasně. Přejmenování položky je tak složitá operace, že jsem ji prostě nedokázal udělat. Zajímavé je, že vjiných aplikacích stejného typu to zvládnu.To jako tam má být vypsán každý prd? Stejně to uživatelé nečtou.
Vždyť je to jedna z nejdůležitějších vlastností takové aplikace. Nejdůležitější je, že to umí generovat TOTP kódy, druhý v pořadí je import z QR kódu a třetí v pořadí je zálohování a export. Hlavně že je tam napsáno, že to má tmavé téma.Však tento QR kód jsem psal, že jsem z té aplikace dostal, když jsem nevěděl, jestli to zálohuje do cloudu.
Ne, vy jste psal, že jste získal nějaký QR kód – nevíme, zda je v tomhle formátu, nebo je to něco proprietárního. A 40 ověřovacích kódů přece nebudu přenášet po jendom přes QR kódy.Však jsem psal, že nemusí jít o primární repositář. Odpověděl jste si pak sám.
Nejde jen o to repository. Veškeré informace o té aplikaci na webu (Google Play, GitHub, Wikipedia) vzbuzují pochybnosti o tom, jestli je ta aplikace udržovaná. Jsem přesvědčený o tom, že když jsem se na tu aplikaci díval dříve, byla tam několik let stará verze. -
Stačí si jednou přečíst jak to funguje. Kromě aplikace máte možnost si stáhnout i jednorázové kódy, které jsou přesně k tomuto určené. Spousta služeb, kromě aplikace, nabízí i jiné možnosti ověření, včetně SMS, nastavené najednou. Pak taky můžete použít nějakého password managera a na 2FA zapomenout úplně, protože se o to postará za vás.
-
Filip JirsákStříbrný podporovatel
To je takový problém mít ty autentizační klíče zazálohované? Hesla máte také uložená jenom v mobilu a když přijdete o mobil, přijdete o všechna hesla?
Navíc u té 2FA autentizace je velice často možnost nebo dokonce nutnost zadat nějaký záložní přístup – vygenerovat si záložní kódy, zadat mobilní číslo pro zaslání SMS (to není moc bezpečné) apod.10. 3. 2023, 22:03 editováno autorem komentáře
-
Ten záložný prístup bohužiaľ nie je samozrejmosť, veľa služieb to neprídá a keď dajú 2FA cez appku, ktorá nemá automatické zálohovanie tak veľmi ľahko užívateľ príde o svoje dáta.
Ako prepáčte ale ja fakt nemám chuť ani náladu skúmať či tá alebo ona aplikácia zálohuje automaticky alebo to musím niekde nastaviť. Má to na mňa vybehnúť pri inicializácii alebo fungovať to automaticky. -
Filip JirsákStříbrný podporovatel
Když to nechcete zkoumat, použijet Bitwarden Personal Premium. Máte v tom správce hesel, 2FA autentikátor, zálohování a synchronizace přes cloud, aplikace pro desktopy, mobily, příkazový řádek, webové rozhraní.
