Перейти к содержанию

Насколько безопасно пользоваться Telegram? | Блог Касперского


Рекомендуемые сообщения

5 часов назад, Umnik сказал:

часто используют SMS как второй фактор и это тоже огромная ошибка

 

5 часов назад, Umnik сказал:

Нельзя никогда использовать телефонный номер как второй фактор

 

что можно?

Ссылка на комментарий
Поделиться на другие сайты

  • Ответов 36
  • Created
  • Последний ответ

Top Posters In This Topic

  • Umnik

    13

  • Mrak

    9

  • sputnikk

    6

  • ska79

    4

13 часов назад, Umnik сказал:

2. Нельзя никогда использовать телефонный номер как второй фактор ни в одном сервисе

Все иные варианты создают тучу проблем при сбросе телефона/утрате телефона или переезде на новый телефон. Только смс как второй фактор позволяет без проблем переезжать с одного аппарата на другой. То есть речь именно об удобстве, а не о безопасности. 

Ссылка на комментарий
Поделиться на другие сайты

On 24.02.2023 at 07:52, Kerigan said:

Аутентификатор на подобии Google Authenticator можно же юзать?

Да. Это называется TOTP, их куча. Это отличный вариант. Есть ещё аппаратные ключи. У меня, к примеру, Solo Key первого и второго поколения. Но это уже ближе к экзотике.

On 24.02.2023 at 12:52, Mrak said:

То есть речь именно об удобстве, а не о безопасности.

Всё именно так. Удобство и безопасность очень часто друг друга взаимоисключают. И каждый решает, чем он готов жертвовать.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

24.02.2023 в 12:52, Mrak сказал:

Все иные варианты создают тучу проблем при сбросе телефона/утрате телефона или переезде на новый телефон. Только смс как второй фактор позволяет без проблем переезжать с одного аппарата на другой. То есть речь именно об удобстве, а не о безопасности. 

Мне кажется у многих валяются старые телефоны.Google Authenticator можно скопировать туда и пусть лежит как точка для восстановления

Ссылка на комментарий
Поделиться на другие сайты

Я использую KeePassDX и TOTP внутри него. Так что мне нужно потерять все копии БД разом (а их 5 штук), чтобы лишиться доступа к сайтам. Но это тоже не идеально. Ведь теперь у меня первый и второй фактор в одном месте и защищены лишь одним мастер-паролем. Но вот я поступился этим для себя, мне так удобнее. Благо у меня сам мастер-пароль двухфакторный тоже. Чего нет в KPM, например :)

Ссылка на комментарий
Поделиться на другие сайты

39 минут назад, Umnik сказал:

у меня первый и второй фактор в одном месте и защищены лишь одним мастер-паролем.

Насколько важна именно двухфакторная защита, если мастер-пароль действительно сложный и уникальный? 

Может быть не париться с двухфакторной аутентификацией вовсе?

Ссылка на комментарий
Поделиться на другие сайты

6 minutes ago, Mrak said:

Насколько важна именно двухфакторная защита, если мастер-пароль действительно сложный и уникальный? 

Важен. Пароль можно случайно засветить: попасть под камеру, отставить отпечатки на экране, просто наблюдатель стоит за плечом. Потому у меня на Keepass мастер-пароль и второй фактор одновременно

 

image.thumb.png.62e78217980d4dc446a6325e46bae77f.png

 

Было бы 3 фактора, если бы КиПасс поддерживал Соло Кей. К сожалению, он поддерживает ЮбиКей, которого у меня нет. Сейчас мне нужно ввести мастер-пароль и указать файл.

Ссылка на комментарий
Поделиться на другие сайты

6 минут назад, Umnik сказал:

Важен. Пароль можно случайно засветить: попасть под камеру, отставить отпечатки на экране, просто наблюдатель стоит за плечом.

Если у кого-то хватило ресурсов поставить в твоём рабочем кабинете камеру, то думаю смс-сообщение или код аутентификации со 2-го фактора они также перехватят. Просто подсмотрят код разблокировки твоего телефона через ту же камеру. 

Ссылка на комментарий
Поделиться на другие сайты

Ты пытаешься выразить своими словами фундаментальные правила ИБ:

- Стоимость защиты должна быть ниже стоимости данных. Не нужна защита, которая обходится дороже, чем данные, которые она защищает

- Стоимость атаки должна быть выше стоимости данных. В таком случае у атакующего не будет стимула работать

Стоимость данных может быть как вполне конкретной, так и определена владельцем самостоятельно. Дальше ты просто строишь свою защиту, исходя из этого.

 

Считать данные TOTP в общем случае сложнее, чем перехват через SMS. А стоимость, скажем, профиля на ГосУслугах ну очень высока. Потому ГУ только через TOTP. Лучше усложнить себе жизнь, потеряв пароль и сходив в МФЦ, чем упростить её атакующему. На мой взгляд.

Ссылка на комментарий
Поделиться на другие сайты

22 часа назад, Umnik сказал:

стоимость, скажем, профиля на ГосУслугах ну очень высока

Мотивируешь? Что там такого особо ценного? Или сейчас ТОЛЬКО через госуслуги (без иных подтверждений) можно распоряжаться транспортными средствами и недвижимостью? У нас всё по-старинке делают, через МФЦ, нотариуса, поэтому и уточняю, неужели взломав госуслуги уже можно распорядиться имуществом?

22 минуты назад, Umnik сказал:

https://keepassxc.org/ Вот эта под десктопы. На Линуксе у меня она

Платный менеджер паролей от Касперского не лучше? Возникает смутное подозрение, что если ты автору программы не заплатил, он может или косячить (ведь бесплатно работает) или продавать твои данные. 

Ссылка на комментарий
Поделиться на другие сайты

40 минут назад, Mrak сказал:

неужели взломав госуслуги уже можно распорядиться имуществом?

Не только имуществом, злоумышленник может оформить кредит 

Ссылка на комментарий
Поделиться на другие сайты

1 минуту назад, ska79 сказал:

Не только имуществом, злоумышленник может оформить кредит 

Речь о взломе госуслуг. Не о взломе банковского приложения. Или через госуслуги можно кредит взять? 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Ранее мы рассказывали, почему перед началом использования беговых трекеров обязательно нужно настроить конфиденциальность и приватность как в целом на смартфоне, так и в самом трекинговом приложении, — для минимизации утечки ваших персональных данных, включая геопозицию, в открытый доступ. Вы же не хотите, чтобы любой желающий мог подписаться на информацию о ваших пробежках и точно знать, где и когда вас можно найти офлайн?
      Вы можете изучить уже опубликованные инструкции по настройке смартфонов и популярных беговых приложений Strava и Nike Run Club, а сегодня мы поговорим о настройках приватности в MapMyRun.
      У приложения MapMyRun (версии для Android и iOS) очень любопытная история. В сентябре 2024 года оно было приобретено в составе пакета приложений MapMyFitness медиакомпанией Outside под руководством генерального директора Робина Терстона у американского производителя спортивной обуви и одежды Under Armour. A Under Armour, в свою очередь, приобрела этот пакет аппов за $150 млн в 2013 году у некоего… Робина Терстона, основавшего MapMyFitness в 2007 году! Таким образом, через 11 лет Робин вернул себе компанию, основанную им 17 лет назад.
      Настраиваем приватность в MapMyRun
      Найти в этом приложении настройки приватности, нажав на кнопку с шестеренкой в правом верхнем углу основного экрана, как обычно, не получится — это снова настройки тренировки. Вместо этого надо нажать на кнопку с тремя точками в правом нижнем углу (для iOS) или на «бургер-меню» из трех линий в верхнем левом углу (для Android), далее выбрать пункт Настройки (не Центр конфиденциальности — это другое) и уже на открывшейся странице выбрать Конфиденциальность.
      Где найти настройки приватности в приложении MapMyRun: ••• → Настройки → Конфиденциальность
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Мы уже рассказывали, что большинство приложений для фитнеса и трекинга при занятиях спортом (например, бегом) при настройках по умолчанию практически никак не защищают ваши персональные данные. Маршруты и время тренировок, фотографии с пробежек, данные о вашей физической форме в большинстве случаев выкладываются в открытый доступ в Интернет, если вы явно это не запретите. А результаты, как мы уже писали, могут быть катастрофическими — от утечек местоположения секретных объектов до сталкинга и покушений на убийство.
      Чтобы избежать этого, необходимо настроить как сами смартфоны, так и беговые приложения. По ссылкам вы найдете инструкции по настройке наиболее популярных трекеров бега: Strava, Nike Run Club, MapMyRun, adidas Running.
      Завершая обзор настроек приватности беговых приложений, сегодня мы расскажем, как правильно настроить ASICS Runkeeper (версии для Android и iOS).
      Как и другие крупные производители спортивной обуви и амуниции Nike и adidas, японская компания ASICS, хорошо известная своей беговой обувью, не стала изобретать велосипед, а просто приобрела популярное приложение для трекинга бега Runkeeper и даже не переименовала его, добавив лишь собственное имя — ASICS Runkeeper.
      Настройки приватности в ASICS Runkeeper, как, впрочем, и в других беговых приложениях, находятся в не вполне очевидном месте. Если на основном экране щелкнуть на шестеренку в левом верхнем углу, то там вы их не найдете — это настройки тренировки. Вместо этого нажмите на кнопку Я в левом нижнем углу, далее нажмите на шестеренку в правом верхнем углу и на открывшейся странице выберите Настройки приватности.
      Где найти настройки приватности в приложении ASICS Runkeeper: Я → Настройки → Настройки приватности
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      В предыдущем посте, посвященном приватности беговых приложений в целом, мы подробно рассказывали, почему эти приложения — настоящий Клондайк персональных данных для мошенников и преступников всех сортов. Увы, по умолчанию они делятся с кем попало вашей конфиденциальной информацией, включая точную геопозицию. Результаты, как мы уже писали, могут быть катастрофическими — от утечек местоположения секретных объектов до сталкинга и покушений на убийство.
      Там же мы поделились подробной инструкцией по общей настройке смартфонов для минимизации этих рисков. В этом и следующих постах мы поговорим о тонких настройках наиболее популярных беговых приложений. Начнем со Strava.
      Strava (версии для Android и iOS) — вероятно, самое популярное приложение для отслеживания тренировок по бегу, велоспорту и просто пеших прогулок. И последнее, сохраняющее независимость: все остальные «большие» беговые приложения уже куплены производителями спортивной одежды и обуви. Кстати, именно оно стало героем нескольких инцидентов с использованием открытых данных — например, публикацией карты, выдавшей местоположение массы секретных объектов.
      Также Strava, как правило, становится центральным объектом претензий каждый раз, когда встает вопрос о том, как одни пользователи следят за другими через фитнес-приложения. Не могу не отметить, что упреки эти по-прежнему справедливы: по умолчанию пользовательский профиль в Strava настроен совершенно не приватно — приложение очень хочет, чтобы вы делились своими данными со всем Интернетом.
      Но это можно исправить — благо, в Strava есть довольно много настроек приватности. Чтобы до них добраться, нажмите кнопку Вы в правом нижнем углу экрана, потом нажмите кнопку с шестеренкой в правом верхнем углу экрана и в открывшемся окне выберите пункт Конфиденциальность.
      Где найти настройки приватности в приложении Strava: Вы → Настройки → Конфиденциальность
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Как мы уже рассказывали, нельзя просто так взять и начать использовать приложения для трекинга бега, не настроив предварительно конфиденциальность и приватность как в целом на смартфоне, так и в самом трекинговом приложении. При настройках по умолчанию эти приложения делятся со всем Интернетом полной информацией о ваших тренировках, включая точную геопозицию. А мошенники и преступники умеют использовать эти данные в своих целях.
      Если вы хоть немного заботитесь о своей приватности, изучите уже опубликованные инструкции по настройке смартфонов и популярных беговых приложений — Strava, Nike Run Club, MapMyRun. А сегодняшний пост — для всех ценителей трех полосок: настроим приватность в трекинговом приложении adidas Running (версии для Android и iOS).
      Ранее известное как Runtastic, это фитнес-приложение теперь принадлежит крупнейшему европейскому производителю спортивной одежды и обуви и называется просто adidas Running. Настроек приватности в adidas Running не так много, как, например, в Strava. Тем не менее стоит убедиться в том, что все сконфигурировано правильно.
      Чтобы попасть в настройки приватности приложения adidas Running, нажмите на кнопку Профиль в правом нижнем углу, затем на кнопку с шестеренкой в правом верхнем углу и выберите пункт Конфиденциальность (в списке есть два пункта с таким названием, вам нужен верхний — с иконкой, на которой изображен ключ).
      Где найти настройки приватности в приложении adidas Running (Runtastic): Профиль → Настройки → Конфиденциальность
      Содержимое этого раздела почему-то забыли перевести на русский язык. В первую очередь здесь вас интересует пункт Maps (кому видны ваши карты) — убедитесь в том, что галочка стоит напротив Followers (подписчикам), а еще лучше — Only me (только мне).
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Мы уже рассказывали, почему в приложениях для фитнеса перед началом использования обязательно нужно настроить конфиденциальность и приватность ваших персональных данных. Там же мы поделились подробной инструкцией по общей настройке смартфонов для минимизации рисков.
      Дело в том, что приложения для трекинга тренировок делятся вашей конфиденциальной информацией, включая точную геопозицию. Особенно отличается этим Strava, которая по умолчанию делится в открытом доступе практически всей информацией о ваших пробежках, и мы уже подробно разбирали, как настроить приватность в Strava.
      В остальных беговых приложениях настройки приватности не так многочисленны, как в Strava, — и по умолчанию они установлены в более жесткие значения (по крайней мере, для новых пользователей, регистрирующихся сейчас). Тем не менее пробежаться по ним также стоит — кое-что будет полезно отключить.
      В приложении крупнейшего производителя спортивной одежды и обуви — Nike Run Club (версии для Android и iOS) — настройки приватности спрятаны так, что может быть не вполне очевидно, как до них добраться. Вот что вам нужно сделать: в левом верхнем углу нажмите на круглую серую иконку с вашими инициалами. Далее нажмите на кнопку Настройки. В открывшемся окне не будет как такового единого пункта «Приватность», нужно выбрать несколько отдельных настроек.
      Где найти настройки приватности в приложении Nike Run Club
      Во-первых, убедитесь в том, что ваш профиль непубличен: для этого нажмите на Видимость профиля и проверьте, где стоит галочка. Правильным выбором с точки зрения приватности тут будет Друзья (социальный доступ), а еще лучше — Только я (личный доступ).
       
      View the full article
×
×
  • Создать...