Evernote и Linkedin присоединяются к «союзу двухфакторных»
-
Похожий контент
-
От KL FC Bot
Двухфакторная аутентификация с помощью одноразовых кодов (OTP — one-time password) сегодня воспринимается многими как «лекарство от всех болезней» — и от фишинга спасет, и от методов социальной инженерии защитит, и все аккаунты в безопасности сохранит. Одноразовый код запрашивается сервисом в момент логина пользователя как дополнительный метод проверки, что в учетную запись входит действительно ее владелец. Он может генерироваться в специальном приложении непосредственно на устройстве пользователя, но увы — немногие заморачиваются установкой и настройкой приложений-аутентификаторов. Поэтому чаще всего сервисы отправляют проверочный код в виде SMS, письма на электропочту, пуш-уведомления, сообщения в мессенджере или даже голосового звонка.
Этот код действует ограниченное время, и его использование значительно повышает уровень защиты, но… На OTP надейся, а сам не плошай: даже при наличии второго фактора аутентификации личные аккаунты остаются потенциально уязвимыми для OTP-ботов — автоматизированного ПО, способного выманивать у пользователей одноразовые пароли методом социальной инженерии.
Какую роль эти боты играют в фишинге и как они работают — в этом материале.
Как работают OTP-боты
Эти боты управляются либо через контрольную панель в веб-браузере, либо через Telegram и выманивают у жертвы одноразовый пароль, имитируя, например, звонок из банка с запросом присланного кода. Работает схема следующим образом.
Завладев учетными данными жертвы, мошенник заходит в ее аккаунт и получает запрос на ввод OTP-кода. Жертве на телефон приходит сообщение с одноразовым паролем. OTP-бот звонит жертве и с помощью заранее заготовленного скрипта требует от нее ввести полученный код. Жертва набирает код на клавиатуре телефона прямо во время звонка. Код поступает в Telegram-бот злоумышленника. Злоумышленник получает доступ к аккаунту жертвы. Ключевая функция OTP-бота — звонок жертве, и от убедительности бота зависит успех мошенников: время действия одноразовых кодов сильно ограничено, и шанс получить действующий код во время телефонного разговора гораздо выше. Поэтому OTP-боты предлагают множество функций, позволяющих тонко настраивать параметры звонка.
Посмотреть статью полностью
-
От ЭдНик
По совету Kaspersky включили двухфакторную авторизацию в KSC. Первое время авторизация через Яндекс.Ключ проходила нормально. Сейчас - полный стопор, на консоль просто невозможно попасть.
Можно ли каким-то отключить двухфакторную авторизацию, например, из командной строки или обойти ее?
-
От KL FC Bot
В прошлом посте мы уже поговорили о том, что такое двухфакторная аутентификация и зачем она нужна. Для тех, кому не хочется долго читать, повторим совсем вкратце, что двухфакторная аутентификация — это такой способ проверки прав доступа, при котором используются два принципиально разных метода подтверждения этих прав.
Нужна же двухфакторная аутентификация для того, чтобы более надежно защищать наши с вами аккаунты: каждый из возможных вариантов уязвим, а вот применение двух (и более) способов подтверждения входа одновременно делает взлом на порядок сложнее.
В этом посте я расскажу о том, какие существуют варианты многофакторной аутентификации, опишу плюсы и минусы каждого из них, а также посоветую наиболее надежные варианты для того, чтобы ваши учетные записи оставались в безопасности.
Одноразовые коды из SMS, на почту или голосом по телефону
Один из наиболее распространенных вариантов двухфакторной аутентификации — это отправка одноразового кода для подтверждения входа. Чаще всего такие одноразовые коды отправляют в текстовом сообщении на указанный при регистрации номер телефона. Несколько реже для тех же целей используется электронная почта. В крупных сервисах обычно также предусмотрена возможность получить такой код голосовым звонком на все тот же указанный при регистрации телефон.
Куда бы ни приходил код, основная идея остается неизменной: таким образом происходит проверка вашей возможности получить доступ к какому-то другому аккаунту или номеру телефона, который вы указали при регистрации. И если кто-то украл ваш пароль, но не имеет доступа к вашему телефону, то такая защита вполне сработает.
Наиболее привычный вариант двухфакторной аутентификации: одноразовый код в текстовом сообщении
Правда, у этого варианта двухфакторной аутентификации есть и свои недостатки. Если для подтверждения входа используется электронная почта и пароль для входа в нее — тот же самый, что и в аккаунте, который вы пытаетесь обезопасить, то очевидно, что защита получается очень слабенькая. Ведь преступник, знающий пароль от взламываемого аккаунта, наверняка попробует использовать его и для входа в вашу почту — и в итоге получит одноразовый код подтверждения.
Посмотреть полную статью
-
От KL FC Bot
Если у вас есть аккаунты в каких-нибудь социальных сетях или интернет-сервисах, то вы почти наверняка сталкивались с двухфакторной аутентификацией. Иногда ее еще называют двухэтапной аутентификацией или даже двухэтапной верификацией, но суть от этого не меняется.
Возможно, вам интересно знать, что же это такое и как работает. И самое главное: зачем вообще нужна двухфакторная аутентификация? Попробуем ответить на эти вопросы в нашем посте.
Двухфакторная аутентификация: что же это такое
Для начала дадим простое определение. В том случае, когда для подтверждения прав доступа — то есть, собственно, для аутентификации — используется несколько разных методов одновременно, это называется многофакторной аутентификацией (или мультифакторной).
Чаще всего цифровые сервисы работают с двухфакторной аутентификацией. В принципе, ничто не мешает использовать и больше факторов, но чтобы зря не раздражать пользователей, они обычно ограничиваются двумя методами подтверждения права входа.
Иными словами, двухфакторная аутентификация обеспечивает оптимальный баланс между надежностью защиты аккаунта и удобством входа в него. Какими вообще могут быть факторы, подтверждающие право пользователя на вход? Вот наиболее популярные варианты:
Знание. Аутентификация возможна, если вы знаете пароль, секретную фразу, цифровой код, графический паттерн, ответ на секретный вопрос и так далее. Обладание. Если у вас есть некий предмет — например, ключ, USB-токен, телефон, банковская карта, — то он является подтверждением вашего права доступа. Сюда же относится обладание доступом к какому-то другому аккаунту — скажем, электронной почте или номеру телефона, — которое вы можете продемонстрировать, например, получив на этот аккаунт одноразовый код. Неотъемлемое свойство. Также часто есть возможность аутентифицироваться по какому-то неотъемлемому и достаточно уникальному свойству самого пользователя — отпечатку пальца, голосу, лицу, ДНК, рисунку радужной оболочки, характерной манере печати на клавиатуре и так далее. Местоположение. В этом варианте подтверждением права на доступ является факт нахождения пользователя в каком-то определенном месте — например, если речь идет о корпоративных ресурсах, внутри офиса компании.
View the full article
-
От KL FC Bot
Среди всех социальных сетей LinkedIn занимает особое место. Ведь она рассчитана на общение людей в профессиональном сообществе, что априори предполагает практически полную открытость информации о каждом пользователе, постоянные контакты ранее незнакомых друг с другом людей, а также достаточно высокую степень доверия между ними.
Неприятным следствием всего этого является то, что в LinkedIn достаточно легко создавать весьма правдоподобные фейковые профили. Так, осенью 2022 года специалист по безопасности Брайан Кребс обнаружил целую кучу поддельных страниц с указанной в них должностью Chief Information Security Officer в ряде крупнейших мировых компаний. А потом еще несколько тысяч фальшивых аккаунтов, работодателями которых числились реальные бизнесы.
Те, кто стоят за подобными профилями, могут иметь разные намерения. Но можно быть совершенно уверенными, что создатели поддельных аккаунтов точно не будут заботиться о репутации и HR-бренде тех организаций, в которых они якобы трудоустроены. Возникает вопрос: как же защитить бренд своей компании и возможно ли вообще успешно бороться с фейками в LinkedIn?
Как сама LinkedIn борется с фейковыми профилями
Проблема фейковых профилей в LinkedIn, разумеется, далеко не нова. Каждые полгода соцсеть публикует отчеты, в которых, помимо прочего, рассказывает о том, сколько было заблокировано фейковых аккаунтов. Конкретные цифры варьируются от года к году, но в любом случае речь идет о десятках миллионов профилей за каждый отчетный период. Например, с начала 2019 года и по середину 2022 года соцсеть заблокировала почти 140 миллионов поддельных аккаунтов.
При этом большая часть фейковых профилей LinkedIn блокирует автоматически — за первую половину 2022 года доля таких блокировок составила 95,4%. Чаще всего фальшивки отсортировываются еще на этапе регистрации: в зависимости от полугодия от 70 до 90% заблокированных аккаунтов «сбивают» еще на подлете.
На долю фейковых профилей, заблокированных по жалобам пользователей, приходится менее процента. Немного их и в абсолютном значении: например, за первую половину 2022 года таким образом было заблокировано всего 190 тысяч фейков.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти