Перейти к содержанию

11 лучших аутентификаторов для Android, iOS, Windows и macOS | Блог Касперского

KL FC Bot
 Поделиться

Рекомендуемые сообщения

KL FC Bot

KL FC Bot

Опубликовано
Опубликовано

Если вы пользуетесь двухфакторной аутентификацией с помощью одноразовых кодов, генерируемых в приложении, вовсе не обязательно использовать Google Authenticator. За десятилетие существования этого метода аутентификации появилось немало альтернатив, которые превосходят оригинал от Google по удобству и функциональности.

И если еще три года назад приложения-аутентификаторы можно было сосчитать по пальцам, то сейчас их существует несколько десятков, так что в этом многообразии немудрено и заблудиться. В этом посте мы расскажем про 11 наиболее интересных приложений. А чтобы было проще выбрать аутентификатор для интересующих вас операционных систем, мы разбили приложения на соответствующие группы.

Теперь поговорим о каждом из перечисленных приложений-аутентификаторов отдельно и разберемся, какие у них плюсы, минусы и индивидуальные особенности.


 

View the full article

Umnik

Umnik

Опубликовано
Опубликовано

Смешались в кучу кони, люди.

 

1. Синхронизация TOTP через _сторонние сервисы_ - это такое же вредное действие, как использование менеджеров паролей с облачной синхронизацией или 2FA через SMS. Ну то есть это получше, чем ничего совсем, но всё ещё недопустимо к использованию. Потому не понятно, почему правильные возможности - полный оффлайн - отнесли к минусам. Это должно быть особенностью, но точно не минусом

2. Экспорт токенов увеличивает поверхность атак. Это очень спорное действие и такую возможность нельзя вносить в плюсы. Во-первых злоумышленник может, получив телефон на несколько секунд, отправить токены себе. Во-вторых токены надо где-то хранить и теперь надо думать ещё и об их защите. Особенно "понравилось" предложение держать TOTP приложения на разных устройствах одновременно в слинкованной статье. Это значит, что теперь каждое из устройств является равнозначным каналом утечки. Если уж что и бекапить, то одноразовые коды. В общем, экспорт - это особенность, а не плюс

3. Почему-то пропущены действительно полезные возможности типа TOPT внутри KeePassXC/DX

image.thumb.png.b5bbe82ebe957d4f90d2edaad844cec7.png

4. Не понятно сходу, какие из приложений умеют не только по QR, но и по тексту работать. У меня на компе нет камеры и я не занимаюсь распознаванием скриншотов, я просто скармливаю в KeePassXC строку

5. Зачем в общей куче TOTP, завязанные только на конкретные платформы? Они ведь не дают выбора

6. Если приложение использует системную же блокировку, то это не плюс, а особенность. Чтобы блокирование было в плюс, приложение должно уметь не только системный вариант вызывать. Тот же KeePassDX умеет работать и с системными, и с не системными способами входа. И для менеджера паролей и 2FA крайне важно уметь поддерживать не системные способы

 

Если статья рассчитана на домохозяек, то тут много инфы, которой они не поймут. Если статья рассчитана на меня, то нет, я недоволен.

 

P. S.: Судя по скриншоту, Яндекс предлагает не 8 букв, а набор словарных слов, длиной в 8 символов, что совсем не тоже самое. Впрочем, 6 цифр, жизнью по 30 секунд, и так достаточно безопасны. Нужно осознавать, что TOPT - это _второй_ фактор, а не единственный.

  • Like (+1) 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      ForumTroll охотится на политологов | Блог Касперского
      Автор KL FC Bot
      Наши эксперты из команды GReAT обнаружили и исследовали новую волну целевых рассылок за авторством APT-группы «Форумный тролль». Причем если раньше их вредоносные письма отправлялись на публичные адреса организаций, то теперь в качестве получателей злоумышленники выбрали конкретных людей — ученых из российских университетов и других научных организаций, специализирующихся на политологии, международных отношениях и мировой экономике. Целью рассылки было заражение компьютеров жертвы зловредом, обеспечивающим удаленный доступ к устройству.
      Как выглядит вредоносное письмо
      Письма злоумышленники отправляли с адреса support@e-library{.}wiki, имитирующего адрес научной электронной библиотеки eLibrary (ее реальный домен — elibrary.ru). Внутри содержались персонализированные ссылки, по которым жертве предлагали скачать отчет о проверке какого-то материала на плагиат, что, по замыслу атакующих, должно было заинтересовать ученых.
      В реальности по ссылке скачивался архив, размещенный на том же домене e-library{.}wiki. Внутри находился вредоносный ярлык и директория .Thumbs с какими-то изображениями, которые, по всей видимости, были нужны для обхода защитных технологий. В названии архива и вредоносного ярлыка использовались фамилия, имя и отчество жертвы.
      В случае если жертва испытывала сомнения в легитимности письма и заходила на страницу e-library{.}wiki, ей показывали несколько устаревшую копию настоящего сайта.
       
      View the full article
    • KL FC Bot
      Куда попадают украденные данные после фишинговой атаки | Блог Касперского
      Автор KL FC Bot
      Загадка: пользователь зашел на мошеннический сайт, решил оформить покупку и ввел данные банковской карты, имя и адрес. Что произошло дальше? Если вы думаете, что злоумышленники просто сняли деньги и исчезли — вы ошибаетесь. Увы, все гораздо сложнее. На самом деле украденная информация попадает на гигантский конвейер теневого рынка, где данные жертв циркулируют годами, переходя из рук в руки, и повторно используются для новых атак.
      Мы в «Лаборатории Касперского» изучили, какой путь проходят данные после фишинговой атаки: кому они достаются, как их сортируют, перепродают и используют на теневом рынке. В этом материале мы покажем маршрут похищенных данных и расскажем, как защититься, если вы уже столкнулись с фишингом или хотите избежать его в будущем. Подробный отчет с техническими деталями читайте в блоге Securelist.
      Сбор данных
      Фишинговые сайты тщательно маскируются под настоящие: иногда дизайн, интерфейс и даже домен практически неотличимы от оригинала. Чаще всего злоумышленники используют для кражи данных HTML-формы, в которых пользователю предлагают ввести логин и пароль, реквизиты карты или другую конфиденциальную информацию.
      Как только пользователь нажимает кнопку «Войти» или «Оплатить», информация мгновенно уходит к мошенникам. Иногда данные собирают не напрямую через сайт, а через легитимные сервисы вроде Google Forms, чтобы скрыть конечный сервер.
      Поддельный сайт DHL. Пользователя просят ввести логин и пароль от настоящего аккаунта DHL
       
      View the full article
    • KL FC Bot
      Фишинг в мини-приложениях Telegram: как не попасться на удочку мошенников | Блог Касперского
      Автор KL FC Bot
      Признайтесь: вы давно хотели приобщиться к новому воплощению NFT — подаркам в Telegram — но все как-то не доходили руки. Тема на хайпе — разработчики активно плодят изображения в партнерстве, например, с рэпером Снуп Доггом и другими знаменитостями. У всех друзей профили уже пестрят новомодными картинками, и вам тоже жутко хочется запрыгнуть в этот хайп-трейн «любой ценой, но бесплатно».
      И вдруг вам приходит щедрое предложение от незнакомца — получить парочку подобных подарков без капиталовложений. Выглядящий совсем как официальный бот устраивает airdrop — это такой аттракцион неслыханной щедрости в мире NFT, когда небольшое количество новых криптоактивов бесплатно раздается сообществу в рамках промоакции. Термин перекочевал в Telegram ввиду криптоприроды этих подарков и NFT-механики «под капотом».
      Ограничить время акции — любимый прием маркетологов… и мошенников
       
      View the full article
    • KL FC Bot
      Взлом 120 000 IP-камер в Южной Корее: советы по безопасности | Блог Касперского
      Автор KL FC Bot
      Правоохранительные органы Южной Кореи арестовали четырех подозреваемых во взломе 120 000 IP-камер, установленных как в частных домах, так и в коммерческих помещениях — например, в комнатах караоке, студии пилатеса и гинекологической клинике. Полученные с камер записи сексуального характера двое из взломщиков продавали через зарубежный сайт для взрослых. Объясняем, что представляют собой IP-камеры и в чем состоят их уязвимости, а также подробно рассказываем об инциденте в Южной Корее и о том, как не стать жертвой злоумышленников, охотящихся за горячими видео.
      Как работают IP-камеры?
      IP-камера — это видеокамера, подключенная к Интернету по протоколу IP (Internet Protocol), которая позволяет просматривать изображение с нее удаленно через смартфон или компьютер. В отличие от классических систем видеонаблюдения CCTV, таким камерам не нужен какой-то локальный «центр наблюдения», как в фильмах, или даже простой компьютер, к которому бы они были подключены. IP-камера сразу передает видеопоток в реальном времени на любое устройство, подключившееся к ней через Интернет. Помимо этого, производители большинства современных IP-камер, как правило, дают возможность приобрести некоторый объем в облачном хранилище и просматривать архив видеосъемки из любой точки мира.
      В последние годы IP-камеры стали особенно популярны и используются в самых разных помещениях и для разных задач — от домашнего видеонаблюдения за детьми и питомцами до обеспечения безопасности складов, офисов, квартир с посуточной арендой (хоть это часто и незаконно) и небольших бизнесов. Самые простые варианты IP-камер можно купить онлайн за 2–3 тысячи рублей.
      Бюджетная IP-камера с Full HD на маркетплейсе стоит меньше 2000 рублей — доступность делает такие устройства крайне популярными для дома и малого бизнеса
       
      View the full article
    • KL FC Bot
      Как обнаружить и обезопасить бесхозные ИТ-активы организации
      Автор KL FC Bot
      Очень часто злоумышленники атакуют «устаревший и неиспользуемый тестовый аккаунт» или в публичном доступе оказываются облачные хранилища с критическими, но не самыми свежими данными. Или атака успешно эксплуатирует уязвимость в компонентах приложения, которая была устранена два года назад. Читая истории этих взломов, замечаешь лейтмотив — в атаках использовано что-то устаревшее: сервис, сервер, учетная запись… Части корпоративной ИТ-инфраструктуры иногда выпадают из поля зрения ИТ и ИБ и становятся, по сути, никем не управляемыми, бесполезными и просто забытыми. Такие ИТ-зомби создают риски для информационной безопасности и регуляторного соответствия, а также риски избыточных операционных затрат. В целом это часть теневого ИТ, с той лишь разницей, что они вообще никому не нужны, не известны и не приносят пользы.
      В этом посте попробуем определить, какие активы требуют первоочередного внимания, как их обнаружить и в какой форме проводить реагирование.
      Физические и виртуальные серверы
      Приоритет: высокий. Уязвимые серверы — это точки входа для кибератак, которые при этом потребляют ресурсы и создают риски для регуляторного соответствия.
      Распространенность: высокая. Физические и виртуальные серверы остаются бесхозными в крупных инфраструктурах после проектов по миграции или после слияния и поглощения компаний. Часто оказываются забытыми тестовые серверы, которые уже не используются после запуска ИТ-проектов, а также веб-серверы для неактуальных проектов, работающие без домена. Масштаб последней проблемы иллюстрирует статистика сервиса Let’s Encrypt — половина запросов на продление домена в 2024 году приходила от устройств, которые более не связаны с запрошенным доменом. Число таких устройств — порядка миллиона.
       
      View the full article
×
×
  • Создать...