Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 279
<сарказм>Т.е. теперь пароль можно будет не только забыть, но и потерять? :) </сарказм>
В целом интересная вещица, но если уж идти к максимальной безопасности и удобству, не проще ли привязать всё это к отпечатку пальца? Технология не дорогая, палец всегда при себе. А для людей с ограниченными возможностями (отсутствием пальцев или с проблемами с кожей) уже такие вот карточки и использовать.
В целом интересная вещица, но если уж идти к максимальной безопасности и удобству, не проще ли привязать всё это к отпечатку пальца? Технология не дорогая, палец всегда при себе. А для людей с ограниченными возможностями (отсутствием пальцев или с проблемами с кожей) уже такие вот карточки и использовать.
А палец «потерять» значит нельзя? :-)))))
эмм… можно… но согласитесь, количество забытых в рабочих компьютерах флэшек всё же больше, чем количество забытых на работе пальцев :)
в случае потери карты/пальца/кольца всё равно ведь будет предусмотрено переопределение ключей доступа)
в случае потери карты/пальца/кольца всё равно ведь будет предусмотрено переопределение ключей доступа)
Ну, лично в моем случае я не представляю, кому потребуется подделывать мои пальцы :) А в целом, да… всё можно подделать… и палец, и пароль сбрутить или подсмотреть, и карточку эту скопировать или украсть…
Но как вариант для усложнения задачи — комбинация из отпечатков пальцев. Заодно чисто для фана озвучку к сканеру сделать… наиграть мелодию можно будет)
Но как вариант для усложнения задачи — комбинация из отпечатков пальцев. Заодно чисто для фана озвучку к сканеру сделать… наиграть мелодию можно будет)
Слесари смеются над вашим комментарием!
а хорошие слесари смеются над смеющимися над моим комментарием слесарями )
i = i + 1;
i++
Тогда уж так.
Тогда уж так.
Тогда уж ++i наверное.
тогда уж
A < — (A) + $01
A < — (A) + $01
Так если других действий в этом шаге нет, то разницы никакой. Порядок действий один и тот же. Или я не прав?
Если i — экземпляр класса (например, vector<T>::iterator), то ++i вызывает оператор инкремента и возвращает ссылку на изменённый объект. i++ делает копию объекта i, применяет оператор инкремента к первоначальному объекту, возвращает копию, сделанную до инкремента, как этого требует семантика выражения i++ (поскольку копия создана временно, сразу после выполнения стейтмента вызывается деструктор копии).
www.parashift.com/c++-faq/increment-pre-post-speed.html
www.parashift.com/c++-faq/increment-pre-post-speed.html
но согласитесь, количество забытых в рабочих компьютерах флэшек всё же больше, чем количество забытых на работе пальцев
Расскажите это фрезировщикам :)
Можно восстановить палец по отпечатку носа или через смс.
Как-то разрушители легенд обманули сканер такой, то ли двумя, то ли тремя способами.
Да я ж и не говорил, что это идеальная защита. Всё можно взломать и подделать, умельцы всегда найдутся.
В конце концов, если кому-то очень сильно понадобится доступ к информации, терморектальный криптоанализ никто не отменял, и пароли никакие не помогут.
В конце концов, если кому-то очень сильно понадобится доступ к информации, терморектальный криптоанализ никто не отменял, и пароли никакие не помогут.
У нас есть Российская компания, которая гарантирует защиту от подделок любыми способами. Куча международных побед.
У них есть свои сканеры с разрешающей способностью 1000DPI. Сканирующая поверхность не плоская а полукруглая.
Они надеются внерится в банковский сектор, чтобы обойтись без пинкодов в банкоматах. Тут просто нужно быть немного больше вкурсе про эти вещи. Тут комментариев многов основном обывательских. Мир на месте не стоит.
У них есть свои сканеры с разрешающей способностью 1000DPI. Сканирующая поверхность не плоская а полукруглая.
Они надеются внерится в банковский сектор, чтобы обойтись без пинкодов в банкоматах. Тут просто нужно быть немного больше вкурсе про эти вещи. Тут комментариев многов основном обывательских. Мир на месте не стоит.
У биометрических сканеров и крипто-токенов разные области применения.
Биометрию нельзя использовать с терминалов, к которым у сервиса нет доверия (неизвестные компьютеры и т.п.)
Для входа в gmail по сканеру отпечатка никто не будет подделывать палец резиновым муляжом. Достаточно один раз записать сигналы, которые приходят со сканера отпечатка (например, отсканировав пальцы, пока их владелец спит) и потом передавать их куда угодно.
Биометрию можно использовать с доверенного терминала (банкомат в людном месте) и в этом случае только можно говорить о защите от подделки (резинового муляжа пальца). Поскольку бывают случаи компроментации банкоматов, то и здесь у смарт-карт есть некоторые преимущества.
Биометрию нельзя использовать с терминалов, к которым у сервиса нет доверия (неизвестные компьютеры и т.п.)
Для входа в gmail по сканеру отпечатка никто не будет подделывать палец резиновым муляжом. Достаточно один раз записать сигналы, которые приходят со сканера отпечатка (например, отсканировав пальцы, пока их владелец спит) и потом передавать их куда угодно.
Биометрию можно использовать с доверенного терминала (банкомат в людном месте) и в этом случае только можно говорить о защите от подделки (резинового муляжа пальца). Поскольку бывают случаи компроментации банкоматов, то и здесь у смарт-карт есть некоторые преимущества.
и каким же это образом, разрешите поинтересоваться, моя фотография пальца отдаст злоумышленнику мои копеечки?)
Окей, есть картинка пальца. И куды ее?) На стенку?)
Возможно, но он не сработает. ) Мулежи распознаются.
Даже если супер муляж: существует возможно задать очередность пальцев как пин код:
1-2-3
Да и к тому же есть «тревожный палец», если человека принуждают обналичивать деньги. Можно сделать фейковый счет пользователя и выдать фейковые деньги)
Все там ужо продумано) И помоему это офигенно — никаких карт от банкомата.
Даже если супер муляж: существует возможно задать очередность пальцев как пин код:
1-2-3
Да и к тому же есть «тревожный палец», если человека принуждают обналичивать деньги. Можно сделать фейковый счет пользователя и выдать фейковые деньги)
Все там ужо продумано) И помоему это офигенно — никаких карт от банкомата.
Безопаснее, раз на это переходят.) Мир к этому идет в любом случае. За бугром уже есть банкоматы такие. И у нас будут только не скоро.) Разработчики говорят что просто тяжело смириться с мыслью — что это надежнее для банковских шишек.
У нас помоему вся промышленность радиодеталей до -25. Что не возьмешь деталь -там указан диапазон рабочий.
Мне кажется если будет -100 то начнется эффект сверхпроводимости и работать оно еще быстрее будет))))
Я думаю все ок и со снегом и температурой будет. Размещают же банкоматы как я вижу в основном в помещениях ровно с целью меньше проблем из за перепадов температур и влажности и быдла.
Датчики фотографические используются ( про которые я говорю ) — на выходе bmp.
Сдается мне, можно попробовать и в мороз потестировать. Но я не видел пока таких, все они, помоему, для внутреннего использования.
Мне кажется если будет -100 то начнется эффект сверхпроводимости и работать оно еще быстрее будет))))
Я думаю все ок и со снегом и температурой будет. Размещают же банкоматы как я вижу в основном в помещениях ровно с целью меньше проблем из за перепадов температур и влажности и быдла.
Датчики фотографические используются ( про которые я говорю ) — на выходе bmp.
Сдается мне, можно попробовать и в мороз потестировать. Но я не видел пока таких, все они, помоему, для внутреннего использования.
Мне больше интересно что там с пылью.
Безопаснее, раз на это переходят.
1. Смарт-карта защищает от физического взлома банкомата или канала связи.
Био-сканер — не защищает, т.к. проверка на муляж-не муляж происходит внутри сканера. Если сканер сказал — не муляж, банк вынужден доверять.
2. У нас при вводе пальцесчитывателей обнаружилось, что нескольких сотрудников сканер вообще за людей не считает. Как ни прикладывай, фиксации отпечатка нет. Поэтому в любом случае нужен запасной вариант (пароль, карточка)
3. Согласно статье, типичный сканер может уверенно отличать 3000 отпечатков. Что будет для банка с миллионом клиентов?
Оказывается, там есть хитрость, гибридная аутентификация: www.osp.ru/news/2012/0416/13012641/
Если сканер определил, что отпечаток принадлежит возможно 10 из 1.000.000 клиентов, то сузить список до одного можно по пин-коду и дате рождения.
1.смарт карта к сожалению не защищает от физического воздействия. Все что нужно от банкомата, раздолбать его чем по тяжелее))) плевать на карты и отпечатки)
Сканер делает картинку — сервер выносит вердикт в виде вероятности. Я все же думаю это математика а сканер делает снимок в ИК. Как работает проверка на муляж я не знаю. И никто не скажет)
2. Вы биолинковские сканеры c 500dpi используете плоские — почем они были?
Ну просто это ерунда какая-то, что значит не принимает отпечатки. Значит хреново работает.)
3. Если клиентов миллион, используем ладонь или большее количество пальцев.
Ну или да, какая нибудь гибридная идентификация.
Сканер делает картинку — сервер выносит вердикт в виде вероятности. Я все же думаю это математика а сканер делает снимок в ИК. Как работает проверка на муляж я не знаю. И никто не скажет)
2. Вы биолинковские сканеры c 500dpi используете плоские — почем они были?
Ну просто это ерунда какая-то, что значит не принимает отпечатки. Значит хреново работает.)
3. Если клиентов миллион, используем ладонь или большее количество пальцев.
Ну или да, какая нибудь гибридная идентификация.
Как раз все это и подделывается я думаю. Температура у пальца ее нету. С мороза он все +5 покажет. После стирки в горячей воде все +40. Электропроводность тоже не константа как и теплопроводность. Хороший сканер, возможно не только ИК, да математика.
С возможностью таких 3D принтеров интересно. Надо мне уточнить про это дело.
С возможностью таких 3D принтеров интересно. Надо мне уточнить про это дело.
2. Вы биолинковские сканеры c 500dpi используете плоские — почем они были?
Ну просто это ерунда какая-то, что значит не принимает отпечатки. Значит хреново работает.)
фирма L1 — вот такие
Мне говорили, что плоские сканеры не очень надежны. Из за них в опрелеленных случаях требовалось по очереди прикладывать палец разными углами для регистрации.
За то вот таких нет больше ни у кого.
Получает развертку пальца, там призма специальная.
А этот сразу на два пальца.
При условии что там 1000dpi
Не нравится то, что они под винду только. Это не всем критично, мне просто принципиально не нравятся привязка к платформе.
За то вот таких нет больше ни у кого.
Получает развертку пальца, там призма специальная.
А этот сразу на два пальца.
При условии что там 1000dpi
Не нравится то, что они под винду только. Это не всем критично, мне просто принципиально не нравятся привязка к платформе.
1.смарт карта к сожалению не защищает от физического воздействия. Все что нужно от банкомата, раздолбать его чем по тяжелее))) плевать на карты и отпечатки)
В смысле, защищается клиент, а не банк. Если банкомат раздолбать, со счётов списаний не будет.
Что за ужас?
кадр из «особое мнение»
идентификация по глазу
там же и методы обхода…
идентификация по глазу
там же и методы обхода…
Вроде бы Особое мнение
Мир спасать вы думали легко? )
Какой великий смысл, полный доверия друг к другу, будет звучать в словах в ЗАГСе — «В знак любви, обменяйтесь кольцами»…
Для паролей никто не отменял «социальную инженерию» или терморектальный криптоанализ.
А для пальцев есть такое устройство:
А для пальцев есть такое устройство:
отпечаток пальца можно скопировать
«Штирлиц, а вас я попрошу остаться...»
Скопировать можно все, для пальца по-крайней мере не нужен свободный USB
usb токен скопировать нельзя (хотя бы теоретически) — это не «пассивная» информация.
Токен можно эмулировать, если у хакера есть физический доступ к системе, которая осуществляет проверку токена (например, есть возможность установить драйвер ядра и подломать проверки).
А попробуйте придумать, как проэмулировать такую схему:
С сайта в токен передаётся случайная строка, она подписывается 1024-битным приватным ключом и отсылается на сайт, к внутренностям которого у хакера нет доступа. Сайт проверяет, что подписана именно переданная сйчас строка. Ключ хранится в оперативной памяти токена и при попытке обесточить чип, чтобы его исследовать под микроскопом, просто исчезает.
А попробуйте придумать, как проэмулировать такую схему:
С сайта в токен передаётся случайная строка, она подписывается 1024-битным приватным ключом и отсылается на сайт, к внутренностям которого у хакера нет доступа. Сайт проверяет, что подписана именно переданная сйчас строка. Ключ хранится в оперативной памяти токена и при попытке обесточить чип, чтобы его исследовать под микроскопом, просто исчезает.
Задача немного другая. Надо скопировать токен так, чтобы владелец оригинала ничего не заметил.
нет, не любой. Если у вас идентификация по отпечатку разверткой в 120 градусов то вы не скопируете такой отпечаток ни откуда. Все отпечатки со стекла и прочего просто не будут иметь достаточно информаии.
Ну подумаешь: надо будет отсканировать не один стакан, а несколько.
Воду / чай / кофе в офисе часто пьете?
Воду / чай / кофе в офисе часто пьете?
Вы беретесь всегда одинаково за стакан.) Потом в фотошопе клеим )) Я говорил о существующих сканерах, которые получают развертку пальца. Видели, наверное, в хрониках как делают прокатку пальца следователи. Аналогично. Такой отпечаток вы ни с какой поверхности не получите.
Тем более методы иммитации отпечаток уже не прокатывают из за высокой разрешающей способности сканеров и хитроумных алгоритмов.
Да и по одному отпечатку никто не выдает деньги. В идеале используется отпечаток всей ладони руки. В другом случае всегда пара пальцев рук или сколько угодно. Все это уже хорошо продумано и налажено. Вопрос стоит сейчас о внедрении этой технологии в банковский сектор, а не то что стоит игра свеч или нет). Все это ужо продумано) Радует что это и российские разработки тоже))
Кстати я к офису плохо отношения имею, нас не так много там)
Тем более методы иммитации отпечаток уже не прокатывают из за высокой разрешающей способности сканеров и хитроумных алгоритмов.
Да и по одному отпечатку никто не выдает деньги. В идеале используется отпечаток всей ладони руки. В другом случае всегда пара пальцев рук или сколько угодно. Все это уже хорошо продумано и налажено. Вопрос стоит сейчас о внедрении этой технологии в банковский сектор, а не то что стоит игра свеч или нет). Все это ужо продумано) Радует что это и российские разработки тоже))
Кстати я к офису плохо отношения имею, нас не так много там)
Тоже сразу подумал зачем этот бред с хардварными ключами, ведь ничего нового тут нет, это давно уже существует и никакого удобства в этом нет, может просто пиар Yubico. Другое дело биометрическая аутентификация, ничего лишнего с собой носить не нужно (забыть/потерять соответственно сложнее), потенциальная возможность логиниться в самые различные системы без каких либо ключей и паролей, невозможность передать «ключ» другому и тд. Да отпечаток пальца можно подделать (а хардварный ключ можно как минимум спереть и вероятно скопировать тоже), но это направление можно развить до использования других критериев уникальности.
В мире нет ничего нового, но почему-то никто этим старым не пользуется, пока его насильно не продвинут. По-моему уже пора криптоключи вводить в дело, они надёжнее пальцевых отпечатков, которые подделать можно и по фотографии. Я не хочу носить перчатки, лучше буду носить USB крипто ключ, совмещённый заодно с защищённой флешкой.
А мне больше нравится недавняя идея с имплантантом в руке. Его и потерять сложнее, а в случае если надо заменить, не так уж и больно вытаскивается/вставляется.
На расстояние в 10 сантиметров. Вероятность конечно есть, но плюсов больше. А для защиты можно использовать пароль к самой капсуле или что то подобное. Ну если совсем страховаться, то перчатка из фольги или дистанционное включение-отключение или имплантировать какое нибудь активирующее капсулу устройство в палец, чтобы данные с капсулы были доступны только при загнутом пальце к капсуле, скажем на расстояние не больше 1 сантиметра… То есть считать данные не сведя пальцы будет невозможно.
Главное, чтобы имплантаты принудительными не сделали, они всё же на любителя — далеко не всем понравится что-то вживлять.
ммм, может тогда вживить его в предплечье и активировать второй рукой? или вообще за ухо, а при активации (поднесении пальца к уху) радиус действия увеличится на метр. Небезопасно, если использовать в общественных местах.
В конце концов можно же что то придумать.
В конце концов можно же что то придумать.
Согласен.
Но согласитесь, выглядело бы это забавно «Достаньте большим пальцем правой ноги, до левого уха для авторизации вконтакте», это как минимум бы заставило народ заниматься спортом, чтобы суметь это сделать
Но согласитесь, выглядело бы это забавно «Достаньте большим пальцем правой ноги, до левого уха для авторизации вконтакте», это как минимум бы заставило народ заниматься спортом, чтобы суметь это сделать
Это было бы неудобно, но очень полезно. Если лень отжиматься, то хотя бы играть не будешь, может более полезное занятие придумается…
По широким плечам и накаченным сиськам можно будет узнавать целый слой населения. И большинство подростков будут физическими развитыми.
По широким плечам и накаченным сиськам можно будет узнавать целый слой населения. И большинство подростков будут физическими развитыми.
Я все же надеюсь, что ограничат продажу алкоголя и курение в общественных местах… Может зажигалки сделать с авторизацией? проверка на возраст какая нибудь, и открывашки тоже… Сейчас уже почти не осталось идиотов, что открывают бутылки зубами или об забор и прикуривает спичками. Одиннадцатиклассники сейчас даже не знают, что такое карбид и как использовать горлышко от бутылки с напальчником…
И он сделает то, что всем, малым и великим, богатым и нищим, свободным и рабам, положено будет начертание на правую руку их или на чело их, и что никому нельзя будет ни покупать, ни продавать, кроме того, кто имеет это начертание, или имя зверя, или число имени его. Откровение Ионна 13:16
Потому безопасной считается двухфакторная (или более) аутентификация: выбрать два из «ты это знаешь», «у тебя это есть» и «это — часть тебя».
Токены относятся ко второму типу. По задумке, их, разумеется, нельзя скопировать (в случае криптографии это значит, что люди, не имеющие отношения к спецслужбам, вряд ли получат приватный ключ ранее чем через 10-20 лет). Но аутентификация только по вставлению токена — это однофакторная аутентификация, не намного лучше простого пароля. А вот токен + пин-код к нему, чтобы брелок был бесполезен без частички знаний владельца, уже совсем другое дело.
Биометрия слабо годится, когда между считывателем и сервером аутентификации канал вовсе не доверенный (со взаимным доверием само собой). Потому во всех «домашних» применениях биометрической аутентификации она используется только для открытия контейнера, в котором будет сертификат или пароль, все это в пределах одного компьютера. Впрочем, и в недомашних обычно тоже.
Конкретно про указанный в топике токен: он маленький. Я раньше таких не видел.
Токены относятся ко второму типу. По задумке, их, разумеется, нельзя скопировать (в случае криптографии это значит, что люди, не имеющие отношения к спецслужбам, вряд ли получат приватный ключ ранее чем через 10-20 лет). Но аутентификация только по вставлению токена — это однофакторная аутентификация, не намного лучше простого пароля. А вот токен + пин-код к нему, чтобы брелок был бесполезен без частички знаний владельца, уже совсем другое дело.
Биометрия слабо годится, когда между считывателем и сервером аутентификации канал вовсе не доверенный (со взаимным доверием само собой). Потому во всех «домашних» применениях биометрической аутентификации она используется только для открытия контейнера, в котором будет сертификат или пароль, все это в пределах одного компьютера. Впрочем, и в недомашних обычно тоже.
Конкретно про указанный в топике токен: он маленький. Я раньше таких не видел.
у рутокена появились устройства с размером в маленький файфай или бт свисток, по сути лишь слегка больше этих флешек, но поддержка токенов организована далеко не везде, наверное менее 1 процента ресурсов поддерживают аутентификацию хотя бы по сертификату.
Биометрию надо встраивать в токен, будет намного лучше простого пин-кода.
Ага. Вы ещё сетчатку глаза предложите…
На практике, думаю, живой глаз отличить несложно. Зрачок не реагирует? До свидания.
При некотором изврате можно даже пульс считывать с сосудов в сетчатке (т.е. определить есть ли он вообще, и волнуется ли человек (т.е. не принуждают ли его к сканированию)).
И до кучи — скорость реакции зрачка на свет (т.е. не под действием ли веществ сканируемый).
И до кучи — скорость реакции зрачка на свет (т.е. не под действием ли веществ сканируемый).
Почему? Определяют пульс же с вебкамер. Тут была тема про увеличения динамики в видео. Отлов saturation кожи и выявление частоты колебаний. Так же отлов микродвижения вен на руке.
Понял смысл) Я думаю все это ерунда. Если разбираетесь в устройстве глаза — такие пустяги как биохимические процессы не станут сюрпризами для разработчиков)
В Саудовскую Аравию вы уже не въедине без процедуры сканирования глаза.
Собственно, на моем ноуте есть сканер отпечатков пальцев. Я использую его с софтиной AuthenTec TrueSuite — отлично работает.
Авторизация на всех сайтах, вход в систему, защита папок на компе. Естественно, очень удобно, что когда рядом с тобой стоит толпа народа, не нужно палить всем свой пароль — просто проводишь пальцем и получаешь профит.
Другие люди залогиниться не могут, перепробовали много пальцев.
Может это и не 100% гарантия безопасности, но для повседневных задач крайне удобная штука.
Авторизация на всех сайтах, вход в систему, защита папок на компе. Естественно, очень удобно, что когда рядом с тобой стоит толпа народа, не нужно палить всем свой пароль — просто проводишь пальцем и получаешь профит.
Другие люди залогиниться не могут, перепробовали много пальцев.
Может это и не 100% гарантия безопасности, но для повседневных задач крайне удобная штука.
А что за ноутбук? Lenovo?
Тоже пользовался. Было очень удобно. Правда, при очередном обновлении системы (Ubuntu) всё отвалилось. А поднимать это и в первый раз было непросто, поэтому забил.
Буду пользоваться, как только эта система начнет стабильно работать.
Буду пользоваться, как только эта система начнет стабильно работать.
Это немного другое, открыть доступ к своему компу пальцем удобно, можно даже использовать его вместо ввода пин-кода, но подключаться к разным сайтам с помощью пальцевых отпечатков не получится, а если даже получится, то это плохая идея.
Если вы про то, что база владельца сайта с пальцами может утечь — то идея не очень плохая, если де-факто «палец» на сервер не передаётся, а вместо этого используется закрытый ключ, генерируемый на основе рельефа пальца и адреса сайта. То-есть, для каждого сайта ключ уникален, и технология надёжна. Но эту технологию надо ещё разработать и обкатать…
Работает все следующим образом: вы заходите первый раз на сайт (скажем, gmail), вводите свой пароль, вылетает окно «хотите ли вы использовать отпечаток пальцев для авторизации», жмете «да», пароль запоминается в софтину TrueSuite, представляющая собой хранилище паролей (что-то очень похожее на KeyPass). Также сама софтина, на случай проблем со сканером, защищена паролем.
В следующим раз, при заходе на gmail, вылезет окно авторизации через TrueSuite. Достаточно будет провести пальцем по сканеру, логин и пароль автоматически подставится и также автоматически будет нажата кнопка «Вход».
Конечно, я не храню пароли в таком виде на PayPal, Интернет-банки и прочее денежное. Но использовать для Facebook, Twitter и другого социального — почему нет?
В следующим раз, при заходе на gmail, вылезет окно авторизации через TrueSuite. Достаточно будет провести пальцем по сканеру, логин и пароль автоматически подставится и также автоматически будет нажата кнопка «Вход».
Конечно, я не храню пароли в таком виде на PayPal, Интернет-банки и прочее денежное. Но использовать для Facebook, Twitter и другого социального — почему нет?
Если у вас сопрут ноут с целью получения доступа к данным, то считайте, что вы уже нацарапали пароль прямо на крышке — ваши отпечатки остались на клавиатуре и корпусе, а также на сотне предметов, которые вы хватаете каждый день. Так что вы «палите» свой пароль, сами того не замечая.
Ну смешно же :)
Я не работаю на ФСБ. ЦРУ, Моссад, Кремль или что-то там еще. Если у меня украдут ноут, то это будут какие-нибудь классические наркоманы или кто-нибудь еще из не шибко интеллектуального сброда. В этот же день мой ноут уедет в какой-нибудь ломбард или в митино, где просто переставят винду и выложат ноут на прилавок. Так будет в 99.999% случаев.
И, как я уже сказал выше, я храню в таком виде только доступ к частоиспользуемым соцсетям, форумам, блогам и т.д. На платежные системы и банки у меня стоят сложные пароли. Но и это в большинстве случае не имеет значение, т.к. денежные операции без подтверждения с мобилы у меня во всевозможных сервисах запрещены.
А так Вас послушать, все норовят украсть мой отпечаток пальцев, кого-нибудь убить и потом подставит. Ага.
Я не работаю на ФСБ. ЦРУ, Моссад, Кремль или что-то там еще. Если у меня украдут ноут, то это будут какие-нибудь классические наркоманы или кто-нибудь еще из не шибко интеллектуального сброда. В этот же день мой ноут уедет в какой-нибудь ломбард или в митино, где просто переставят винду и выложат ноут на прилавок. Так будет в 99.999% случаев.
И, как я уже сказал выше, я храню в таком виде только доступ к частоиспользуемым соцсетям, форумам, блогам и т.д. На платежные системы и банки у меня стоят сложные пароли. Но и это в большинстве случае не имеет значение, т.к. денежные операции без подтверждения с мобилы у меня во всевозможных сервисах запрещены.
А так Вас послушать, все норовят украсть мой отпечаток пальцев, кого-нибудь убить и потом подставит. Ага.
В исходном комментарии вы ничего не написали о том, что используете этот способ авторизации только для наименее ответственных сервисов, за то упомянули «защиту папок», где, в принципе, лежать может что угодно. Поменяли условия задачи, а теперь предлагаете посмеяться над моим комментарием? Отличная риторика.
Что же касается «да кому я нужен» — вы может никому и не нужны. Однако делитесь своим опытом, предлагаете его другим (умалчивая о том, что он распространяется только на то, что вам все равно не важно), не говоря ничего о слабых сторонах. А другие может кому и нужны. И для этого не надо быть сотрудником спецслужб. Бывали случаи, когда телефоны и ноуты воровали по заказу не только у партнеров (и конкурентов) по мелкому бизнесу, но и у родственников (во время судебных процессов по разделу наследства бабки, которая не Рокфеллер, но для некоторых людей и $150k за бабкину квартиру — сумма существенная).
А еще не сбрасывайте со счетов психов, завистников и ревнивых людей. Это не значит, что надо превращаться в параноика, а значит всего лишь то, что использовать супер-дырявые, но «красивые» способы авторизации вместо менее эффектных на вид, но за то более надежных — вот это действительно смешно.
Что же касается «да кому я нужен» — вы может никому и не нужны. Однако делитесь своим опытом, предлагаете его другим (умалчивая о том, что он распространяется только на то, что вам все равно не важно), не говоря ничего о слабых сторонах. А другие может кому и нужны. И для этого не надо быть сотрудником спецслужб. Бывали случаи, когда телефоны и ноуты воровали по заказу не только у партнеров (и конкурентов) по мелкому бизнесу, но и у родственников (во время судебных процессов по разделу наследства бабки, которая не Рокфеллер, но для некоторых людей и $150k за бабкину квартиру — сумма существенная).
А еще не сбрасывайте со счетов психов, завистников и ревнивых людей. Это не значит, что надо превращаться в параноика, а значит всего лишь то, что использовать супер-дырявые, но «красивые» способы авторизации вместо менее эффектных на вид, но за то более надежных — вот это действительно смешно.
Вы не знаете, что такое сарказм, если судить по вашему предложению. Может вы считаете, что сарказм становится сарказмом с помощью тегов или смайлика?
Биометрическое можно использовать разве что на локалхосте, где есть гарантия, что данные от сканера отпечатков пальцев не подделаны, для веб-сервисов нужно что-нибудь криптографическое.
Такое, кстати, можно реализовать уже сейчас и без каких-либо проблем: публичный ключ сообщается сайту через какой-нибудь левый сервер вроде гугла, а приватный хранится на флешке. При авторизации подключается флешка, сайт отправляет кодированное случайное сообщение, программа его расшифровывает при помощи ключа с флешки, вычисляет его хеш и отправляет обратно.
Такое, кстати, можно реализовать уже сейчас и без каких-либо проблем: публичный ключ сообщается сайту через какой-нибудь левый сервер вроде гугла, а приватный хранится на флешке. При авторизации подключается флешка, сайт отправляет кодированное случайное сообщение, программа его расшифровывает при помощи ключа с флешки, вычисляет его хеш и отправляет обратно.
Всё хорошо если бы пальцы были неограниченны.
То есть допустим в google авторизация на пальцах, кто-то случайно сливает все пальцы пользователей и можно спокойно запустить брутфорс по базе на ещё кучу популярных сайтов.
То есть допустим в google авторизация на пальцах, кто-то случайно сливает все пальцы пользователей и можно спокойно запустить брутфорс по базе на ещё кучу популярных сайтов.
Вы серьезно предлагаете возложить авторизацию на нечто, копию чего каждый человек оставляет в несчетном количестве мест каждый день? Использование отпечатков пальцев — это подарок злоумышленникам.
Хотите влезть в почту вашего соседа? Вам нужно всего лишь протереть ручку его двери перед его возвращением с работы, а потом, вооружившись порошком графита (простой карандаш и минута работы ножом), кисточкой и куском прозрачной липкой ленты вы еще меньше чем за минуту получите его отпечатки, пригодные для последующего изготовления копий.
Технологию получения копий «в материале», достаточных для обмана простых биометрических датчиков, описывать не стану — об этом можно почитать в различных докладах по стойкости считывателей отпечатков.
Хотите влезть в почту вашего соседа? Вам нужно всего лишь протереть ручку его двери перед его возвращением с работы, а потом, вооружившись порошком графита (простой карандаш и минута работы ножом), кисточкой и куском прозрачной липкой ленты вы еще меньше чем за минуту получите его отпечатки, пригодные для последующего изготовления копий.
Технологию получения копий «в материале», достаточных для обмана простых биометрических датчиков, описывать не стану — об этом можно почитать в различных докладах по стойкости считывателей отпечатков.
Информация о мулежах для сканеров отпечатков пальцев устарела. Нужны кошерные сканеры и все будет нормально.
В каком смысле «устарела»? Дешевые дрянные сканеры до сих пор встраиваются в ноуты в немалом количестве. И муляжи как работали с этими типами сканеров десять лет назад, так и работают.
Безусловно, есть (и были) более совершенные сканеры, однако в массовом продукте они отсутствуют, и способ авторизации, который был описан в комментарии, на который я отвечал, был и остается в реальной практике большой дырой.
Безусловно, есть (и были) более совершенные сканеры, однако в массовом продукте они отсутствуют, и способ авторизации, который был описан в комментарии, на который я отвечал, был и остается в реальной практике большой дырой.
> идти к максимальной безопасности
Нет. Так все еще лучше
Нет. Так все еще лучше
В моем ноуте так много свободных usb…
UBS Hub, и сами устройства можно делать «сквозными», когда одно в другое подключается.
USB HUB, имхо, это усстройство которое нужно только в случае крайней необходимости, а не для повседневного использования. Иначе ноут превращается из портативного устройства в такого себе осьминога, за которым нужно таскать еще пачку проводов от зарядки, мышки, наушников, с торчащей сбоку флешкой, а в вашем случае с хабом, из которого что только не торчит.
Хаб это выход, но крайний, а не универсальный способ.
Ну и напомню любителям посморить — это мое имхо, никого не заставляю думать так же.
Хаб это выход, но крайний, а не универсальный способ.
Ну и напомню любителям посморить — это мое имхо, никого не заставляю думать так же.
Старина-пароль еще долго прослужит человеку.
Крипто-ключи — штука красивая, конечно. Но очень неудобная, во всяком случае для меня.
Представил этот ад с моими двумя ноутбуками, одним системником, связкой ключей (которая всегда в куртке и содержит 6 ключей, 2 электронных ключа-брейлока и 2 почтовых ключа. Такой металлический ежик) и фантастической способностью проебать какую-нибудь флэшку в квартире и потом 2 дня её искать.
Крипто-ключи — штука красивая, конечно. Но очень неудобная, во всяком случае для меня.
Представил этот ад с моими двумя ноутбуками, одним системником, связкой ключей (которая всегда в куртке и содержит 6 ключей, 2 электронных ключа-брейлока и 2 почтовых ключа. Такой металлический ежик) и фантастической способностью проебать какую-нибудь флэшку в квартире и потом 2 дня её искать.
Ну, если оно будет в формате кольца, то все ок, пусть хоть 10.
Поддерживаю, кольцо с RFID как-то надежнее.
если такую систему соединить скажем с 4 значным паролем и полной блокировкой через 3 неверных ввода (как пластиковые карты) то помоему интересная и удобная система, а если не в кольцо тот же самый чип в чехол телефона.
А если кто-нить не тот прочитает?
То все — смерть, хаос, разрушение и потрясение устоев :).
А если серьезно, RFID-же читается спокойно, насколько мне известно. Там вроде достаточно с ридером просто рядом пройти :)
В таком случае почему по вашей карте метро уже не ездит вся Москва? :)
Наверное потому что киевские карты метро не работают в Москве :D?
Никто в тюрьму не хочет из-за такой мелочи.
Раскрывается такая афёра на раз-два.
Раскрывается такая афёра на раз-два.
Метро-карточки ведь перезаписываемые!
В таком случае можно легко защититься от клонирования.
При выдаче новой карты назначаем ей GUID.
Например, {345C8244-43A3-4E32-A368-65F073B76F36}.
В базу данных метрополитена пишем:
({345C8244-43A3-4E32-A368-65F073B76F36}, 10 проходов).
При проходе вычёркиваем из базы этот GUID, пишем новый на карточку и в базу:
({54B7061A-D56C-40E5-B85B-58146446C782}, 9 проходов)
И пусть себе копируют ))))
В таком случае можно легко защититься от клонирования.
При выдаче новой карты назначаем ей GUID.
Например, {345C8244-43A3-4E32-A368-65F073B76F36}.
В базу данных метрополитена пишем:
({345C8244-43A3-4E32-A368-65F073B76F36}, 10 проходов).
При проходе вычёркиваем из базы этот GUID, пишем новый на карточку и в базу:
({54B7061A-D56C-40E5-B85B-58146446C782}, 9 проходов)
И пусть себе копируют ))))
Кстати, при этом требования к синхронизации данных между станциями не такие уж серьезные: в пределах станции нужно обрабатывать проходы компании людей по одной карте — это в рамках чуть ли ни одного турникета, а на другой станции эта карточка появится не раньше, чем через минуты.
оно так и есть, только синхронизация с бд не в реальном времени между аппаратом и базой. Информация о поездках есть на карте. Потому если делают клоны — они довольно быстро сдуваются как только происходит синхронизация.
Один зарезервируйте на случай брака :-|
to rule them all…
а если скажем 12? ;-)
я в принципе никакие вещи на тело немогу вешать: часы, кольца, цепочки -отвлекают.
Ха. За всю жизь единственное кольцо, которое держится у меня на пальцах — обручальное(но оно сидит так, что служит для меня эдаким индикатором отёков: когда руки хоть немного отекают — снять его становится вообще невозможно). Все остальные теряю в течение буквально пары дней. Так что кольцо — не выход.
Ключ может быть прошит в телефоне или в чипе, которую вы носите в кольце на карте. Достаточно поднести телефон к компьютеру или приблизить руку к приёмнику — и вы авторизованы в системе.
2 ситуации:
«Не хочешь подержать мой ноут? Смотри какой он легкий! Только кольцо не снимай!»
«А давай проверим что тоньше твой телефон или мой ноут?»
В макдаке прошелся по залу с кучей ноутов на столике) везде авторизовался))
Зато над неосведомленными-то как можно будет стебаться! Подходишь к человеку с ноутом, водишь над ним (ноутом) руками, приговаривая что-нибудь на латыни для пущего эффекта, а его из почты выкидывает в аккаунт некого Вельзевула :)
На самом деле давно жду такую железку, даже сам ее придумал. Ноут перед тем как запросить пароль должен сам представится асиметричным ключем и если он не знаком ключе-хранилки она или спросит хозяина ввести пин-код или просто проигнорирует. В общем вариантов много и думаю будет удобно. В общем по сути это обычный ssl.
Хм… у меня вот планшет Asus Nexus 7. В нем USB не предусмотрено вообще от слова «совсем». Карточек памяти тоже не предусмотрено.
И что, мне его придется рутить, чтобы через хитрый переходник втыкать этот девайс в мини-usb?
И что, мне его придется рутить, чтобы через хитрый переходник втыкать этот девайс в мини-usb?
И гопническое «дай мобилу позвонить» приобретает новый смысл))
Сотрудники Google приводят ещё один интересный факт — растущую популярность двухфакторной аутентификации, когда дополнительно к паролю приходит одноразовый код на телефон.
О, да. Я тоже невольно приложил к этому руку несколько дней назад. Когда просто не смог проверить почту, в обход предложения всё же использовать двухфакторную авторизацию (ну или, возможно, просто не нашёл как проверить в обход этого настойчивого предложения) :)
Хотя, с некоторыми операторами бывает непросто получить код авторизации.
Три кольца всевластия отдал он благородному ФСБ, семь — высокотехнологичному ФБР,…
Для полной поддержки новых методов авторизации нужно будет модифицировать браузер Chrome, и компания Google готова это сделать.
А для остальных браузеров они не готовы это сделать? Или я должен буду перейти на хром, чтобы пользоваться сервисами гугла?
Это как носить бумажку с паролем, имхо украсть такой usb-брелок легче, чем брутфорсить и социнженирить.
Я правильно понимаю, что пока криптоключ в компе, то сохраняется авторизация в гуглопочте?
Т.е. ключ придется постоянно дергать туда-сюда, ибо если я за компом, но мне гуглопочта не нужена в данную минуту, какая нибудь зараза, используя этот криптоконтейнер, сможет авторизироваться на почте и вообще на всех ресурсах, пароли от которых там лежат…
Так что ли? Как это контролируется?
Или производители дают 100% гарантии, что авторизация возможна только на сайте, ключ к которому там хранится?
Т.е. ключ придется постоянно дергать туда-сюда, ибо если я за компом, но мне гуглопочта не нужена в данную минуту, какая нибудь зараза, используя этот криптоконтейнер, сможет авторизироваться на почте и вообще на всех ресурсах, пароли от которых там лежат…
Так что ли? Как это контролируется?
Или производители дают 100% гарантии, что авторизация возможна только на сайте, ключ к которому там хранится?
Чего-то я не понял, хранить все пароли на одном носителе, которые периодически (для каждой авторизации) нужно пускать в потенциально-враждебную среду (хорошо, допустим на персональном компьютере с секьюрностью всё кошерно. А в публичных местах как с этим быть?).
Если уж флешки при вытаскивании «не вовремя» могут сгореть, что натворит с этим ключом целенаправленно написанная вирусня?(а она будет, не сомневаюсь)
Если уж флешки при вытаскивании «не вовремя» могут сгореть, что натворит с этим ключом целенаправленно написанная вирусня?(а она будет, не сомневаюсь)
прочитал технические детали и остался разочарован тем, что Yubikey не подписывает сообщение авторизации, а отправляет зашифрованный (статическим для девайса AES-ключом) приватный 48-битный ключ. Любой сервис, на котором авторизуемся, знает приватный ключ, т.е. для каждого сайта нужен отдельный Yubikey. При угоне базы ключей у сервиса, даже если сервис хранит только хеши, малая длина ключа позволяет найти ключи по хешам.
Флешка не может сгореть при любом вытаскивании, просто если на флешке есть файловая система без журналирования (например FAT), то вытащив в момент записи, потеряете файлы.
В принципе, если сам этот донгл будет защищен паролем, и, как предложено ранее, имел бы форму кольца, я бы пользовался. Это напоминает мне автомобили, которые не едут без «донгла», встроенного в брелок.
А вместо пароля прямо на этом устройстве сделать сканер отпечатков пальцев, работает только когда вставляется в компьютер рукой владельца. Если забыл вытащить, то через некоторое время для использования требуется снова прикоснуться к своему криптоключу. А чтобы при работе с несколькими компьютерами не вытаскивать постоянно, можно использовать несколько таких ключей.
Как вы умудрились в одном абзаце сказать и «нужно будет модифицировать браузер Chrome», и «не нужно устанавливать никакого дополнительного программного обеспечения»? А «браузер Chrome» по-вашему что?
Вообще, конечно, супер аргументация: мы сделали двухфакторную авторизацию очень надоедливой и всучиваем её пользователям под любым предлогом — о, смотрите! пользователи выбирают её! — это значит они больше не доверяют паролям!
А может это значит надоедливое всучивание всякой ерунды пользователям работает?
Маркетологи как всегда в своём репертуаре…
Вообще, конечно, супер аргументация: мы сделали двухфакторную авторизацию очень надоедливой и всучиваем её пользователям под любым предлогом — о, смотрите! пользователи выбирают её! — это значит они больше не доверяют паролям!
А может это значит надоедливое всучивание всякой ерунды пользователям работает?
Маркетологи как всегда в своём репертуаре…
Ключ не требует установки дополнительного ПО. Удобная работа с сайтами чтобы позволять авторизировать — может потребоваться в зависимости от того как оно будет реализовано.
да не, это продвижение в массы модной ныне во властной системе многих стран идеи о безусловной личностной аутентификации каждого пользователя сети. Привет интернет-пачпорт :)
Вместо использования каких-либо определенных карт, лучше бы довели до ума web crypto api — всем было бы хорошо.
И под кожу его вшить, чтобы не потерять
Мне больше нравится тема с RFID чипами, теми что в ладошку вживляют.
Вот после прочтения статьи, как-то всё равно первая мысль — найдут же быстро способ взломать, скопировать, подделать… Нужно что-то кардинально новое!
Вот после прочтения статьи, как-то всё равно первая мысль — найдут же быстро способ взломать, скопировать, подделать… Нужно что-то кардинально новое!
*RFID
А все уже придумали.
Комплексная биометрия (форма черепа, сетчатка глаза, структура вен на ладони, отпечатки, и т.д.) + возможно анализ голоса и некий одноразовый код. Ну и тут еще некоторые товарищи извращаются на предмет всяких штук, вроде «прочитай вслух вот этот текст, а наш софт проанализирует специфику чтения и скажет ты это или нет».
Только вот это все будет стоить как самолет, занимать много места и требовать много времени и телодвижений.
Поэтому и извращаются все на предмет поиска процедуры, чтобы и просто и быстро было, и достаточно безопасно.
Комплексная биометрия (форма черепа, сетчатка глаза, структура вен на ладони, отпечатки, и т.д.) + возможно анализ голоса и некий одноразовый код. Ну и тут еще некоторые товарищи извращаются на предмет всяких штук, вроде «прочитай вслух вот этот текст, а наш софт проанализирует специфику чтения и скажет ты это или нет».
Только вот это все будет стоить как самолет, занимать много места и требовать много времени и телодвижений.
Поэтому и извращаются все на предмет поиска процедуры, чтобы и просто и быстро было, и достаточно безопасно.
Взломать криптоключ? А как насчёт взлома RFID?
RFID еще легче ломаются
Google объявил войну анонимности.
Да можно даже и без RFID, с обычным bluetooth, но с аппаратным включением криптомодуля только на время авторизации. Чтобы не могли считать какими-нибудь сканерами в том же метро.
Нужна авторизация – сдвинул ползунок на телефоне, специальное приложение получило запрос сервера, расшифровало, передало по синезубу ответ – готово.
А сами криптомодули можно отдельно делать, как симкарты, на случай поломки телефона. И анонимность остаётся, и защита обеспечивается.
Нужна авторизация – сдвинул ползунок на телефоне, специальное приложение получило запрос сервера, расшифровало, передало по синезубу ответ – готово.
А сами криптомодули можно отдельно делать, как симкарты, на случай поломки телефона. И анонимность остаётся, и защита обеспечивается.
мне в этом плане больше нравится реализация входа на privat24.ua – qr-код, приложением их же считал – все, авторизован. Никаких паролей и логинов, зашел один раз на телефоне и ходишь с ним
Т. е. приём запроса с сервера делают через QR-код, крипто-ключ зашит в приложении, а отправка ответа идёт напрямую с телефона?
Да, так даже лучше – меньше требования к железу компьютера, с которого нужен вход – мониторы-то, в отличие от bluetooth, везде есть.
Единственное, у телефона должна быть камера и доступ к интернету (хотя, в общем-то, ответ банку можно и по SMS передать), но на современных аппаратах это не проблема.
Да, так даже лучше – меньше требования к железу компьютера, с которого нужен вход – мониторы-то, в отличие от bluetooth, везде есть.
Единственное, у телефона должна быть камера и доступ к интернету (хотя, в общем-то, ответ банку можно и по SMS передать), но на современных аппаратах это не проблема.
Нужна авторизация – сдвинул ползунок на телефоне
Не, ползунок не устраивает настоящих параноиков.
Мало ли что там может наавторизовываться, пока он в положении «вкл.»
Лучше — кнопка. В статус-баре смартфона будет очередь запросов на авторизацию. Пользователь может или отклонить запрос сделав по нему зачёркивающий жест, или, нажав аппаратную кнопку, удовлетворить один запрос, первый в очереди.
Крипто-модуль по нажатию кнопки срабатывает только один раз.
Можно не усложнять очередью, всё равно не поймёшь, кто авторизоваться пытается. Лучше сделать, чтобы для входа требовалась ровно одна авторизация, и если запросили больше – это уже подозрительно.
Соответственно, один сдвиг – одна авторизация. И кнопка всё же может случайно нажаться, ползунок понадёжнее.
Соответственно, один сдвиг – одна авторизация. И кнопка всё же может случайно нажаться, ползунок понадёжнее.
Ну да, и чтобы прочитать почту на работе / в интернет-кафе / в гостях с хозяйского компа, мне потребуется устанавливать там последнюю версию хрома, и умолять админа разблокировать USB. Зашибись.
На самом деле, такие девайсены оставляют огромное пространство для «исследований».
Обычные пароли утекают отнюдь не из-за того что их кто то подглядел, руткиты реалия современного мира, так что при необходимости может иметь место и проброс токена\кардридера, просто фишинг на уровне руткиа проще и удобней.
Обычные пароли утекают отнюдь не из-за того что их кто то подглядел, руткиты реалия современного мира, так что при необходимости может иметь место и проброс токена\кардридера, просто фишинг на уровне руткиа проще и удобней.
Да, в том-то и плюс, что приходит ответ от системы, никак не зависящей от компьютера, и даже проброс токена, в отличие от угона пароля, даст доступ к аккаунту лишь до тех пор, пока токен вставлен в USB.
А если используется система, никак физически не подключенная к компьютеру (которую NightWriter упомянул, например, если я его верно понял), то и задействовать руткит будет затруднительно – для подтверждения каждый раз потребуется физическое действие пользователя (считывание QR-кода).
А если используется система, никак физически не подключенная к компьютеру (которую NightWriter упомянул, например, если я его верно понял), то и задействовать руткит будет затруднительно – для подтверждения каждый раз потребуется физическое действие пользователя (считывание QR-кода).
Если возможно удаленное считывание — в общественном транспорте появится новый вид карманников
С такими методами значительно упрощается доступ к почте при задержании. Приняли, ключ изъяли, и вперёд. Пальцы и сетчатка тоже не вариант.
Позавчера еще размышлял на эту тему и тут на тебе. Конечно, это удобно. Можно зайти на сервис и одним кликом зарегистрироваться. Однако вопрос в защите этой самой регистрации. А если уведут базу сервиса? А если сам сервис окажется не сильно порядочным? Как будет производиться защита при регистрации, ведь я все равно отдаю ключ на сторонний сервер и мало ли.
Авторизация моей мечты:
браслет или кольцо
без проводов, по принципу RFID или по USB
считывает идеомоторные сигналы, просачивающиеся в мышцы при мысленном произнесении запрошенной компьютером фразы или просто при наборе этой фразы на клавиатуре.
В теории надежность должна быть не хуже чем почерк или голос.
Украсть ваш мозг или хотя бы просто способ мыслить представляется затруднительным.
Заставить продумать нужную фразу без вставки произвольных матюков тоже надо постараться еще придумать как.
Под пытками сигнал будет искажен так, что это должен смочь определить компьютер и вызвать тревогу.
Под сывороткой правды или алкоголем тоже должны быть заметные изменения в сигнале.
Сигнал внутрь кольца подать снаружи довольно сложно вроде, ведь он регистрирует токи именно внутри себя по нервам внутри руки.
браслет или кольцо
без проводов, по принципу RFID или по USB
считывает идеомоторные сигналы, просачивающиеся в мышцы при мысленном произнесении запрошенной компьютером фразы или просто при наборе этой фразы на клавиатуре.
В теории надежность должна быть не хуже чем почерк или голос.
Украсть ваш мозг или хотя бы просто способ мыслить представляется затруднительным.
Заставить продумать нужную фразу без вставки произвольных матюков тоже надо постараться еще придумать как.
Под пытками сигнал будет искажен так, что это должен смочь определить компьютер и вызвать тревогу.
Под сывороткой правды или алкоголем тоже должны быть заметные изменения в сигнале.
Сигнал внутрь кольца подать снаружи довольно сложно вроде, ведь он регистрирует токи именно внутри себя по нервам внутри руки.
Т.е. в экстренной и стрессовой ситуации залогиниться и исправить что-то у меня не получится? Новопассит в комплекте выдается?
С точки зрения криптографии, безопасность — нулевая.
Если набор фраз будет конечен, троян на машине пользователя сможет записать перед отправкой на сайт все зафиксированные реакции на каждую фразу из набора.
Если фраза каждый раз выбирается случайно, на сайте должна быть какая-то модель пользователя, которая предскажет реакцию на фразу. Хакер, собирая статистику, построит у себя такую же модель и при логине со своей машины в ответ на новую фразу передаст сигналы, которые должны возникнуть от этой фразы (не совпадающие конечно с настоящими, но достаточные, чтобы обмануть модель юзера на сайте).
Если набор фраз будет конечен, троян на машине пользователя сможет записать перед отправкой на сайт все зафиксированные реакции на каждую фразу из набора.
Если фраза каждый раз выбирается случайно, на сайте должна быть какая-то модель пользователя, которая предскажет реакцию на фразу. Хакер, собирая статистику, построит у себя такую же модель и при логине со своей машины в ответ на новую фразу передаст сигналы, которые должны возникнуть от этой фразы (не совпадающие конечно с настоящими, но достаточные, чтобы обмануть модель юзера на сайте).
Может я утрирую… но в чем проблема проэмулировать данное устройство, как те же HASP ключи? Понятно что для этого понадобится писать достаточно кода, но если технология будет развитая, то всегда найдутся люди которые это обойдут.
Например, как проэмулировать уникальный ответ (как вариант, с текущими временем и датой), зашифрованный крипто-картой?
Шифрующий ключ находится на крипто-карте, дешифрующий — на авторизующем сервере.
Ни тот, ни другой ни на компьютер, ни на промежуточные сайты не попадают.
Практически, просто получается защищённый канал между крипто-картой и сервером авторизации.
Шифрующий ключ находится на крипто-карте, дешифрующий — на авторизующем сервере.
Ни тот, ни другой ни на компьютер, ни на промежуточные сайты не попадают.
Практически, просто получается защищённый канал между крипто-картой и сервером авторизации.
Хотел бы указать на моя идею суперпароля — habrahabr.ru/post/161883/
Минимальные изменения, ничего экстраординального и довольно неплохая защита, имхо конечно.
Минимальные изменения, ничего экстраординального и довольно неплохая защита, имхо конечно.
Чего минусуете-то?
Многоуровневый доступ (админ / юзер) давно применяется, но вот с почтой его ещё не использовали, если не ошибаюсь.
А вполне могли бы.
Например, нужно дать кому-то прочитать только определённые письма, создаёшь временный пароль только на чтение этих писем – можно убедиться, что они в Вашем ящике есть, но полного доступа к почте не будет.
Многоуровневый доступ (админ / юзер) давно применяется, но вот с почтой его ещё не использовали, если не ошибаюсь.
А вполне могли бы.
Например, нужно дать кому-то прочитать только определённые письма, создаёшь временный пароль только на чтение этих писем – можно убедиться, что они в Вашем ящике есть, но полного доступа к почте не будет.
А есть источник на сайте гугла? Я полазил в ваших примерах, там тоже на других ссылаются. Как-то в эту глупость слабо верится.
Удобней через телефон.
Т.е. с нескольких мест залогиниться нереально одновременно?
«Дорогая, зайди на мою почту и скачай...» — не получится
Да и просто нести ключ из одной комнаты в другую, чтобы залогиниться на ноуте и на стационарнике — головная боль.
Так что сработает, как дополнительный (опциональный), но не как единственный метод аутентификации…
«Дорогая, зайди на мою почту и скачай...» — не получится
Да и просто нести ключ из одной комнаты в другую, чтобы залогиниться на ноуте и на стационарнике — головная боль.
Так что сработает, как дополнительный (опциональный), но не как единственный метод аутентификации…
oauth
У yabico очень странное решение, не нашел упоминаний про PKCS ♯11, но даже RADIUS у них свой.
И что же будет с Last Pass и им подобными?
Linux поддерживает?
По моему пора взяться за пропаганду паранойи среди рядовых пользователей.
А то, с такими маркетологами, скоро новый почтовый ящик можно будет завести вживив очередной чип под кожу.
А то, с такими маркетологами, скоро новый почтовый ящик можно будет завести вживив очередной чип под кожу.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Google объявил войну паролям