Двойная идентификация на защите сервисов Google



    Сегодня Google анонсировала скорый запуск новой защитной функции для своих пользователей. Сперва систему двойной идентификации смогут опробовать пользователи Google Apps Premier, образовательные учреждения и государственные аккаунты. Затем функция станет доступной и для всех желающих в течение нескольких месяцев.

    Стоит пояснить, чем, собственно, является система двойной идентификации? Большинство имеющихся систем авторизации, которые вы используете повседневно, являются "однофакторными", то есть ввели пароль — вы в системе. Но если пароль скомпрометирован, то вам остается только пожинать результаты действий злоумышленников. Более защищенные системы широко используются в бизнес сфере. Для доступа к чему-либо потребуется не только пароль, но и физический носитель — обычно карточка или электронный ключ. Это и называется системой двойной идентификации. Теперь для потенциального вредителя знание пароля будет недостаточным, ведь ему также потребуется и физическое наличие карты. К сожалению, такие виды дополнительной защиты довольно дорогие. Google же собирается развить идею и предложить людям дополнительную защиту.

    Физическим ключом доступа станет ваш мобильный телефон. Для этого потребуется активировать специальную опцию на странице настроек. После чего, каждый раз, когда вы будете заходить на свой Google аккаунт под своим логином и паролем, вас будет перенаправлять на специальную страничку с требованием ввести код верификации (на скриншоте вверху).

    Код верификации будет приходить вам на привязанный к сервису мобильный каждый раз, когда вы попытаетесь осуществить вход. На этот случай Google подготовил специальное приложение для системы Android, телефонов iPhone и Blackberry — получив специальный шестизначный код и введя его в браузере, вы сможете завершить процесс авторизации. На выбор система может так же прислать СМС с кодом, либо предоставить код в виде голосового сообщения.



    Весь процесс займет не больше минуты, но такая система защиты значительно затруднит доступ к вашей информации для злоумышленников. Настройке поддаются и специальные условия, в которых надо или не надо включать данную систему. Например, можно включить систему двойной идентификации только для вашего домашнего компьютера и/или рабочего компьютера.

    К слову сказать, такая система уже действует в российских реалиях и уже довольно давно. У Альфа банка имеется похожая схема для управления своим счетом через интернет-банкинг.
    OsByGoogle.ru
    0,00
    Компания
    Поделиться публикацией
    AdBlock похитил этот баннер, но баннеры не зубы — отрастут

    Подробнее
    Реклама

    Комментарии 103

      –1
      Безопасность не бывает лишней.
      • НЛО прилетело и опубликовало эту надпись здесь
          0
          Пропотерял телефон — забудь и о почтовом аккаунте и всех завязанных на него сервисах?
            0
            Можно восстановить сим карту.
              +1
              Недостаточно информации, но скорее всего, этого будет недостаточно. Раз речь идет о специальном приложении, то, подозреваю, будет использоваться какая-то криптография, с ключом, зашитым в самом приложении. Вероятно, подобно тому, как это сделано в системе enum.

              В таком случае, процесс восстановления аккаунта будет сильно зависить от благорасположенности самого гугля и особенности реализации системы.
              0
              Можно заблокировать SIM звонком в абонентскую службу с любого другого номера, а потом восстановить её в любом офисе Вашего оператора за несколько минут.
                +1
                Если ближайший офис далеко, за тремя границами, например…
                  +1
                  С припейд-пакетами все далеко не так радужно.
                    0
                    Погуглил — тоже можно, но небесплатно.
                      0
                      обратная сторона их анонимной продажи (Украина?)
                      если симки покупать по паспорту, восстанавливаеть их легко. хоть какая-то радость :)
                        +2
                        на сколько я слышал можео восстановить симку назвав несколько последних номеров, по которым были совершены звонки…
                          0
                          Так и есть. Восстанавливали потерянные-поврежденные симки без привязки к паспорту. Необходимо обратиться в центральный офис оператора, написать заявление и указать последние несколько номеров куда-откуда звонили, может быть смс еще.

                          Восстанавливают без проблем.
                    +3
                    С каждым днем привязка сервисов к телефонам встречается все чаще, по этому к нему надо относится по внимательнее. Как например к паспорту. К тому же для телефонов есть специальные блокирующие приложения.

                    В android например можно сделать так, что каждый раз при включении экрана надо провести по экрану в определенной последовательности.
                    • НЛО прилетело и опубликовало эту надпись здесь
                        0
                        Грамотный пиар и вот, в глазах потребителя, вы уже Корпорация Добра, а ваши конкуренты — злобные низкорослые карлики.
                          0
                          Меняется поколение. Сейчас люди уже вырастают на новых технологиях, а 10 лет назад для людей это было что-то из ряда фантастики :)
                        • НЛО прилетело и опубликовало эту надпись здесь
                    +13
                    Google растет у меня в глазах, особенно если это будет бесплатно!
                      –16
                      Гуглу там на Олимпе кажется, что весь мир уже опутан бесплатным или дешевым мобильным интернетом?
                      Как я понял из заметки, мне потребуется каждый раз заходить в инет с мобилы и вводить код, чтобы почитать почту…

                      А что, если разрядилась мобила? ;-)
                        0
                        Нет, на мобилу будет приходить смс с кодом… а вот что делать, если разрядилась, утеряна и т. п. — вопрос открытый
                          +1
                          Вас будто кто-то заставляет это все делать, думаю такая авторизация будет по желанию :)

                          Да и с нынешними ценами на мобильный интернет, не думаю что по карману сильно ударит загрузка 1 картинки (или обычного текста, цифр).

                          И читаем внимательнее статью:
                          «Настройке поддаются и специальные условия, в которых надо или не надо включать данную систему. Например, можно включить систему двойной идентификации только для вашего домашнего компьютера и/или рабочего компьютера.»
                            +1
                            Логичней было бы, наверное, возможность отключить систему двойной авторизации на домашнем компьютере, но что нужно было вводить дополнительный код на всех других компьютерах.
                            • НЛО прилетело и опубликовало эту надпись здесь
                                0
                                Уже есть, у гугла сейчас в системе восстановления пароля можно использовать номер своего мобильного.
                          0
                          Идея совсем не нова, к примеру Blizzard давно уже рекомендует Battle.net Authenticator и его разновидность для мобильных устройств Mobile Authenticator.

                          Я бы возпользовался внедряемой возможностью и за отдельную разумную плату, чтобы спалось спокойнее.
                            0
                            подобные электронные генераторы паролей\брелоки довольно давно внедрены в некоторых компаниях. по крайней мере по киеву могу назвать минимум три компании, в которых для доступа к рабочему компьютеру сотрудникам выданы устройства вроде Battle.net Authenticator, которые раз в 10 минут генерируют новый пароль.
                            на самом деле отлично было бы в будущем иметь такой унифицированный девайс для всех популярных сервисов в интернете.
                              0
                              [sarcasm]А так же ID-карту при рождении[/sarcasm]
                                0
                                ага, и штрих код на затылок =)
                                нет уж, к этому лично я морально не готов :)
                                  0
                                  Смотрели фильм «Иры разума»? Там помните у главного героя подобная штука с цифрами была прямо в руку вшита… удобно же :) Не потеряешь и всегда «под рукой».
                              +2
                              Устройства замечательные, но под воздействием человеческого фактора (забывчивость/лень) можно получить неплохой DoS на свой аккаунт.

                              Угу, я позавчера сделал Factory Reset на своем Desire, забыв про этот самый Authenticator (перед такими действиями его, естественно, нужно отвязать от аккаунта Battle.net). Написал (по случайности) в NA-саппорт Blizzard, откуда меня быстренько отфутболили в EU. Написал в EU, спросили кучу данных включая скан паспорта (!!!). До сих пор жду ответа.
                                0
                                Есть отличная альтернатива близзовскому authenticator — FlexAuth. Исходники программы открыты и доступны. Плюсы — возможность вручную заводить серийный номер и секьюрити токен, так что при переустановке или утере телефона никакие проблемы не грозят (если вы конечно сохранили серийный номер и секьюрити токен где-нибудь).
                                  0
                                  Близзовский саппорт, кстати, опционально запросил у меня серийный номер authenticator'a — получается то же самое, только вид сбоку :)

                                  P.S. Открытые исходники это хорошо, но я почему-то больше доверяю родному близзовскому приложению, благо, с указанными premission'ами программа можеть делать только то, что и заявлено. Когда что-то родное при этом еще и качественное — это же хорошо.
                                    0
                                    ну пермишны у них одинаковые — Full internet access. Родной конечно хорошо, но невозможность сохранить все при переустановке — очень сильно расстраивает. Ну и вес родного в два мегабайта без возможности переноса приложения на СД карту несколько расстраивал.
                              +22
                              Уже писал, но почему бы не повторить, ведь уже явно не «случайность».
                              Фича конечно хорошая, но спрошу о другом: каким образом данный топик относится к «Блог компании OsByGoogle.ru»? Ну вот неужели вы действительно другого места свой сайт в очередной раз попиарить не нашли? Для чего разбрасывать тематические материалы, явно относящиеся к строго определенному блогу, по всему Хабру? Если я буду искать новости про Google — я пойду в тематический блог, но никак не в ваш. Уж извините, но накипело (в последнее время так часто что-то делать стали — денег на баннеры не хватает, видимо, ну или статей «своих» нет).
                                –31
                                Не случайность, а вынужденная необходимость.
                                Мы вас, кстати, не заставляем читать наш блог. В «тематическом блоге» тоже есть новости, чего же вы тут забыли?
                                  +6
                                  Что за вынудило так сделать?
                                  Если завтра какой-нибудь maemos.ru зарегистрируется на хабре как компания и будет писать новости относящиеся к Intel и Nokia у себя, а после завтра Droider.ru и будет писать все новости связанные с Android у себя, то что это получится в итоге?
                                  Вам не кажется, что ваш ресурс как-бы новостной и публикует на своём домене всё что слышно о Google и это нормально, но зачем делать респост на Хабр? Каким образом вообще вы связаны с Google, если не считать публикацию новостей о той компании? Вообще абсурд какой-то.
                                    –28
                                    Товарищ, вам противопоказано читать Хабр — нервы гораздо важнее, поверьте. Интернет тоже стоить максимально оградить от себя — в нем столько несправедливости.
                                      +4
                                      Вообще-то я не спрашивал совета что мне делать, там были вопросы иной направленности.
                                        +14
                                        Вы потрясающе плохой пиарщик :)
                                          +3
                                          Мне кажется, вашему проекту следует несколько пересмотреть свое отношение ко связям с общественностью, если у него есть цель стать популярным.
                                    0
                                    Метод авторизации называется MTAN.
                                      +2
                                      интересно каким способом приложение привязывается к конкретному телефонному аппарату и нет ли тут проблемы в безопасности типа возможности посмотреть чужие коды подтверждения, подделав данные, которые используются для идентификации приложения?
                                        +1
                                        Аналогичная система использовалась (как сейчас — не знаю) при активации карт на PayPal, кроме того [url=https://www.liqpay.com/?do=index_new]LiqPay[/url] вообще обходится без логинов и паролей, привязка идёт по номеру телефона, пароль высылается каждый раз на одну сессию.

                                        Радует, что Google начинает подтягиваться под серьёзные рамки безопасности. Видимо, упор на распространение OpenID акков Google и доверия к ним.
                                          +2
                                          Прошу прощения за ВВ-коды вместо xhtml, работаю сразу в нескольких окнах и не переключился. Извините, но думаю суть была понятна.
                                          +1
                                          vgoogle.com
                                            0
                                            Ценность мобильника стремиться к бесконечности.
                                              0
                                              скорее номера телефона
                                              0
                                              Похожая система верификации уже существует для hotmail.com/live.com: называется «Get a single use code to sign in with». Очень удобно для логинов из public terminals в гостиницах и аэропортах, где вероятность трояна/keylogger-a не так уж и мала. Только у hotmail вообще не надо вводить пароль — SMS является одноразовым паролем.
                                                +2
                                                Все давно придумано: www.e-num.ru/
                                                В вебмани только им и авторизуюсь.
                                                  0
                                                  Давно хотел спросить…
                                                  habreffect.ru/files/cf7/2a6bf4cdd/Снимок22.jpg у меня такая ошибка вылетает (авторизация смс ).
                                                  Я вроде ключи сохранял… e-num код приходит, проверяется и бац.
                                                    0
                                                    К сожалению ничем помочь не могу — с такой проблемой не сталкивался, т.к. юзаю mini-версию кипера с привязанными кошельками (огромное «спасибо» разрабам Webmoney за «поддержку» Linux)…
                                                      0
                                                      это да… в свое время прыгал на вирт. машине ( поднимал специально виртуал бокс с XP для работы в WM)…
                                                        0
                                                        У меня образ для VirtualBox с XP и кипером до сих пор на бекапном диске живет на всякий случай.
                                                    0
                                                    Это не мешает успешно красть деньги и с этим сервисом
                                                      0
                                                      Не спорю. Но как правило шанс увести денюжку из любой платежной системы обратно пропорционален объему головного мозга пользователя этой системы.
                                                        –3
                                                        На лепрочке поди прочитал, да?
                                                        +2
                                                        А я вот перешел на сертификаты, так как продавая свой старый телефон, сделал ему сброс настроек, забыв при этом про e-num… В итоге потерял доступ к кошельку на webmoney… Понимаю, что сам дурак, но все равно осадок остался…
                                                          0
                                                          А почему потеряли? Там же вроде енум легко восстанавливается на другом телефоне?
                                                        0
                                                        >Затем функция станет доступной и для всех желающих в течение нескольких месяцев.
                                                        ждём! уже хочу=)
                                                          0
                                                          А продумали они, что делать, если контроль над мобильником/номером утрачен? Вообще в акк не зайти будет?

                                                          P.S. Если они будут использовать ту же систему рассылки СМС, что используют сейчас для активации некоторых своих продуктов, то пользователи СкайЛинк (а, возможно, и других CDMA сетей) в пролёте :( — сейчас смски не доходят
                                                            +2
                                                            Контроль — это в десятку.
                                                            Однажды поехав в путешествие забыл отключить у Альфа-банка MTAN. Я, конечно, понимаю что забыл я, и все проблемы мои, но в результате имею:
                                                            — Денег на карточке нет, нужно сделать перевод, а кушать хочется.
                                                            — Войти в систему не могу из-за доп. пароля
                                                            — Роуминг включить не могу, нужно мое тело и паспорт
                                                            — Сменить привязанный номер не могу по той же причине
                                                            — Переадресации смс нет (!)

                                                            Благо когда кушать хочется голова быстрее работает, поэтому проблема решилась.
                                                            Просто нужно не забывать про требования к использованию.
                                                            А наличие такой системы лучше, чем её отсутствие.
                                                              0
                                                              Что-то вроде этого и имел в виду, попался так e-num/

                                                              Наличие, конечно, лучше, но я буду использовать только после того, как убежусь, что существует способ в форс-мажорных (читай — без доступа к мобильнику) обстоятельствах систему обойти/выключить.
                                                                0
                                                                Как решилась?
                                                              –9
                                                                +7
                                                                гг)) под радостные и восхищенные крики гугл теперь будет владеть еще и базой мобильных неплохой :)
                                                                  +1
                                                                  У него она и так уже есть, после введения фишки с восстановлением пароля.
                                                                    0
                                                                    моим владеет уже довольно давно, как минимум как gae активировал — спама от гугла не наблюдал:0 в отличии от своего оператора :(
                                                                      +3
                                                                      wifi просканировали, а мобильники пользователи сами сольют
                                                                        +1
                                                                        и что?
                                                                          0
                                                                          ничего, просто гугл теперь ближе и роднее
                                                                      0
                                                                      Так работает LiqPay. Только без первого пароля.
                                                                        +1
                                                                        По скринам похоже на E-num
                                                                          0
                                                                          Наконец-то!
                                                                            0
                                                                            По такой схеме авторизации работает приват-банк. Фич у этого банка много, но и отзывы у этого банка разные
                                                                              +4
                                                                              Чему все так радуются? Тому, что гугл теперь захотел завладеть телефонами своих юзеров?
                                                                              Какая к чёрту безопасность? Это только прикрытие.
                                                                              Я, например, пользуюсь своим аккаунтом на гугле с 2004 года и за все эти 6 лет у меня ни разу никто не украл мой пароль. Что я делаю не так?
                                                                              Так что лично для меня эта «фича» не нужна, а свой телефон гуглу говорить не хочу.
                                                                                +1
                                                                                боитесь, что позвонят и спросят «А не вы ли в ночь на такое-то искали порно в интернете»?.. ;)

                                                                                и да, если что, это был сарказм :)
                                                                                  +4
                                                                                  несомненно вы полностью анонимизировали себя от гугла с перепиской за 6 лет-то!

                                                                                  а про «никто не украл пароль»: никогда не говори никогда…
                                                                                    0
                                                                                    Не украли за 6 лет, этого вполне достаточно, чтобы понять, что мне эта функция не нужна. Пусть даже завтра пароль подберут или урадут, то всё равно следующие 6 лет можно будет спать спокойно :)
                                                                                    1 взлом за 6 лет (или, скажем, 10 лет, или 20!) — вполне неплохо
                                                                                      0
                                                                                      Вобщем, я поддерживаю автора выше, что мне так же эта функция не нужна.
                                                                                        +3
                                                                                        >1 взлом за 6 лет (или, скажем, 10 лет, или 20!) — вполне неплохо

                                                                                        Ну не совсем такая логика. Взлом каждый день — вот это действительно фигня. Значит к аккаунту еще не привязано ничего ценного. А если аккаунту 20 лет и его сломали…
                                                                                          0
                                                                                          Бывает так, что взлома одного ящика достаточно, чтобы помнить об этом и 10 и 20 лет.
                                                                                      0
                                                                                      эта штука давно прикручена к регистрации на гугл адсенс, теперь, видимо, и для обычных юзеров сделали возможным.

                                                                                      На мой взгляд, фича для параноиков, не могу представить, что каждый раз логинясь буду вводить пароль, потом запрашивать смс, вводить код из смс, чересчур.
                                                                                        0
                                                                                        Уже давно в календаре можно оставить свой телефон и будет приходить смс с расписанием
                                                                                        0
                                                                                        Попробовал, но обнаружил, что sms не отправляется российским пользователям :(
                                                                                          0
                                                                                          мне приходило. мтс
                                                                                            0
                                                                                            Не СкайЛинк случайно? Гугл с ним давно не дружит, афаик
                                                                                              0
                                                                                              Ситуация: версия для учебных заведений, при включении опции 2 идентификации появляется возможность выбрать метод по sms оповещению с кодом, НО выбираются всего несколько стран и России в их числе нет (подчеркиваю, что в календаре отсылается на любой номер, в т.ч. и на российский).
                                                                                            0
                                                                                            Будучи клиентом Альфа-банка, хочу сказать, что со временем вводить этот код с телефона очень задалбывает. Но надеюсь, что у Гугла, во-первых, можно будет поставить в настройках «запрашивать его для всех компьютеров, кроме домашнего» (к домашнему ни у кого больше физического доступа нет, а логинюсь чаще всего с него — в итоге вводить код надо будет редко и именно тогда, когда это важно для безопасности), во-вторых, под андроидом 2.2 с помощью push можно будет легко послать код с мобильника в буфер обмена компьютера и не вводить его вручную.
                                                                                              0
                                                                                              Физический доступ не нужен. Правда тогда и продвинутая аутентификация бессильна. пример tinyurl.com/384qvou
                                                                                                0
                                                                                                Что-то не очень понял, она вместо настоящего альфа-клика на фишинговом сайте сидела (как попала, если настоящая альфа у нее наверняка в закладках была?) или как?
                                                                                                  0
                                                                                                  Троян наверное имел место быть. А дальше вариантов масса.
                                                                                                  0
                                                                                                  Какие же люди доверчивые. :(
                                                                                                +4
                                                                                                А теперь Google собирает базу данных мобильных телефонов. Как там в той пословице: «Благими намерениями… »
                                                                                                  0
                                                                                                  Ребята, пользуясь случаем, задам вопрос.
                                                                                                  Я использую программу gmail notifier plus уже год, но совсем недавно появилась проблема — если я нажимаю в ней «go to inbox», то меня переводит не в сам инбокс, а на страницу ввода логина/пароля. При том, что если я захожу в инбокс с закладки браузера, то никакого ввода пароля не требуется, т.е. с cookies всё в порядке.
                                                                                                  Это возможно как-то исправить или гугл/фф ввели защиту от сторонних программ?
                                                                                                    0
                                                                                                    у яндекса эта схема давно работает, на деньгах. это достойный и понятный метод, когда дело касается критичных данных. скажем для меня электронный нал — это критично, и я заказал сее брелочек ЯД, а пока мучаюсь с таблицей кодов. А для почты — избыточно. Поэтому я лично, на гмыле и адсенсе эту хрень не включу)
                                                                                                      +3
                                                                                                      Что только не делают в последнее время ресурсы, что бы гарантированно идентифицировать своего пользователя. Если бы ввод паспортных данных можно было эффективно проверить (что введены не чужие данные), то нашлась бы масса удобных функций требующих и использующих для своей активации привязку к паспорту (или иному документу).
                                                                                                      В USA или Европе это давно решается через данные кредитки (там они у большинства), но мобильный телефон более удобен — он сейчас есть фактически у каждого жителя планеты (который знает про интернет). Да и порог подозрительности на указание номера телефона ниже, нежели данных кредитки.
                                                                                                        0
                                                                                                        Мне не становится плохо от того, что кто-то знает мой номер. К тому же у меня есть второй номер, который даже близкие не все знают, на всякий.
                                                                                                        Другое дело — геолокация.
                                                                                                      • НЛО прилетело и опубликовало эту надпись здесь
                                                                                                          0
                                                                                                          E-num у WebMoney поудобнее: хочешь SMS, хочешь приложение на телефоне, а можно и отпечаток пальца. Да и гораздо раньше…
                                                                                                            0
                                                                                                            Ну вот когда гугл будет каждому отсылать по USB-ключу, я буду апплодировать, а так-то что такого очень крутого они сделали? Телефон можно потерять и девичья фамилия матери вкупе с кличкой собаки не помогут? Почтовые клиенты как будут работать (у меня KMail, под виндой The Bat!)? Начинает настораживать то, что гугл владеет всё большей информацией — сама почта, поисковые запросы пользователей, с хромом еще и личная информация (я не очень верю надписям «ваша информация не будет доступна третим лицам… честно-честно»), теперь — мобильные номера…
                                                                                                              0
                                                                                                              у USB ключа могут быть проблемы с ипользованием. Отсутствие дров под какие-нибудь ОС, использование на тонких клиентах, использование во всяких интернет-кафе и т.д. Мне бы понравилось использование SecurID, так как обеспечивается регулярная смена кода, и нет привязки ни к каким операторам связи.
                                                                                                              0
                                                                                                              Если кто уже эту фичу использовать, попробуйте перевыпустить sim-карту и после этого зайти в аккаунт. Если сможете, то можно предположить нечто такое www.securitylab.ru/news/377745.php только про google.
                                                                                                                –2
                                                                                                                Чекбокс «Remember verification for this computer» не смотрится таким безопасным ;)

                                                                                                                Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                                                                                Самое читаемое