Комментарии 31
Теперь платформа высылает код для подтверждения операции только если на телефоне не идет звонок.
И как оно может это определить (если никаких приложений не стоит и код в обычной SMS)?
Входящий звонок, из муторных вариантов.
Из простых, оператор отправляющий смс должен сам проверить это, перед отправкой.
Ну отменят SMS, делов то. Ставь приложение!
SMS, действительно, ущербный способ аутентификации:
передаётся в практически в открытую
всплывает, чаще всего, поверх всех окон
перевыпускается по фейковой доверенности
TOTP в этом плане гораздо надёжнее, надо лишь обучить людей им пользоваться.
Вопрос как правильнее хранить секретный код от этого TOTP (вариант "в приложении на девайсе" не рассматривается).
с таким условием - очевидно распечатать qr
Да можно и сам код, qr нужен чтобы в приложения закидывать. Но чем это лучше обычного пароля, записанного на бумажке?
Вопрос как правильнее хранить секретный код от этого TOTP (вариант "в приложении на девайсе" не рассматривается).
Задача решения не имеет. Потому что даже если решим вопрос хранения - вычислять код без девайса ну так себе предложение. И будет момент, когда этот код в этот девайс(где кода нет) надо как-то ввести. Что есть точка утечки.
Одноразовый код легко считается чем то таким, с этим проблем нет. Константный секретный код в принципе можно и запомнить, но не у всех такая память.
с этим проблем нет
А 'такое' работает не на девайсе что ли? Ну не на том, что в руке, так на другом. Ну и каждый раз seed вводить - ну так себе предложение.
Кроме того, оно по сути не отличается от хранения криптоконтейнера в устройстве и набором пароля от этого контейнера.
Под кодом в предыдущих сообщениях я как раз seed имел в виду. Не обязательно хранить его там же, где запускать вычислялку одноразового кода.
А можно чтобы у способов аутентификации всегда было два параметра
1) неотъемлемость. Чтобы он не мог разрядистя, сломаться, быть украденным
2) сменяемость. Чтобы я мог изменить скомпрометированный ключ.
не мог сломаться, быть украденным
...
сменяемость.
Поздравляю. Это желание (причем достаточно хитрого - чтобы деактивировался при попытке вытащить) чипа в тушку. Или еще какой фигни, но тоже в тушку. Биометрия, очевидно, не подходит под сменяемость.
А то что человек просто помнит - не подходит по критерию 'не мог сломаться'. Человеческая память вещь не очень надежная и кроме того, то, что оттуда вытащено - может быть записано и воспроизведено.
Остаются, правда, разные штуки вроде подписи которая смесь всего этого - но там тоже с 'нельзя украсть' так себе.
А то что человек просто помнит - не подходит по критерию 'не мог сломаться'.
Значит мы потеряли название сайта. Что там было? Странсервис? ГосСлужба? Не помню...
Не надо приувеличивать, ясно, что память - самая надёжная вещь, которая у человека есть. Да, ты можешь что-то забыть, но сломать ТОТР или потерять доступ к телефону гораздо проще.
"записано и воспроизведено" - это как раз фича. Возможно сделать бэкап.
Возможно сделать бэкап.
В требованиях было 'неотъемлемость'. Бакап противоречит. И запись - тоже. Потому что 'неотделимость' в этом контексте означает, что никто другой воспользоваться средством не может, что для чего-то записанного неверно.
А про надежность памяти - ну не надо. Если бы оно было хоть сколько то надежно - всех этих многочисленных кнопочек 'я забыл пароль' не существовало бы.
Точнее, она надежна с точки зрения 'не могут украсть' (да и то после извлечения извлечения из памяти - это уже под вопросом), но вот с точки зрения 'не может сломаться' - ну очень оптимистично так считать.
нет, неотъемлемость в первую очерезд значит, что никто не сможет лишить тебя этой возможности.
нет, неотъемлемость в первую очерезд значит, что никто не сможет лишить тебя этой возможности.
Т.е. требование - никто не может меня лишить доступа ("угнать учетку"), при этом кто-то другой может этим же авторизации воспользоваться, но я(и только я) могу его этого доступа лишить, сменив какую-то ключевую информацию.
Просто пароль, но который может быть сменен только по предъявлению паспорта и прочей биометрии(помним, что фотография в паспорте - тоже биометрия) в МФЦ - пойдет?
Ограничение 'только' - cущественно. Мы же не хотим, чтобы злодей пароль менял, залогинившись в учетку, отрезая доступ законного пользователя.
опять подменяете понятия.
нет, никакой УЦ, типа паспорта или МФЦ, не решает проблем. Потому, что они не работают в праздники или из-за рубежа.
Мы прежде всего не хотим, чтобы третье лицо имело возможность заблокировать авторизацию украв телефон/ТОТР и вынудив вас запускать процедуру восстановления. Угрозы от майора/ОПСОСа гораздо актуальнее угроз абстрактного "злодея"
Мы прежде всего не хотим, чтобы третье лицо имело возможность заблокировать авторизацию украв телефон/ТОТР и вынудив вас запускать процедуру восстановления.
Ну вот в том, что я предложил - от этого и защищает.
Украсть телефон/коды/пароли - можно. Залогинится после этого - можно(и злодею и владельцу). А лишить друг друга доступа они не могут, потому что просто так сменить пароль - нельзя. Для этого надо лично в МФЦ являться и демонстрировать (Возможно, аппаратуре а не оператору. Причем, возможно, не слишком простой аппаратуре, а не просто лицо/пальцы показать), что ты именно тот гражданин, что имеется в виду.
В статье, кстати
что на портале скоро появится новая функция. Пользователь сможет выбрать доверенное лицо. Оно будет подтверждать смену пароля.
Это вариант того же самого, только личность подтверждает не в МФЦ, а кто-то, кому ты доверяешь. Непонятно, правда, как будут защищать от того, что злодей назначит этого 'кого-то', а не владелец учетки.
Не придумывайте. Украсть пароли сложнее, чем изъять "при задержании" или при прохождении границы ТОТР или телефон.
Нет никого, кому я бы доверял. Ну, точнее скажем так: нет никого, кого по решению "справедливого суда" не могут заставить слить мои учётки или затрудниь мне авторизацию. Не должно быть юридических лиц между вами и сервисом. Я даже идею HTTPS за это очень не люблю: правительство теоритически может отозвать сертификат или даже заблокировать работу УЦ. Реально лишнее звено.
Мы живём в эпоху, когда главный источник угроз не "злоумышленники", а санкции, правительства и политика.
Мы живём в эпоху, когда главный источник угроз не "злоумышленники", а санкции, правительства и политика.
Мы как бы о государственном сервисе речь ведем. Если исходить из этой угрозы - то государству легче тупо заблокировать учетку без всяких средств авторизации. Вон как банковские счета блокируют.
Государство - не вся политика.
Сколько людей имеют огромные проблемы с доступом к госуслугам из-за того, что у них протухла российская СИМ карта. Если бы в госуслугах была возможность отключить двухфакторку, эти люди могли бы ими пользоваться хоть как то. А так у них нет доступа в МФЦ и нет русской симки, а ублюдошные госуслуги не принимают международных номеров, чтобы сменить. Тут бы ТОТР помог, но, опять же, это лишний артефат, за которым надо следить. Телефоны сейчас меняются раз в год-два, и перенос приложения с активацией это нетривиальная задача.
Обычным звонком на номер и получение статуса (занято) - самый дубовый вариант.
Но в данном случае скорее всего операторов обяжут предоставить API и/или USSD для проверки статусу (а потом эти USSD утекут и будут пользоваться все).
Проверил - не работает эта штука, SMS благополучно приходит прямо во время звонка. Мегафон.
С июня 2025 года изменились правила смены пароля на «Госуслугах»