Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 99
Google Authenticator или «Яндекс Ключ»
Есть полно опнсорсных, но вы зачем-то указываете только проприетарные.
Пускай народ хоть на проприетарные пересядет и перестанет TOTP бояться. Местной публике вообще про это рассказывать смысла нет, имхо, достаточно было фразы "включите TOTP в качестве второго фактора". Но, похоже, что лекция для колхозников, поэтому пусть хоть так.
Когда в Google Authenticator внезапно поменяли формат базы, втихаря сконвертировав старую текстовую в новую зашифрованную, и у меня не заработал развёрнутый бэкап, я очень серьёзно очканул боялся. Благо нашлись бэкапы qr-кодов.
Давайте отдадим ключи не ВК, а Яндексу. Надежный план!
У меня гугловский аутентефикатор и меня очень радует синхронизация м невозможно потерять ключи.
Я может как тот русский из анекдота, но умудрился то ли сломать, то ли потерять, не помню уже. При действующей синхронизации. Переехал на MSовский, но на всякий случай все ключи в KeepassXC дублирую, ну нафиг такие приключения.
На iOS родное приложение Passwords умеет в OTP.
Странно советовать пользователям iPhone что-то другое.
https://support.apple.com/en-us/120758
https://support.apple.com/guide/iphone/automatically-fill-in-verification-codes-ipha6173c19f/ios
"Яндекс Ключ" сам себя не поставит. А еще эппловское приложение верх неудобности, я бы сказал - с точки зрения шаринга паролей так абсолютно точно. Для ОТП на госуслуги это не так важно, да - но вообще пользоваться этим приложением без боли невозможно по сравнению с другими. Это я вам как человек у которого не меньше десятка ТОТПшек и наверное штук 50 паролей честно говорю
Скорее странно, что не советуют тупо включить вход по отпечатку пальца в приложении Госуслуг и тогда никаких кодов нигде вводить не нужно, в том числе и на компьютере - можно входить по QR коду, сканирую его из приложения.
А насколько безопасно хранить в Passwords и пароль и OTP? Только из-за этого опасения пользуюсь Authy для OTP.
Пусть сначала научат Госуслуги брать код напрямую из MAX или любой другой OTP - а то пока переключаешься, чтобы посмотреть код, сессия сбрасывается. Не у всех современные телефоны. На Redmi 9a пока код из MAX смотришь - он уже устарел, снова надо в Госуслуги входить и ждать новый код. СМС он хотя бы читает и может автоматом подставить...
А ничего что гос-приложение будет брать напрямую и коммерческого приложения без четко прописанной политики развития и без гарантий, скажем, непродажи его компании из "нежружесткенной страны".
Звучит дико, но мы и не такое видим. Авито, помнится, вроде бы вообще не российский сервис был, вроде бы клал на российские законы - и ничего.
Что там с Максим будет, и как гос-во вообще для авторизации пропихивает то, что не у всех работает....
Видимо «Проблемы индейцев шерифа не волнуют»
Делов-то - проведём революцию и национализируем все коммерческие приложения и предприятия, а всех несогласных перестреляем. Такое уже было в истории.
А история - она такая: если её забыли, она повторяется и снова заставляет выучить пропущенное...
Ну, частные госфункции много где есть. В сша частные тюрьмы, в Австралии морские границы (вопросы с мигрантами), да и сбор налогов в Европе, а кое-где и визы выдают....
Но то, что договоренность госуслуги-max мутная - на первый взгляд так. Те можно сказать, что авторизация через него лучше смски, но то и то завязано на опсосов, а Макс еще и частный...
С чего Вы взяли? Авито - это ООО "КЕХ еКоммерц".
Так это и не гос приложение. Это мессенджер вк, который хз кому принадлежит и ни за что не отвечает.
TOTP автоматом устаревает через 30 секунд, кроме того, есть минимум одна программа, показывающая сразу два кода, текущий и следующий. Бояться его не надо, это безопасеость и за неё надо чем то платить. А возможность войти в приложение там где смс приходят не всегда - вообще бесценна.
И да, тупое решение, что код в MAX можно просмотреть только на смартфоне. Им что, производители телефонов платят? Хотят, чтобы у каждого жителя России Было бы по ДВА телефона?
А есть версия Android 11, которую уже можно поставить на комп?
А то я тут жалуюсь, что у меня телефон старый, а мне предлагают купить более новый и более мощный телефон, чтобы потом разграничить профили...
Любой андроид можно поставить на комп в эмуляторе. Но в случае с максом это не поможет, т.к. ему нужно чтобы симка стояла в устройстве.
Симка должна существовать, а стоять она может и в кнопке. У меня так, нет никаких проблем запустить макс на отличном устройстве от того, где стоит симка
А есть версия Android 11, которую уже можно поставить на комп?
А то я тут жалуюсь, что у меня телефон старый, а мне предлагают купить более новый и более мощный телефон, чтобы потом разграничить профили.
уже нужно не 11, в гугле указаны требования MAX - 8.0 или более поздние.
Проблема не в этом. Проблема в том, чтобы достаточно быстро переключаться между Госуслугами и MAX. Иначе не войдёшь: сессия Госуслуг истекает очень быстро.
А подставлять код из MAX автоматом приложение Госуслуг не умеет...
Ну вы написали о 11 версии и что нужно покупать новый телефон, на что ответ что уже подходят более старые телефоны с 8 версией.
А на
Проблема в том, чтобы достаточно быстро переключаться между Госуслугами и MAX. Иначе не войдёшь: сессия Госуслуг истекает очень быстро.
хочу сказать что купленный в 2021 году Samsung A32 с Android 13 и 4 гигами уже с середины 2024 года мозги выносил при вводе подтверждений из-за переключений между приложениями, только замена телефона решила проблему.
И к чему Android 11 на комп, когда комп не всегда бывает рядом с телефоном, или госуслуги могут потребоваться внезапно в пути.
А зачем два?
Почему не 8 , для ровного счета?
чтобы не переключаться:
на одном Госуслуги,
на другом MAX
Потому что если переключаться на старых смартфонах - хрен тебе по всей морде, а не Госуслуги на телефоне. По факту это диверсия.
А зачем вам госуслуги на телефоне?
Это достаточно чувствительный инструмент и его в любом случае желательно физически отдалить от второго фактора авторизации - тут согласен. Но, что "Макс" что СМС - те же яйца только в профиль: второй фактор приходящий на телефон, так что ничего не изменилось.
Стараниями наших законотворцев госуслуги превращаются из чувствительного инструмента в банальность. Соответственно защита стремительно ухудшается.
Ведь теперь куча сервисов, которые требуют доступа к ГУ, поэтому приходится туда каждый день заходить.
Например, теперь уже без логина через ГУ не посмотреть расписание/оценки/домашку у ребенка в школе (электронный дневник). И так каждый день, иногда по 2 раза. Раньше у меня пароль от ГУ лежал в keepass вместе с банковскими и пользовался я им от силы раз в месяц, а теперь пришлось сохранить в телефоне, надоедает открывать кучу приложений. Уверен, что остальные родители делают так же.
Насколько я понимаю, там чуть хитрее. Типа это даже не коды высылаются, а отрабатывает одно из задолбавших всех "мини-приложений" которое привязано к конкретно взятому устройству и которое изображает "усиленную защиту" спрашивая всякую чушь. В общем, в результате будет получен полный набор минусов:
появляется устройство которое никак нельзя терять
появляются проблемы со сменой устройства
получаются проблемы в зоне неустойчивой связи
В выигрыше государство, которому не нужно платить за СМС и ВК которые радуются заходам в свой мессенджер и количествам использований миниприложений. В проигрыше опсосы которые лишаются маленькой кормушки.
Но эта мелкая месть опсосам не перекрывает минусов. Поэтому просто переходим на TOTP и... Лишаем денег закушавшихся опсосов (которые лупят от 7 до 20 рублей за сообщение с сервисов, если мне память не изменяет) и не ставим макс не повышая KPI у менеджеров в ВК, коды можем переносить с телефона на телефон по QR и можем бэкапить. Сплошные плюсы, разве нет?
А зачем вам госуслуги на телефоне?
Вы пробовали подписать документ в Госключе, чтобы отправить его в суд? Внезапно, это можно сделать только удостоверив Госуслуги в Госключе, для чего нужно считать QR-код и открыть... Госуслуги на телефоне. Или не подписывать документ.
Так уж и быть, куплю я ваш второй телефон
Как там про пять стадий, "Отрицание, Злость, Торг, Депрессия, Принятие"
Нет. I need your geo, texts, calls and social graph!
Затем купите третий, четвертый и так далее.
Вот так оно и работает: сначала люде заставляют в одной махинации участвовать, уничтожая варианты и возможности выбора, потом заставляют участвовать в последующей, еще более наглой и преступной госмахинации.
Разберу и демонтирую камеру, микрофон и GPS-антенну.
В общем то жили раньше без гос "услуг" и сейчас переживем их отсутствие.
Ага, и почту будем слать на оленьих упряжках - а то на почте тоже обещают для получения посылок QR-коды ввести. Пусть сначала своё приложение поставят на мой Philips Xenium x623
SMS им недостаточно, видите ли... Забыли принцип KISS
(Keep It Short and Simple)
на почте тоже обещают для получения посылок QR-коды ввести
Так ввели вроде как уже давно, но SMS вроде как еще работает.
Позавчера получал посылку - пришёл на почту без телефона, но с паспортом.
Выдали со скандалом. Сказали что скоро буду выдавать только по куаркоду - даже смс отменят. На моё возмущение сказали, что сами всё понимают, но ничего сделать не могут - указивка сверху.
Байки, всегда получаю по паспорту с заполненной на сайте почты и распечатанной формой ф.22 для получения.
Я форму не распечатал - думал на почте выдадут, там и заполню. Спойлер: не выдали.
Я даже номер отправления не записал - вряд ли на моё имя много отправлений.
Сказали впредь записывать.
Не знаю, может и байки. За что купил, за то продаю. Но ругались именно на то, что пришёл только с паспортом. Хотели куар-код из приложения.
У Почты России есть услуга - за 100р (несколько лет назад) посылку домой приносят, а там уже авторизация по паспорту :).
Не знаю, как сейчас - у меня рядом ПВЗ открылся, и я на почте пару лет уже как не был. Проверьте, если кому актуально, самому интересно :)
Аналогично в последние месяцы, в разных отделениях, со скандалом приходится отправлять заказные письма по работе либо получать посылки с Алиэкспресс (заказываю в постомат, но некоторые в пути сами изменяют пункт выдачи). А у меня нет приложения от Почты России, я не хочу получать от них смс, мне не нужны их QR.
У нет никаких технических проблем оказывать услуги только при предъявлении паспорта, это административное ограничение (приказ сверху насильно насадить своё приложение с рекламой)
Ну и к тому же Я незнаю зачем Вам почта. Вот я не успел порадоваться что Почта России научилась работать нормально, как она перестала работать нормально.
Смысл в том что в 80км южнее МКАД, город с населением за 200к, и какое по вашему мнению расписание работы отделенийу Почта России?
Два дня в неделю открыты отделения, два!
P.S. Разные отделения в городе, в разные пары дней работают.
Так напишете в прокуратуру, они отпишутся, как надо
Странная штука, для безопасности входим не по смс, а через макс, но в макс входим через смс. Получается удлиннили цепочку, но безопасность осталась на том же уровне. Бред какой-то.
Кста тотр удобне, работает даже если нет интернета или мобильной связи
Теперь приложения которые используют авторизацию через ЕСИА, получают кучу негативных оценок в маркете. 1 звезда и отзывы в стиле "на каком основании требуете подключить макс?". Народу же не объяснишь, что это интерфейс Госуслуг.
И правильно люди делают, пускай авторы приложений со своей стороны дрючат Госуслуги, чтобы те перестали Макс так нелепо внедрять
Народу же не объяснишь, что это интерфейс Госуслуг.
Это оправдание звучит точно так же, как если бы вы в магазине купили что-то, а оно оказалось некачественным или нерабочим, затем вернулись в магазин требовать возврат, а вам: "А мы чо, мы не виноваты, что производитель нам поставил некачественный товар, идите сами с ним разбирайтесь". Как в этом случае магазин несёт ответственность перед покупателем за некачественный товар, так и разработчики приложений несут ответственность за косяки сторонней авторизации, если они сделали её безальтернативной. К чему это перекладывание ответственности?
Блин да аппмаркеты с их системой рейтинга и модерацией вообще трындец, как и маркетплейсы. Впрочем, в этом есть безусловная заслуга UX-дизайнеров маркетплейсов. В том же самом русторе трэш и содомия в оценках, типа влепить одну звезду приложухе опсоса потому что у тебя сигнал дома не ловит или приложению банка потому что банкоматов рядом не нашлось... Ну такое себе. Модерация хромает на обе ноги в общем.
Проблемы шерифа индейцев не волнуют.
Если вы в теме, подскажите, пожалуйста. Вот это "используют авторизацию через ЕСИА" действительно запрещает на основе этой авторизации создавать свой токен, который будет действовать дольше, чем токен ГУ?
Просто чтобы зайти в дневник посмотреть ребёнку расписание/задание/оценки приходится каждый раз аутентифицироваться на сайте ГУ (потому что аутентификацию через приложение наш местечковый башкирский сайт не поддерживает), что порядком бесит. И даже пожаловаться негде - приложения у них нет, а в поддержке пишут стандартные отписки.
Добрый ! Не совсем понял формулировку, как они определят кнопочный у меня или нет, тогда наверное должно звучать " -Получение смс сохранится для входа (авторизации) в десктопной версии", а если у меня кнопочной на андроиде (qin) ? У всех же не могут быть смартфоны, просто в принципе не могут заставить юзать или будут может быть в подарок предлагать с предустановленным мраксом, ну это я так..
А если у меня мобильное устройство
на винде или линуксе (юбунту) - "мобильное устройство" - понятие растяжимое ?
Если это те же люди, которые думают, что написанный Макс - верх качества ПО (я не про разрабов, а про их руководство), то и решение, кому можно через СМС либо будет пандомным, либо правда смс для мобильной версии оставят. А на бюмобилках будут "загонять".
В чем цимес (кроме загона всех на Макс, а именно для безопасности) я не понимаю. Еще меньше понимаю, когда в настройках госуслуг пишут, что разрешат только через гос-биометрию ходить, при том, как её собирали и как она (подозреваю) хранится.
Версия про кноаочный телефон - "перепевка Рабиновича" (пересказ редакторов Хабра). На скриншоте - речь про десктопную версию (которая работает и в браузере смартфона). А уж СМС получать можно хоть на модем.
Ну по идее может до такого дойти, что придется там в техподдержку обращаться - "-А у меня кнопочный телефон, пришлите мне код и всё такое"
Я с андроида не могу зайти, просят код в мах
Из одного "пограничного чата (пардон, что картинкой, copy/paste там выключено зачем-то):
Всё там делается и приобретается (но небыстро). Только гуглить надо правильно. "Как иностранцу приобрести сим-карту", "как иностранцу зарегистрироваться на госуслугах", "как иностранцу получить СНИЛС". Удивляет, что в этом том чате ценные иностранные специалисты не могут правильно загуглить (ну или забингать, или пояндексить)
В скаме можно регистрироваться с номеров из ближнего зарубежья. Комментарий на скрине из разряда "надо поныть".
Это из чата про границу Эстония-РФ. Какое нафиг ближнее зарубежье?
Такое: https://habr.com/ru/news/963240/
А на скриншоте - враньё.
Заголовок страницы из вашей ссылки "Доступ в Max появился у пользователей из стран СНГ". А речь идет про европейские номера телефонов. Эстония, это ЕС и НАТО. Хотя из какой точно страны ЕС автор "процитированного" текста, понятия не имею. Просто в том чате "пасутся" люди с европейскими ВНЖ или двойным гражданством.
А на скриншоте - враньё.
Посмотрел на "цитируемое" мной сообщение. Да, немного вранье - там перед текстом был скриншот экрана входа на госуслуги. Есть разница?
Если госуслуги не работают без навязываемого приложения - удалю да и все. Пусть не удобнее ходить в мфц, но совесть не продается.
Причем при попытке зайти в налоговую через госуслуги смс приходит, ее вводишь, а уже потом перекидывает на страницу установки макса:)
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
РИА Новости: часть пользователей мобильного приложения «Госуслуги» на iPhone не могут зайти в госсервис без кода из Max