Я к тому, что в письме обычно бывает ссылка с токеном в параметрах и пометка, что если ничего не получается, то вот вам токен отдельно. Ну то есть вообще убрать "быструю" ссылку, чтобы проверялки просто ходили на общую страницу.
Или в варианте с POST после страницы любое значение в параметры уезжает, а проверяется только на этапе непосредственно сброса пароля? То есть любой токен будет "правильным" в этом случае, но ошибку вылезет уже потом.
Дык приватный ключ никуда не уезжает, только запрос на подпись.
Есть вариант, что кто-то может самостоятельно сделать пару сертификат+ключ, где-то что-то подкрутить и дальше делать нехорошие вещи с подглядыванием в щёлку. Но такую историю может любой CA провернуть, вопрос только в его репутации.
банковские приложения хостят API в облаках, агрессивно открывают несколько соединений при старте сессии и используют нестандартные (не-браузерные) TLS-стеки — то есть теоретически могут задевать те же сигналы.
Вот такую хрень у приложения ВТБ замечал точно последнюю неделю.
Запускаешь приложение; вводишь PIN или отпечаток; получаешь заглушку, что у них что-то упало. На вторую или третью попытку пускает нормально и дальше работает условно исправно.
Условно, потому что глюков не встречал, но может оно внутри у себя запросы повторяет.
Сначала приучали к повсеместному проникновению мобильного интернета. Переводили на него всякие IoT-устройства, камеры, терминалы, банкоматы и прочую шелупонь, которой по роду деятельности доступ в интернет нужен. И тут резко всё это решили обрубить.
Ну с этим уже активно борются. Та же Nintendo сделала что-то типа виртуальной перестановки картриджей, если игра на физическом носителе. Вроде как даже были случае бана за использование одного картриджа на двух консолях. Типа надо на одной его "виртуально вынуть", чтобы играть на другой.
SONY вроде как тоже вводят ограничения на offline-режим. Видел новость про обязательный выход в сеть раз в месяц, чтобы "лицензии обновить".
В крайнем случае можно инициировать покупку/блокировку с отменой на некоторую случайную сумму и потребовать её указать. Если развивать тему проверки карты. ¯\_(ツ)_/¯
нужен только публичный PSN ID и одна часть старых данных о транзакции: полный номер заказа или последние четыре цифры карты, использованной для оплаты
То есть получается, что условно по выложенному скриншоту покупки какой‑нибудь игры можно увести аккаунт?
Вообще, странно, что проверяют только последние 4 цифры номера карты. По уму надо требовать полный номер карты или хотя бы что‑то из скрытой части. Не просто же так в чеках фигурирует только эта часть номер карты.
Когда шум прошёл и пена спала, то поздние продажи особой погоды не сделают. Кто хотел поиграть, тот поиграл. Кто не смог, тот скорее всего и забил. Особенно, если игра проходная вышла.
Я знаю, что DS4 при прямом подключении по BT тупо нормально не работал без подпорок. Я для этого геймпада покупал фирменный адаптер от SONY. С дуалсенсом вроде бы проблемы схожие были: по BT получалась шляпа в зависимости от удачи, по кабелю работало нормально, но у него как минимум прошивку можно обновить, для DS4 ничего такого не находил для ПК.
Вроде бы только Steam API для игровых контроллеров это как‑то нивелирует.
У меня есть тот и другой, но играю в основном на контроллере от xbox. 😁
Я к тому, что в письме обычно бывает ссылка с токеном в параметрах и пометка, что если ничего не получается, то вот вам токен отдельно. Ну то есть вообще убрать "быструю" ссылку, чтобы проверялки просто ходили на общую страницу.
Или в варианте с POST после страницы любое значение в параметры уезжает, а проверяется только на этапе непосредственно сброса пароля? То есть любой токен будет "правильным" в этом случае, но ошибку вылезет уже потом.
Дык приватный ключ никуда не уезжает, только запрос на подпись.
Есть вариант, что кто-то может самостоятельно сделать пару сертификат+ключ, где-то что-то подкрутить и дальше делать нехорошие вещи с подглядыванием в щёлку. Но такую историю может любой CA провернуть, вопрос только в его репутации.
Тут же всё так и так строится на доверии.
А письмо со ссылкой на страницу для ввода токена и сам токен отдельной строкой — это уже усложнение для пользователя?
Что‑то типа писем с одноразовыми кодами для входа и прочего подобного, что нужно в любом случае копировать и вставлять в форму.
Ещё видел варианты в письмах "Если ссылка не кликабельна, то скопируйте её и вставьте в адресную строку браузера", но это было 3000 лет назад. :)
Имени Петра Петровича К.?
Находится в разделе "Безопасность" почти в самом низу. Ну вдруг кто-то тоже по разделам бегал и искал. 😁
Как минимум прописать, чтобы паттерн "geoip:ru" шёл в "direct". А дальше по необходимости.
Вот такую хрень у приложения ВТБ замечал точно последнюю неделю.
Запускаешь приложение; вводишь PIN или отпечаток; получаешь заглушку, что у них что-то упало. На вторую или третью попытку пускает нормально и дальше работает условно исправно.
Условно, потому что глюков не встречал, но может оно внутри у себя запросы повторяет.
Врачи подобное называют "лечить анализы". Когда таблетками значения под "норму" подгоняют.
Хворь никуда не девается, зато снаружи красиво. 😁
Это всё для безопасности. Не уточняется только, для чьей конкретно.
Ну он вроде никуда и не девался, только нод меньше стало, и коммуникация с модемов перелезла на TCP/IP.
Тут вообще ситуация весёлая получается.
Сначала приучали к повсеместному проникновению мобильного интернета. Переводили на него всякие IoT-устройства, камеры, терминалы, банкоматы и прочую шелупонь, которой по роду деятельности доступ в интернет нужен. И тут резко всё это решили обрубить.
Мне нравится такой безлимит у Т-Банка.
Выбираешь "Безлимитный трафик", абонентка становится 769 рублей, но в "Безлимитные сервисы" появляется пункт "Режим модема" за 499 рублей.
Вроде бы безлимит, но есть нюанс.
О! А вот и домашние ТСПУ начали подвозить, про которые недавно шутили.
Ну с этим уже активно борются. Та же Nintendo сделала что-то типа виртуальной перестановки картриджей, если игра на физическом носителе. Вроде как даже были случае бана за использование одного картриджа на двух консолях. Типа надо на одной его "виртуально вынуть", чтобы играть на другой.
SONY вроде как тоже вводят ограничения на offline-режим. Видел новость про обязательный выход в сеть раз в месяц, чтобы "лицензии обновить".
ИМХО в случае с монитором натягивание совы на глобус вышло гораздо сильнее. 🤣
В крайнем случае можно инициировать покупку/блокировку с отменой на некоторую случайную сумму и потребовать её указать. Если развивать тему проверки карты. ¯\_(ツ)_/¯
То есть получается, что условно по выложенному скриншоту покупки какой‑нибудь игры можно увести аккаунт?
Вообще, странно, что проверяют только последние 4 цифры номера карты. По уму надо требовать полный номер карты или хотя бы что‑то из скрытой части. Не просто же так в чеках фигурирует только эта часть номер карты.
По описанию какое-то превозмогание ради превозмогания.
Как будто попытка оправдать покупку странной штуки за много денег. При этом было потрачено много времени с сомнительным профитом в итоге.
Когда шум прошёл и пена спала, то поздние продажи особой погоды не сделают. Кто хотел поиграть, тот поиграл. Кто не смог, тот скорее всего и забил. Особенно, если игра проходная вышла.
Ну так с моего дивана видно.
Я знаю, что DS4 при прямом подключении по BT тупо нормально не работал без подпорок. Я для этого геймпада покупал фирменный адаптер от SONY. С дуалсенсом вроде бы проблемы схожие были: по BT получалась шляпа в зависимости от удачи, по кабелю работало нормально, но у него как минимум прошивку можно обновить, для DS4 ничего такого не находил для ПК.
Вроде бы только Steam API для игровых контроллеров это как‑то нивелирует.
У меня есть тот и другой, но играю в основном на контроллере от xbox. 😁