Поделюсь своим лайфхаком: я для таких дел использую PayPal- там для автоматического списания средств есть понятие «subscribe», так я после создания триального акаунта просто в настройках удаляю этого вендора. Не все правда поддерживают Paypal
Понятно, то есть надо хранить лог изменений времени, причём именно лог так как точность осциллятора тоже не константа и меняется в зависимости от разных факторов. Там логи хранить просто негде, мы лишние пару байтов не можем разместить для хранения сида (сейчас максим. длина 32 символа base32) — иначе увеличивается размеры и цена
Можно в принципе не усложнять и просто ограничить окно изменений — например точностью помноженной на жизнь батареи (например при максимально возможном смещении в 2 минуты в год и сроком аккумулятора 5 лет — разрешать не более 10 минут в каждую сторону).
Вы считаете риск существенным? Ведь он ровно такой же как при утере обычного ключа (без синхронизации времени) — только атка должна будет осуществлена сразу (в течении 5-10 минут) а не через неделю, например. Стоят ли свеч усилия по ограничению изменения времени в таком случае?
я понимаю с асинхронным шифрованием? хорошая идея
Одна проблема- многие клиенты с подозрением отнесутся к самой идее обмена данными со сторонними серверами. В нынешнем варианте, комп с софтом для прошивки может работать в оффлайне — так можно быть уверенным что ничего (а в частности секретные ключи) никуда не отсылаются
я понимаю это вопрос не только по данной модели, но вообще по всем программируемым токенам (на других можно менять только секретный ключ).
думаю можно это обьяснить стремлением к упрощению процесса, опять же не забываем про баланс- на одной чаше комфорт пользователя и логистика/организация процесса установки индивидуального пароля на каждый токен (плюс механизм восстановления), на другой потенциальный риск компромизации через NFC
никак нет, все полностью стандартно. это полноценная замена приложениям типа Google Authenticator, только логиниться потом можно будет только с применением самого токена, без смартфона
отсутствия поддержки браузером, но и сие сейчас решено
чему я лично рад несказанно (я тоже фанат идей FIDO и u2f мне использовать гораздо удобнее)
но я все еще считаю что сравнивать например u2f и TOTP некорректно, они не всегда взаимозаменяемы
Вы про FIDO/FIDO2? если так, то можно еще дешевле найти (Token2 скоро запустит u2f по цене около 8-10 евро). Только некорректно их сравнивать, это разные устройства, и u2f/fido2 пока не везде поддерживаются. Теоретически, такие ключи конечно удобнее для пользователя (при определенной комбинации условий) и дешевле (нет дисплея и даже батареи, и один ключ можно использовать лет 10-15 на разных акаунтах), но видимо из-за сложности реализации, TOTP все еще популярнее.
и дефейсить ничего не надо, использовать эксплойт какой-нибудь на рутерах, и форвардить куда следует.
Даже если пользователь и не зайдет (изза предупреждения браузера о левом сертификате), это ничего не меняет, в логах провайдера запрос на запрещенный сайт уже есть
Бумажное письмо, на самом деле, тоже неплохой вариант. Но, тогда провайдеру надо запрашивать у пользователя его физический адрес? Тут люди номер сотового давать не хотят…
Делает, без проблем.
“Я скачал из интернета файл, но он оказался мне не нужным, как мне закачать его обратно?“
Ну, справедливости ради надо сказать что в Швейцарии можно вообще без немецкого
Шушпанчик не из жизни пример, лучше про простую фамилию Щербаченко сказать :)
Not sure if clear enough, but date as well
(M/D/Y)
Another test — Bu qardaş nə yazıb bilmirəm, amma...
des plans pour ajouter plus de langues? vous ne maîtrisez actuellement que 2 langues sur 5 que je connais;)
Можно в принципе не усложнять и просто ограничить окно изменений — например точностью помноженной на жизнь батареи (например при максимально возможном смещении в 2 минуты в год и сроком аккумулятора 5 лет — разрешать не более 10 минут в каждую сторону).
Вы считаете риск существенным? Ведь он ровно такой же как при утере обычного ключа (без синхронизации времени) — только атка должна будет осуществлена сразу (в течении 5-10 минут) а не через неделю, например. Стоят ли свеч усилия по ограничению изменения времени в таком случае?
А как определять спешат или нет? Сравнивать же не с чем
Одна проблема- многие клиенты с подозрением отнесутся к самой идее обмена данными со сторонними серверами. В нынешнем варианте, комп с софтом для прошивки может работать в оффлайне — так можно быть уверенным что ничего (а в частности секретные ключи) никуда не отсылаются
думаю можно это обьяснить стремлением к упрощению процесса, опять же не забываем про баланс- на одной чаше комфорт пользователя и логистика/организация процесса установки индивидуального пароля на каждый токен (плюс механизм восстановления), на другой потенциальный риск компромизации через NFC
чему я лично рад несказанно (я тоже фанат идей FIDO и u2f мне использовать гораздо удобнее)
но я все еще считаю что сравнивать например u2f и TOTP некорректно, они не всегда взаимозаменяемы
Вы про FIDO/FIDO2? если так, то можно еще дешевле найти (Token2 скоро запустит u2f по цене около 8-10 евро). Только некорректно их сравнивать, это разные устройства, и u2f/fido2 пока не везде поддерживаются. Теоретически, такие ключи конечно удобнее для пользователя (при определенной комбинации условий) и дешевле (нет дисплея и даже батареи, и один ключ можно использовать лет 10-15 на разных акаунтах), но видимо из-за сложности реализации, TOTP все еще популярнее.
Даже если пользователь и не зайдет (изза предупреждения браузера о левом сертификате), это ничего не меняет, в логах провайдера запрос на запрещенный сайт уже есть
смотря где. Во Франции, например можно симку просто купить в супермаркете и сразу начать пользоваться. То есть если потерять, никак не восстановишь.
плюс к перечисленным способам, стоит упомянуть уязвимость SS7
Минусы можно долго перечислять… Но есть ли альтернатива?