if ('OTPCredential' в окне) {
 window.addEventListener ('DOMContentLoaded', e => {
 const input = document.querySelector ('input [autocomplete = "одноразовый код"]'); 
 if (! Input) return; 
 const ac = новый AbortController (); 
 const form = input.closest ('форма'); 
 if (form) {
 form.addEventListener ('submit', e => {
 ac.abort (); 
}); 
} 
 navigator.credentials.get ({
 otp: {transport: ['sms']}, 
 signal: ac.signal 
}). Then (otp => {
 input.value = otp.code; 
, если (форма) form.submit (); 
}). catch (err => {
 console.log (err); 
}); 
}); 
}  

Фото Джейсона Леунга на
Unsplash.

Последнее обновление: 9 дек.2020 г.

Улучшить статью

Пароль: SMS. Как текстовое сообщение может стать элементом многофакторной аутентификации?

Компании, работающие в сети, пробуют различные способы защиты от незаконного доступа к данным своих клиентов. Даже надежный пароль, созданный в соответствии с рекомендациями сетевых администраторов, может быть не лучшим оружием против онлайн-воров.Тогда многофакторная аутентификация, включая проверку по SMS, может стать правильным выбором, чтобы избежать утечки данных.

Данные, которые могут быть получены при использовании Интернета, могут привести не только к потере учетных записей в социальных сетях. Хуже всего случается, когда целью воров является банковский счет или конфиденциальные данные компании. Эта ситуация вынуждает компании внедрять инструменты для аутентификации процесса входа в систему в своих системах.

Однофакторная проверка

Однофакторный метод — самый популярный способ защиты ваших данных и учетных записей с помощью двух простых данных: логина и пароля.Еще одна форма унифицированной аутентификации — биометрия, то есть отпечатки пальцев. В этот раз мы остановимся на более сложном способе — многофакторной аутентификации (так называемая MFA).

Многофакторная аутентификация

Метод многофакторной аутентификации (MFA) включает в себя использование как минимум трех элементов: то, что вы являетесь, (фактор принадлежности), то, что у вас есть, (фактор владения), то, что вы знаете (фактор знания).

Фактически можно использовать 2, 3, 4 и даже 5-элементную аутентификацию.Для доступа к важным данным требуется минимум три фактора, разнообразие которых показано на следующем рисунке:

Источник: https://dev98.de/2016/11/19/a-multi-factor-authentication-quickstart

1. Кое-что вы знаете

Это может быть обычный пароль или PIN-код, который нужно ввести в соответствующее окно. Уровень защиты этого вида фактора зависит от длины и сложности (использование различных типов буквенно-цифровых символов — как 1,2,3, так и XyZ).

Также важно защитить и сохранить доступ к своим паролям (также хорошо не записывать их на желтых карточках на мониторе).

2. Что-то, чем вы являетесь

Способность распознавать лица или считывать отпечатки пальцев еще не получила широкого распространения и уже частично подвергалась сомнению как эффективный метод защиты. Оказывается, даже отпечаток пальца можно подделать, как можно обмануть FaceID с помощью маски для лица.

3. Что-то, что у вас есть

Это может быть флэш-накопитель, подключенный к компьютеру, карта открывания двери или другие предметы, которые позволят вам авторизовать доступ.Но! В то же время он будет работать с телефоном в вашем кармане! Используя последнее решение, пользователь должен пройти определенные этапы и, в конце концов, получить код по SMS.

По сравнению с другими методами, этот прост в применении, так как банки и технологические компании уже давно используют такие решения. Что немаловажно, выбор этого фактора гарантирует, что устройство всегда будет рядом с пользователем (в его кармане / сумке).

Как спланировать защиту данных?

Текущее развитие технологий позволяет нам реализовать систему безопасности, достойную Белого дома, но мы всегда должны помнить о ее удобстве использования.Метод аутентификации должен быть адаптирован к типу защищаемых данных и уровню их секретности. Каждый обычный пользователь будет огорчен, если вы заставите его пройти 5-этапный контроль, чтобы он мог проверить электронную почту.

С другой стороны, вместе с развитием технологий, возможности цифровых грабителей также растут. Поэтому стоит принять во внимание опасность сокрытия в сети, правильно обезопасить себя, но полезным и интуитивно понятным для клиента способом. Отсюда и популярность текстовых сообщений с кодом.

Мы недавно опросили американцев в США и обнаружили, что почти 58% испытали утечку данных из-за плохой защиты паролей. Еще более тревожным является тот факт, что, несмотря на то, что финансовые аккаунты более 21% были взломаны, люди, похоже, не убеждены в важности правильных паролей, в том числе использования разных надежных паролей для каждой учетной записи. По этой причине наша команда исследователей создала серию ресурсов и инструментов, которые помогут пользователям Интернета хранить свои пароли в безопасности, что является важной защитой от мошенничества, мошенничества и кражи личных данных.

Источник: Менеджер паролей

SMSAPI представляет SMS Authenticator

Что касается потребностей в защите данных, мы подготовили услугу, которая будет подтверждать личность пользователя с помощью кода SMS, автоматически отправляемого на его / ее мобильный телефон (с использованием фактора «Что-то, что вы есть »- так называемая SMS-верификация). Вы должны ввести проверяемый номер, и SMSAPI отправит код безопасности и проверит его правильность.

SMS Authenticator

Если вы хотите узнать больше о новой функции проверки с помощью SMS — перейдите сюда!

Самый слабый аспект аутентификации — это…

Когда процедура входа в систему состоит из нескольких элементов, уверенность в том, что любое неавторизованное лицо сможет получить доступ к защищенным данным, составляет почти стопроцентную.

Практически потому, что всегда есть одно самое слабое звено, независимо от метода — пользователь, который может непреднамеренно оставить следы, приведя к цифровым ворам к данным, которые они ищут. Стоит максимально усложнить их работу, расширив свою защиту за счет многофакторной аутентификации.

АВТОР:

Maja Wiśniewska

Менеджер по PR и контент-маркетингу в SMSAPI — глобальной платформе для массовых SMS-сообщений. Майя отвечает за бренд-маркетинг, а именно за привлечение потенциальных клиентов, отношения с клиентами, контент-маркетинг, социальные сети и долгосрочную PR-стратегию.

Как аутентификация по SMS без пароля может улучшить ваше приложение

SMS без пароля не только делает аккаунты ваших пользователей безопаснее, но и упрощает их жизнь. Вот как это работает, почему это важно и как Auth0 упрощает его реализацию.

«SMS без пароля не только делает аккаунты ваших пользователей безопаснее, но и упрощает их жизнь».

Твитнуть

Как работает проверка подлинности по SMS?

SMS-аутентификация — это форма аутентификации без пароля, при которой пользователи аутентифицируются при доступе к другой безопасной платформе, а не аутентифицируются на основе владения паролем.

В случае аутентификации по SMS такой безопасной платформой является сотовый телефон пользователя. Аутентификация требует, чтобы у пользователей был как правильный номер сотового телефона, так и физический доступ к этому телефону.

При аутентификации Auth0 по SMS пользователи вводят свой номер телефона в поле входа:

Затем пользователи получают текстовое сообщение с одноразовым паролем:

И затем у них есть пять минут, чтобы ввести этот пароль в приложение:

Если это первый вход пользователя в систему, для его номера телефона создается новая учетная запись.Если их номер телефона совпадает с существующей учетной записью, они проходят проверку подлинности и входят в эту учетную запись.

Зачем нужна аутентификация через SMS без пароля?

СМС-аутентификация без пароля дает два ключевых преимущества:

• Удобство: Средний пользователь Интернета имеет не менее 90 учетных записей. СМС-аутентификация без пароля избавляет от необходимости создавать и запоминать пароль, а поскольку одноразовые пароли отправляются на сотовые телефоны, пользователи могут пройти аутентификацию, просто взяв их в карман.
• Безопасность: 59% интернет-пользователей признаются, что используют один и тот же пароль для нескольких учетных записей. Похищая пароль, злоумышленники могут поставить под угрозу все учетные записи с одним и тем же паролем. Однако удаление пароля ограничивает точки проникновения злоумышленника. Чтобы захватить учетную запись, аутентифицированную с помощью SMS, злоумышленнику необходимо украсть мобильный телефон или SIM-карту пользователя.

Почему так сложно разработать SMS без пароля?

Создание собственного SMS API требует значительных ресурсов.Обременения делятся на две категории:

• Безопасность: Хотя SMS-аутентификация позволяет пользователям меньше думать о безопасности, она заставляет разработчиков еще больше сосредоточиться на ней. В случае использования вашего SMS API злоумышленники не только получат доступ к телефонным номерам пользователей, но и смогут отправлять сообщения с вашего сервера. Более высокие ставки увеличивают бремя безопасности разработчика.
• Стоимость: Создание SMS API требует большой инфраструктуры. Разработчики должны вести переговоры с сетевыми операторами по всему миру, чтобы получить доступ к своим сетям и достичь пользователей.Разработчики должны выбирать между непомерными затратами или ограниченным географическим охватом своего API.

Использование Auth0 для аутентификации по SMS позволяет обойти обе эти проблемы.

Как Auth0 использует Twilio для обеспечения безопасности и доступности SMS

Auth0 использует Twilio для обработки SMS-аутентификации в нашем API без пароля. Twilio — это сервис, который предлагает API-интерфейсы безопасного обмена сообщениями, используемые такими компаниями, как Coca-Cola, Uber и Box.

Box обслуживает 92% компаний Fortune’s 500, поэтому их безопасность находится под пристальным вниманием.Используя SMS API Twilio, они смогли создать безопасный процесс аутентификации по SMS, который защищает 240 000 предприятий по всему миру.

Auth0 предлагает такую ​​же безопасность с простой реализацией. С Twilio у вас есть мощный и безопасный SMS API, который уже имеет доступ к сетям по всему миру. С Auth0 вы можете быстро и легко реализовать API Twilio.

Насколько легко реализовать SMS без пароля в Auth0?

Auth0 делает SMS без пароля простым и мощным тремя способами:

• Минимальное кодирование: Для реализации экземпляра SMS без пароля требуется только следующий простой фрагмент кода:

     Войти    

• Межплатформенная совместимость: Поскольку беспарольная SMS-аутентификация является встроенной функцией Auth0 Lock, она будет адаптироваться к любой платформе, с которой пользователь обращается к ней, будь то iOS, Android или рабочий стол.
• Простая настройка: Объединить беспарольную SMS-аутентификацию с электронной почтой так же просто, как переключить кнопку на панели управления беспарольными подключениями Auth0:

Как связать SMS с социальной аутентификацией в Auth0

С помощью привязки учетной записи Auth0 вы можете обеспечить пользовательский интерфейс, позволяющий пользователям связать свою учетную запись с социальными платформами. Более подробное руководство по реализации привязки учетных записей см. В нашем руководстве.

Есть три ключевых преимущества привязки учетных записей в Auth0:

• Централизованная информация: Связывание с социальными сетями позволяет пользователям проходить аутентификацию с несколькими поставщиками удостоверений, создавая только одну учетную запись.
• Минимальное трение: Поскольку Auth0 не поддерживает автоматическую привязку учетных записей, все привязки учетных записей инициируются пользователем. Если пользователи считают, что связывание аккаунтов неудобно, то в этом нет необходимости.
• Расширенное взаимодействие: С помощью социальных сетей вы можете получать информацию о контактах пользователей и открывать новые возможности.

Я получаю код сброса пароля Facebook с помощью текстового SMS-звонка

Безопасность вашей учетной записи и информации Facebook очень важна.Facebook — крупнейшая социальная сеть в мире. Вы можете использовать его для размещения всех видов личной информации для быстрого доступа. Кроме того, через некоторое время Facebook становится сам по себе миром из-за множества друзей и разговоров. На самом деле люди иногда могут чувствовать зависимость от Facebook. В таких обстоятельствах важно, чтобы ваш пароль Facebook был в безопасности .

На днях читатель TechWelkin спросил меня: «Я получаю повторяющиеся текстовые SMS-сообщения на свой мобильный телефон.В сообщении меня просят сбросить пароль на Facebook. Но я никогда не просил Facebook изменить или сбросить мой пароль. Вы думаете, что это мошенничество? »

Ну да, действительно, это могло быть мошенничество и попытка взлома вашей учетной записи Facebook.

Вы также могли получать SMS или текстовые сообщения с кодом сброса пароля Facebook. Facebook отправляет такой код на ваш зарегистрированный мобильный телефон, когда вы используете такие функции, как «Забыли пароль». Но вы можете получать такие текстовые сообщения, даже не спрашивая их!

Безопасность в Интернете очень важна.Вы должны быть осторожны с этим.

Мой читатель, задавший вышеупомянутый вопрос, поделился со мной таким SMS. Текст выглядит примерно так:

###### — это ваш код сброса пароля Facebook или сбросьте пароль здесь: (https: // fb. Com / ……………). Чтобы ответить, отправьте SMS на номер ############

Почему вы получаете SMS с кодом сброса пароля Facebook?

Если вы не отправляли запрос на сброс пароля Facebook, все остальные возможности неуместны.Вот некоторые из этих сценариев:

• Кто-то неоднократно пытается войти в вашу учетную запись Facebook
• Бот (программа, которая работает автоматически) пытается угадать ваш пароль.
• Это попытка фишинга. Это означает, что никто не пытается открыть вашу учетную запись Facebook, и это SMS / текстовое сообщение было отправлено вам с неверной ссылкой, которая, если вы перейдете по ней, украдет ваш пароль. Ссылка откроет плохой веб-сайт, который может выглядеть как Facebook, и попросит вас ввести текущий пароль, а затем новый пароль.Очевидно, они выберут «новый» пароль и используют текущий пароль для открытия вашей учетной записи Facebook.

Что делать, если вы постоянно получаете коды сброса пароля Facebook?

Если вы не запрашивали такой код, единственное, что вам нужно сделать, это НИЧЕГО НЕ ДЕЛАТЬ .

Не нажимайте ни на одну ссылку, указанную в текстовом SMS-сообщении. Не звоните по телефонным номерам, указанным в таком сообщении.

Если это фишинг, бездействие защитит вашу учетную запись Facebook.

Однако, если человек или программа пытается угадать ваш пароль, лучше подумайте о надежности вашего пароля . Ни один из ваших паролей, будь то для Facebook или чего-то еще, нельзя угадывать. Большинство людей используют очень слабые и легко угадываемые пароли. (используйте наш надежный генератор паролей)

Подумайте о своем пароле, и если вы считаете, что он недостаточно надежен, войдите в свою учетную запись Facebook и измените свой пароль на более подходящий.

Что делать, если вам звонят с просьбой сбросить пароль Facebook?

Некоторые люди также сообщают, что вместо SMS-сообщений им звонят с разных номеров.Автоматический ответ IVR по телефону просит этих пользователей Facebook сбросить свои пароли Facebook.

Если вам тоже позвонят, НЕ делайте ничего, что они говорят. Просто отключите звонок и заблокируйте номер. Мобильные приложения, такие как TrueCaller, могут помочь вам узнать подробности неизвестного номера. TrueCaller также предоставляет вам возможность блокировать входящие звонки и отмечать телефонный номер как спам.

Что делать, если ваш аккаунт в Facebook взломан?

Если вы сбросите пароль из-за таких необоснованных SMS, электронных писем или телефонных звонков и потеряете доступ к своей учетной записи Facebook, НЕ БОЙТЕСЬ! Facebook может помочь вам вернуть вашу учетную запись.Перейдите на https://www.facebook.com/hacked и следуйте их инструкциям.

Надеюсь, эта информация была для вас полезной. Не стесняйтесь спрашивать, если у вас есть какие-либо вопросы по этой теме. Я буду рад помочь. Спасибо за использование TechWelkin.

Дебаты по поводу двухфакторной аутентификации SMS — стоит ли от этого избавляться?

Избавление от двухфакторной аутентификации SMS всегда было горячей темой из-за ее ненадежности. NIST собирался отказаться от этой рекомендации, но отказался после долгих споров.

В 2020 году вышло исследование Принстонского университета, демонстрирующее, как можно использовать плохую двухфакторную аутентификацию SMS. Они даже зашли так далеко, что создали веб-сайт под названием «IsSMS2FASecure.com» и поместили вверху гигантский NO , чтобы выразить свои чувства.

Для меня вся эта дискуссия по поводу SMS 2FA интересна, так как я вижу точку с обеих сторон.

Я еще не видел, чтобы кто-нибудь все это разбирал и показывал, насколько правильны обе стороны. Это то, что я пытаюсь сделать в этой статье, и в конечном итоге выяснить, стоит ли двухфакторная аутентификация для SMS того или нет.

Что такое двухфакторная аутентификация для SMS?

Чтобы описать двухфакторную аутентификацию SMS, мы должны понимать двухфакторную аутентификацию. 2FA — это двухфакторная аутентификация. Факторы — это то, что вы знаете, что у вас есть, и то, чем вы являетесь.

Чем больше факторов вы предоставите, тем больше у вас будет доказательств того, что у вас правильный пользователь.

Этими факторами могут быть пароли (что-то, что вы знаете) или код, отправленный на ваш телефон (что-то, что у вас есть), или отпечаток пальца (что-то, что вы). Поскольку у многих людей есть телефоны, это делает использование 2FA на основе SMS (2FA на основе текстовых сообщений) самым простым для реализации.

Когда у вас есть 2 фактора (пароль + текстовое сообщение), это, очевидно, лучше, чем иметь только 1 фактор (только пароль). Ни один здравомыслящий человек не может возражать против этого.

Судя по проведенному мною исследованию, это часто является конечной точкой для большинства людей, которые считают, что лучше иметь двухфакторную аутентификацию, чем вообще ничего. На этом фундаментальном уровне они правы, но на самом деле это еще не все.

Проблема с SMS 2FA

Как показало Принстонское исследование, им было несложно поменять SIM-карту в своих тестовых телефонах.

Замена SIM-карты — это когда вы звоните оператору связи и говорите, что потеряли свой телефон и вам нужно сменить его на другой. Исследование показало, что вам нужно ответить только на основные вопросы, и номер был перенесен на кого-то другого, злоумышленника.

Когда злоумышленник получает доступ к номеру телефона, он может сделать две вещи.

Если злоумышленник знает пароль, он может объединить его со вторым фактором номера телефона, который они только что перенесли, и войти в систему.

Другой способ — сбросить пароль с помощью сброса пароля по SMS и таким образом получить доступ к учетной записи.Исследование показало нам несколько веб-сайтов, которые позволяют обойти пароль и получить доступ к учетной записи, просто имея номер телефона пользователя. Мы также наблюдали это в реальном мире, когда пользователи теряли деньги, особенно при обмене криптовалютой.

SMS 2FA и сброс пароля SMS — это не одно и то же!

Многие эксперты не хотят объединять сброс пароля по SMS с помощью двухфакторной аутентификации по SMS.

И снова они правы — они не те.

Хотя они и разные, было бы лукавством сказать, что они не часто бегают вместе.В большинстве случаев они группируются друг с другом без ведома пользователей, что приводит их к ложному чувству безопасности. Это ложное чувство безопасности было указано в исследовании Принстонского университета (стр. 9, номер 4).

Это одна из тех серых областей, где обе стороны правильны.

SMS 2FA — это не то же самое, что сброс SMS. Но в реальном мире мы видим, что слишком много сайтов с двухфакторной аутентификацией по SMS также имеют сброс по SMS, потому что у них уже есть номер телефона пользователя. У вас не было бы сброса SMS, если бы двухфакторная аутентификация SMS не заложила основу для получения номера телефона.

Это правда, что некоторые сервисы имеют двухфакторную аутентификацию SMS, но не позволяют сбросить SMS. Хотя это и должно быть сделано, проблема в том, что мы не знаем, добавят ли они в будущем сбросы SMS.

Если сайт выполняет сброс по SMS, они сначала предупредят об этом своих пользователей? Выполнял ли какой-либо веб-сайт в прошлом сброс SMS-сообщений и уведомления своих пользователей? Я ничего не могу найти.

Эта неопределенность очень тревожит.

Двухфакторная аутентификация для SMS не идеальна, но мы все равно должны ее использовать

Каждый эксперт в области информационной безопасности знает, что двухфакторная аутентификация SMS не идеальна, но мы все равно должны ее использовать.

Как и много раз прежде, эксперты правы.

Причина в том, что кто-то нацеливается на вас и переносит ваш номер мало. Существуют гораздо более простые цели, поэтому лучше использовать двухфакторную аутентификацию по SMS, чем вообще ничего.

Верно ли это утверждение в современном мире, учитывая постоянно меняющийся Интернет?

Примеры из реальной жизни

Самая интересная часть дискуссии о двухфакторной аутентификации SMS — это то, как она влияет на реальных людей.

Мы видим бесчисленное количество примеров того, как люди теряют деньги или свои счета из-за слабости SMS.

В то время как знаменитости и богатые люди попадают в новости, нам нужно остерегаться обычных пользователей. Если обычного пользователя взламывают, это эффект просачивания для всех остальных.

Недавно я наткнулся на отличный пример от обычного пользователя Reddit. Оригинальный плакат (OP) предупреждал людей, что двухфакторная аутентификация SMS небезопасна и вам не следует ее использовать.Затем в одном из комментариев был тот же аргумент, что и многие эксперты: , вам все равно следует использовать 2FA SMS, потому что это добавляет еще один барьер, и злоумышленник просто перейдет к кому-то, более легкому для нацеливания на . OP тоже думал о том же, но все же его взломали и потеряли деньги.

Reddit Link — Архив.

Еще один пример из реальной жизни. Ссылка — Архив — Изображение

Вот еще несколько примеров того, как люди теряют свои аккаунты из-за слабости SMS.

Последняя ссылка была от Николь Сетте, директора компании по расследованию киберрисков и бывшего кибер-аналитика ФБР. Ее статья и уроки, которые она извлекла, заставили меня поставить под сомнение 2FA SMS.

Что я узнал, взломав свои учетные записи с помощью мобильного телефона? В основном, если бы мои учетные записи не были привязаны к моему мобильному телефону и были бы защищены исключительно сложными паролями, которые я использую, они были бы на более безопасных.

У нас есть реальных, человек и настоящих экспертов, которых показывают нам недостатки двухфакторной аутентификации SMS и ее брата SMS Resets.

Это должно заставить всех сделать паузу и захотеть еще раз проверить SMS, когда дело доходит до безопасности.

Я заметил кое-что

Забавно, когда в криптовалютных кругах ведутся споры. Все они скажут, что вам никогда не следует использовать двухфакторную аутентификацию для SMS и следует использовать как минимум двухфакторную аутентификацию на основе приложений.

У них есть этот страх по уважительной причине; Многие атаки подмены SIM-карты были направлены на людей, владеющих криптовалютами.

Неизвестно, захватят ли биткойны или какие-либо другие криптовалюты, но несомненно то, что в будущем все больше и больше людей будут заниматься онлайн-банкингом.

Поскольку большинство банков используют только двухфакторную аутентификацию по SMS, это заставляет задуматься, почему они не отказались от нее в пользу чего-то лучшего? Из всех предприятий, которые наверняка нуждаются в отказе от двухфакторной аутентификации SMS и замене его на что-то лучшее, это банки.

Конечно, как заметил Трой Хант, банки делают гораздо больше, чем просто для нашей защиты, но это все же стоит подвергнуть сомнению.

Зачем продолжать использовать двухфакторную аутентификацию по SMS?

Цель состоит в том, чтобы максимально снизить риск, потому что мы никогда не сможем полностью его устранить.

Да, были среднестатистические обычные пользователи, которые теряли счета или деньги из-за ненадежности SMS , но стоит ли нам покончить с 2FA SMS?

№ .

Но тут возникает хороший вопрос…

Каков допустимый процент захватов аккаунтов, прежде чем мы полностью запретим использование SMS в качестве фактора?

Мы хотим, чтобы НОЛЬ учетных записей был украден из-за SMS, но возможно ли это вообще? Нет, если вы не избавитесь от SMS как фактора.

Мы не должны избавляться от этого, потому что иметь 2 фактора лучше, чем 1. Это высказывание часто обсуждается, но почему мы говорим это … почему у нас вообще есть SMS 2FA?

Зачем нужна двухфакторная аутентификация для SMS?

Как указывалось ранее, наличие двух факторов лучше, чем 1.

Если ваш первый фактор уже известен, второй фактор вас спасет.

Каким образом будет известен первый фактор, ваш пароль?

Есть несколько способов, но самый большой — повторное использование пароля.

Веб-сайт, который вы использовали в прошлом, был взломан, и пароли были украдены. Хакеры используют ботов, чтобы узнать, на каких еще учетных записях вы использовали этот пароль, чтобы они тоже могли украсть их. Это называется атакой с заполнением учетных данных.

Атака с заполнением учетных данных — самая большая угроза для пользователей, чем любая другая атака, которую мы имеем сегодня. Фишинг, вредоносное ПО и другие атаки существуют, но не на этом уровне. Я расскажу подробнее об этих других атаках внизу.

Наши деньги идут на вброс документов.Вот небольшая математика:

4 млрд пользователей Интернета во всем мире

1 млрд атак с заполнением учетных данных в день

У 50% всех пользователей Интернета был взломан набор учетных данных, которые затем используются в атаке каждый раз. другой день.

— Shape Security (@ShapeSecurity) 22 января 2020 г.

Люди плохо разбираются в паролях; это не секрет ( в отличие от их паролей lol ).

Это факт, что пользователи выбирают неверные / повторно используемые пароли, и добавление двухфакторной аутентификации решает эту проблему.

Поскольку у большинства пользователей есть телефонный номер, двухфакторная аутентификация по SMS стала самой популярной формой двухфакторной аутентификации.

Это приводит нас к новой проблеме.

2FA — не оправдание для неверных паролей

Вся причина, по которой у нас есть 2FA, состоит в том, что два фактора лучше, чем 1.

Но если первый фактор уже известен или его легко угадать, у вас больше нет 2FA — у вас есть 1FA.

Каждый фактор должен быть точкой трения, как если бы нужно войти в две запертые двери.Если вы держите ключ в одной из запертых дверей, вы теряете смысл.

Внедрение 2FA для SMS из-за того, что ваши пользователи используют неверные пароли, возвращает вас к 1FA. Вы проиграли всю суть двухфакторной аутентификации.

Если мы собираемся использовать 1FA, почему бы не использовать лучший вариант для 1FA — случайно сгенерированный пароль? Случайно сгенерированный пароль, который вы используете только на одном веб-сайте, — это лучшая 1FA, которую вы можете иметь.

Конечно, есть и другие способы кражи вашего пароля, но безопасность не на 100%.Сначала мы решаем более серьезные угрозы, чтобы лучше защитить массы.

На данный момент самой большой угрозой для пользователей является повторное использование паролей, и веб-сайты используют наиболее распространенную форму 2FA, SMS 2FA, для решения этой проблемы. Это не решает проблему, это делает ее более липкой.

Это непростая ситуация

После этого мы понимаем, почему у нас SMS 2FA, потому что пользователи плохо с паролями. Если пользователи повторно используют пароли, у вас больше не будет двухфакторной аутентификации, кроме однофакторной аутентификации.Но вам нужен второй фактор, потому что пользователи повторно используют пароли.

Вы попали в неприятную ситуацию.

Что мы можем сделать?

Что я собираюсь делать

Я не скажу вам, что делать, но я дам вам знать, что я делаю.

Если мы используем двухфакторную аутентификацию по SMS как способ решения проблемы повторного использования пароля, то у нас больше не будет двухфакторной аутентификации, а будет только однофакторная.

Если я застрял на 1FA, я буду использовать наилучшую возможную 1FA, которая представляет собой случайно сгенерированный пароль, который я использую только для этого одного веб-сайта.

Хотя моя 1FA будет надежной, я чувствую, что 2FA для SMS — это как играть в лотерею. Да, это сделает мою учетную запись более безопасной, но это исчезнет, ​​если сайт позволяет вам сбросить пароль с помощью SMS. Не только это, но если сайт не позволяет сбросить SMS, есть ли шанс, что они добавят его в будущем, и если они это сделают, они даже предупредят меня?

Иногда, чтобы выиграть в лотерею, лучше не играть в нее.

Лично я буду использовать случайный пароль для всех учетных записей.Если сайт предлагает двухфакторную аутентификацию по SMS, я постараюсь этого избежать. Если на сайте есть что-то лучше, чем двухфакторная аутентификация по SMS, например, вариант на основе приложения или Yubikey, я соглашусь с этим. Если двухфакторная аутентификация по электронной почте — вариант, я использую двухфакторную аутентификацию по SMS, потому что я могу защитить свою электронную почту с помощью правильной двухфакторной аутентификации, такой как приложение или Yubikey.

Для меня SMS 2FA не стоит хлопот. Большинство людей не собираются проверять процесс сброса пароля, чтобы убедиться, что сайт все делает правильно. И я очень уверен, что никто не будет постоянно проверять, не добавит ли сайт сброса SMS в будущем.

Мы знаем, что операторы связи тоже ничего не предпримут. Они занимаются беспощадным бизнесом, и малейший недовольный клиент перейдет к кому-то другому. Упрощение для клиента важнее, чем его безопасность.

А как насчет фишинга, вредоносного ПО и других способов кражи паролей?

Кража вашего пароля с другого веб-сайта и его использование для просмотра других учетных записей, в которые они могут войти, — самая большая угроза, с которой сталкивается средний пользователь.

Если вы знаменитость или известный человек, это больше относится к фишингу и вредоносному ПО.

Было бы несправедливо с моей стороны не включить эти другие атаки, говоря о том, что кто-то ворует ваши пароли.

Еще раз, я не собираюсь говорить вам, что делать, но я скажу вам, что я делаю с этими конкретными атаками.

Я считаю, что использование случайного пароля, уникального для каждого веб-сайта, является лучшим вариантом вместо использования двухфакторной аутентификации по SMS. Если сервис позволяет использовать двухфакторную аутентификацию на основе приложений или Yubikeys, то я обязательно буду использовать их вместо двухфакторной аутентификации по SMS.

Для управления этими паролями лучше всего использовать менеджер паролей по двум веским причинам. Первый предназначен для управления всеми этими паролями, а второй — для предотвращения фишинговых атак.

Самое замечательное в диспетчере паролей то, что он не вводит пароль, если это правильный URL. Хотя для нас google.com и googIe.com выглядят одинаково, с ним нельзя обмануть диспетчер паролей.

Для вредоносных программ лучшим ответом всегда будет запуск антивирусного или антивирусного программного обеспечения на вашем компьютере.Да, это может означать, что вам нужно запустить что-то получше, чем Защитник Windows.

В некотором смысле менеджер паролей также может помочь решить проблему с вредоносным ПО. Я обсудил несколько способов защитить свое хранилище, добавив важные пароли или используя метод двух диспетчеров паролей. Хотя эти методы не являются надежными, они все же лучше, чем то, что делает большинство людей.

Не забывайте первое правило «10 непреложных законов безопасности»…

Если плохой парень может убедить вас запустить его программу на вашем компьютере, это уже не только ваш компьютер.

Другими словами, если ваш компьютер заражен, вы мало что можете с этим поделать, независимо от того, используете вы менеджер паролей или нет. Лучше всего попытаться защитить его от заражения, поэтому используйте антивирус.

TL; DR

Лотерея SMS 2FA отлично подходит для некоторых; шансы в их пользу. Как долго я не знаю, но знаю, что лучше уйти к чему-то лучшему раньше, чем позже.

Обновление

Решение проблемы 2FA для SMS может разворачиваться на наших глазах с использованием зашифрованных сообщений, таких как Signal и WhatsApp.

Многим приложениям для обмена зашифрованными сообщениями не нужен номер телефона, а вместо этого используется имя пользователя. Если больше людей начнут использовать эти приложения, отрасли придется перейти к отправке сообщений через эти приложения или использовать другой вариант.

Само SMS может исчезнуть и быть заменено, потому что люди настаивают на конфиденциальности. Будет интересно посмотреть, к чему это приведет в будущем.

Используете ли вы SMS для двухфакторной аутентификации? Не надо.

Мэтт Эллиотт / CNET

Пандемия коронавируса привела к росту числа хакеров и мошенников, которые охотятся на страхи людей в эти неспокойные времена, от подмены SIM-карт до фишинговых атак, которые выглядят как электронные письма с проверкой стимула.Было бы разумно следить за мошенничеством с коронавирусом, и было бы еще разумнее использовать двухфакторную аутентификацию для защиты своей личной информации и онлайн-аккаунтов. И если вы используете двухфакторную аутентификацию, вам будет разумнее использовать приложение аутентификации, а не получать коды через текст, также известный как SMS.

Использование приложения для аутентификации — беспроигрышный вариант. Это не только безопаснее, чем отправка вам кодов, но и ускоряет процесс входа в систему. Время для быстрого ответа:

Подождите, что такое двухфакторная аутентификация?

Двухфакторная аутентификация (2FA) — также известная как двухэтапная проверка или многофакторная аутентификация — добавляет уровень безопасности к вашим онлайн-аккаунтам, от Amazon, Apple и Google до Facebook, Instagram и Twitter.Вместо того, чтобы вводить только свой пароль для доступа к учетной записи, вам нужно ввести свой пароль — первый фактор проверки — а затем код, отправленный через SMS или запрос через приложение для аутентификации — второй фактор. Это означает, что хакеру потребуется украсть и ваш пароль, и ваш телефон, чтобы взломать вашу учетную запись.

Сейчас играет:
Смотри:

В мире плохих паролей ключ безопасности может быть…

4:11

Итак, зачем отказываться от SMS?

Из-за того простого факта, что получение кодов 2FA через SMS менее безопасно, чем использование приложения для аутентификации. Хакерам удалось обманом заставить операторов перенести номер телефона на новое устройство с помощью операции, называемой заменой SIM-карты. Это может быть так же просто, как знать свой номер телефона и последние четыре цифры номера социального страхования — данные, которые время от времени имеют тенденцию к утечке из банков и крупных корпораций.После того, как хакер перенаправил ваш номер телефона, ему больше не нужен ваш физический телефон, чтобы получить доступ к вашим кодам 2FA.

Кроме того, если вы синхронизируете текстовые сообщения со своим ноутбуком или планшетом, хакер может получить доступ к кодам SMS, уйдя с таким вашим устройством.

Кроме того, есть слабые места в самой системе мобильной связи. В так называемой атаке SS7 хакер может шпионить через систему сотового телефона, прослушивая звонки, перехватывая текстовые сообщения и видя местоположение вашего телефона.

Все вышеперечисленные сценарии — плохая новость для тех, кто получает коды 2FA по SMS.

Что мне использовать вместо этого?

Приложение для аутентификации, такое как Google Authenticator, Microsoft Authenticator или Authy. Его преимущество заключается в том, что вам не нужно полагаться на вашего оператора связи; коды остаются в приложении, даже если хакеру удастся перенести ваш номер на новый телефон. И коды истекают быстро, обычно через 30 секунд или около того. Приложение для аутентификации не только более безопасно, чем SMS, но и работает быстрее; вам нужно только нажать кнопку, чтобы подтвердить свою личность, вместо того, чтобы вручную вводить шестизначный код.

Если у вас есть телефон Android или iPhone с приложением Google Search или Gmail, вы можете настроить запросы Google для получения кодов без необходимости в отдельном приложении для аутентификации. Вы будете получать запросы 2FA в виде push-уведомлений на свой телефон, для подтверждения которых требуется простое касание.

Мэтт Эллиотт / CNET

Нужна ли мне вообще двухфакторная аутентификация, если SMS настолько уязвимы?

Да! Помимо создания надежных паролей и использования разных паролей для каждой из ваших учетных записей, настройка 2FA — лучший шаг, который вы можете сделать для защиты своих учетных записей в Интернете, даже если вы настаиваете на получении кодов через SMS.Двухэтапная проверка через SMS лучше, чем одноэтапная проверка, когда хакеру нужно только получить или угадать ваш пароль, чтобы получить доступ к вашим данным. Не будьте занудой с учетной записью, которая является самой легкой мишенью для хакеров.

Но двухфакторная аутентификация — это хлопот

Это не вопрос, но мой счетчик заключается в том, что это меньше хлопот, если все сделано правильно, и вы получаете коды через подсказки Google или приложение аутентификации, где вам не нужно введите шестизначные коды.Конечно, даже в этом случае это заставляет вас сделать дополнительный шаг — захватить и коснуться телефона после ввода пароля для входа в одну из своих учетных записей. Я бы сказал, однако, что хлопоты второго шага двухфакторной аутентификации бледнеют по сравнению с хлопотами быть взломанными.