Új hozzászólás Aktív témák
-
Ribi
nagyúr
De mi lenne a megoldás? Több faktor jobb?
Vagy csak szimplán a most használatos második faktor a gyenge, mert akkor azt írd.(#13) Akkor azt kérdezd, mert magában két faktoros azonosítás nem lesz elavult. Attól függ mi a második faktor. Sms azonosítással mi a gond?
Én nem hallottam, hogy ezeket rutin szerűen kijátszanák.[ Szerkesztve ]
-
Ribi
nagyúr
Clear textben küldött kód tény, hogy nem a legjobb, de ezen felül még kell pár dolog, hogy ezt ki is használják.
Pont ahogy a http-t is kerülik, az SMS-t is valszeg ki akarják emiatt vezetni. De ettől ez a cikk még nem a rutinszerű kihasználásáról szól, hanem a technológiájáról. Legtöbbször mégsem az SMS-ben küldés lesz a gond, hanem hogy Pistike hátul 3x húzza le a kártyát, vagy a pinnel együtt lopják el a kártyát. Ezen pedig más faktor se segít, amíg ott a pin használatának lehetősége.Mindent ki lehet játszani, ezeken a 8 faktor se segít. Amikor már a gépeden csücsülnek akkor hiába a faktor. Azon csak a vírus irtó segít. Szóval ez így megint nem releváns.
[ Szerkesztve ]
-
Xpod
addikt
És ez hogy oldja meg a 2FA problémát, amit írtál? Így max kevesebb pénzzel tudnak lenyúlni, cserébe fizethetsz még egy számlavezetési díjat + esetleg még utalási díjat is, mert a vásárlós számlára valahogy pénzt kell tenned a normál számláról.
Egyébként sem értem teljesen a dolgot. Ha lehallgatják az SMS forgalmat, mégis honnan fogják tudni, hogy az egy banki fizetéshez egy token kód, és pont az enyém?
Max akkor, ha a támadó konkrétan tudja, hogy mit csinálok, és milyen számra várom a kódot. Ha pedig ezt a 2 dolgot tudja, akkor konkrétan bent van a gépemen és a telefonomban. Ebben az esetben már tök mindegy, hogy titkosítva jön az SMS vagy sem.Nem kell minden baromságot leszedni store-ból, nem kell minden hülye linkre rákattintani, és kártya adatot meg csak banki oldalon adunk meg. (természetesen az URL-t is ellenőrizni kell minden esetben) Ezzel kb 99%-át ki is védtük a csalásoknak, támadásoknak.
Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.
-
Shyciii
veterán
Bocs, de amit írtál az igencsak nagy ferdítés. Az hogy a 2 faktor rosszabb, mint az egy, az nettó baromság. Az általad bevágott részlet sem azt mondja, hogy szar az sms, hanem hogy mást javasolnak, de nem azért, mert rossz, hanem mert kényelmetlen. Pl a Google Auth program használata mérföldekkel kényelmesebb és gyorsabb, vagy pl a Revolut ujjlenyomatazonosítása. SMS-t sem lehet csak úgy kijátszani malware ide vagy oda akármit linkelsz be, mert pl anno amikor még a Budapest Bank-nál voltam, akkor az SMS-ben kiküldött kód második faktor gyanánt 30mp-ig élt, és utána inaktívvá vált, szal elkaphatja akármi, semmit nem fog érni vele. A másik, hogy az én gépemen levő malware mi alapján kerüli meg a 2 faktort? Főleg hogy a 2 faktort nem a gépem igényli, hanem a szolgáltató, tehát tökmindegy mivel van fertőzve az én gépem.
Amúgy a linked: "Szerencsére ennek a technikának is megvannak a határai: a támadók "csak" az értesítés terjedelmének megfelelő szöveghez férnek hozzá, így nem garantált, hogy ez a rész tartalmazza az egyszer használatos jelszavakat."
No meg aki egy appnak minden hozzáférést megad, az meg is érdemli.
[ Szerkesztve ]
-
Xpod
addikt
El olvasva a linkelt cikket, az akkor működik, ha valaki van olyan hülye, hogy ugyanazon a telefonon jelentkezik be a pénzügyi alkalmazásba, amire a token fel van rakva, vagy amire az SMS érkezik.
Ha mindkét faktor ugyanazon a készüléken van, akkor az egész semmit nem ér.
És ha jól gondolom, akkor a többi cikk is ilyen lehet, amire hivatkozol, hogy a 2FA feltörhető.
Ha így nézzük, akkor a harvderes token, csak annyival jobb, hogy fizikailag külön eszköz. Ha akarnád sem tudnád a két hitelesítést egy eszközben használni.
"Így van, kockázatcsökkentés. Így már nyugodtan vásárolhatsz neten, picit drágább, de megéri. Évi kb. 5000 forintba kerül."
Ez azért jóval több is lehet. Számlavezetési díj, utalás számlák között, bankkártya éves díja, a kényelmetlenség, hogy mielőtt vásárolsz fel kell tölteni a számlát. Ha valaki arra nem figyel, hogy a 2FA két külön eszközön legyen megvalósítva, akkor biztos nem fog 2 számlát és két bankkártyát használni.Shyciii #38 "A kamu oldallal az a gond, hogy a címsorban látod, hogy nem a megszokott oldalon vagy. A másik, hogy a Chrome, de szerintem a Firefox-ban is van már olyan védelem, hogy egy tök más átirányított oldalra kerülsz, vagy kamu oldalon vagy amit már egyszer bejelentettek, akkor visít a böngésző. A Brave browserem mobilon meg pláne azonnal visít."
Ahogy írtad is, csak akkor jelez, ha bejelentett támadó / adathalász a weboldal. Ahhoz, hogy valaki bejelentse azért eltelik nem kis idő, és addig jó pár embert le lehet nyúlni. Az utóbbi időben jó pár oldallal ami nagyon jól meg volt szerkesztve. Sok ráadásul magyarul volt (OTP, Posta, Telekom), így nem hiszem, hogy túl sok bejelentés érkezett volna, hogy "heló, felnyomták az oldaladat, és most épp phising oldalt üzemeltetsz, jó lenne ha csinálnál valamit".
[ Szerkesztve ]
Most kezdődjék a tánc! - mondta a papagáj és berepült a ventilátorba.
-