Auftakt
Heutzutage sind die Passwörter immer mehr, sbrutforsit und einfache Passwort nicht funktioniert, selbst wenn es von Zeit zu Zeit CAPTCHA aufzutauchen, deren Lösung mit den Indern durch spezielle Dienstleistungen beauftragt werden, Accessibility API für diesen Fall. Allgemein, sorgen für die Sicherheit von komplexeren. Auch bei einem sehr starken und langen Passwort-Auswahl ist möglich, und wenn keine Auswahl, то любой школьник в наше время может додуматься и написать собственный а-ля “троян” или кейлоггер или расширение в браузер, das wird den Überblick über die Seite halten und ziehen Sie Passwörter aus Formularen. Wahrscheinlich, Ich habe soeben das Programm nicht von einem Antivirus abgefangen werden, bis, bis jemand eine böswillige binären nicht zur Überprüfung senden, und die Signatur an der Datenbank hinzugefügt.
СМС – не панацея?
Lassen Sie uns auf Passwörter zurückgeben. Сложные пароли придумывать — это дело непростое, geschweige denn daran erinnern, sie um jeden Preis zu schweigen,. Es gibt eine Lösung, namens Zwei-Faktor-Authentifizierung (2FA), es ist, dass, um in Ihr Konto anmelden, nachdem das übliche Paar Login Eingabe / Passwort angefordert zusätzliche Maßnahmen, наиболее популярно в наши дни — ввод кода с СМС, weil diese Methode der Überprüfung wird in den Bank-Kunden verwenden. Was ist mit dieser Methode ist falsch? es scheint, jeder hat ein Handy, und es ist ein persönliches Werkzeug, so sollte es sicher sein. Jedoch, wenn Sie professionelle Betrüger erwischt, sie werden einen Weg, um Zugang zu Ihrem Telefon finden und ist sehr einfach über Dienstleistungen klettern zu können,, auf dem Ihr Konto mit Ihrem Telefon verbunden, sondern auch Korrespondenz Telegramm vskroyut (Notiz: Telegramm speichert die gesamte Korrespondenz mit Bezug auf eine Telefonnummer. Nur die geheime Korrespondenz wird nicht gespeichert, wenn Sie die Schöpfer glauben). Lesen Sie mehr über die Gefahr in dem Artikel werden auf хабрхабрхабрхабрхабрхабахаб….блабла. Und, übrigens, auf Android-Smartphones können einige Anwendungen SMS-Nachrichten lesen, so können sie leicht abgehört werden, Wenn Sie das Opfer machen eine spezielle Anwendung zu installieren und geben Sie ihm den Zugriff auf SMS.
Software 2FA
Andererseits, SMS ist ziemlich eine gutgläubig Authentifizierungsmethode, aber ob es sich bequem? Und was ist, wenn das Telefon verloren, und der Zugang zu Ihrem Konto eine dringende Notwendigkeit, sich zu? oder, zum beispiel, Sign-in aus dem Keller zu bestätigen, wo weder ein Mobilfunknetz nicht fangen? Viele Dienste sind Unterstützung Zulassungsantrag eingeführt, zum beispiel, Google Authentificator, или Duo. Jedoch, beide Anwendungen sind nicht besonders komfortabel, da es keine Backups machen und auf mehreren Geräten nicht verwendet werden kann,, und fragen nicht nach PIN-Code bei der Eingabe, so gibt es eine große Entscheidung für Software 2FA. Aber vergessen Sie nicht, das Master-Passwort! Und achten Sie darauf, die Sicherungscodes aus dem Dienst zu speichern, irgendwo in gedruckter Form auf Papier in einem Schrank oder Safe (es hängt alles von der Ebene der Paranoia). Gut oder woanders an einem sicheren Ort, aber in dem Fall, dass Sie dieser Ort zur Verfügung steht. Software-Faktor-Authentifizierung bequem, Sie können verwenden Sie die App gern, а также есть возможность использовать аппаратные OTP токены — брелки с USB и/или дисплеем, das zeigt das Passwort ( im Fall von, если дисплея нет — эмулируется USB клавиатура и по нажатию на кнопку брелок сам вводит одноразовый пин-код в поле).
Hardware-Authentifizierung FIDO U2F
Eine FIDO Allianz, bestehend aus Mitgliedern der Google-Organisation, Paypal, Mastercard und andere bekannte Marken, Wir beschlossen, die Ermächtigung durch U2F Universal-Authentifizierung zu vereinfachen. So funktioniert es?
- Der Benutzer wird mit Hilfe der üblichen Login und Passwort authentifiziert
- Der Server sendet eine Anfrage an den Browser
- Der Browser sendet auch eine Anforderung an einen USB-fähigen Token FIDO U2F
- Das wiederum wartet auf einen Knopf oder einen Klick auf den Sensor ( kann sein, PIN-Code-Eingabe, wenn es, als verabreicht pincode) und sendet eine Bestätigung Browser, und der Browser-Server, danach kann der Server-Eintrag
Kaufen und konfigurieren einfach ein Token. wert von 20 vor 50 US $. Самый популярный из них — это Yubico, aber in Russland, Alle Auftritte, nicht mehr zum Verkauf (Sanktionen?). Diese Tokens gehäuft, auch an Bord haben Generatoren OTP, поддержку и Bluetooth NFC, was es ermöglicht, gut zu funktionieren auf Tablets und Smartphones. In Russland ist das Unternehmen Aladdin-RD производит продукт Jakarta U2F, das funktioniert gut auf dieses Protokoll. Ich kaufte mir diese und sofort mit dem Problem der Arbeit in einer Linux-Umgebung konfrontiert ( Ubuntu 14.04, in meinem Fall ). Unter Windows funktionierte alles perfekt. Es stellt sich heraus,, es ist ein Problem der Zugriffsrechte in Linux: Root-Benutzer muss nur die richtigen Geräte zu verwenden,, Erkannt als FIDO Token.
Wir lösen das Problem ist ganz einfach:
- Laden Sie die diese Datei
- Wir haben es in /etc / udev / rules.d /
- vielleicht, sollte speziell auf Ihre ProductID Liste hinzugefügt werden. Dafür
sudo lsusb -l
Wir bekommen die Liste der USB-Geräte in Form idVendor:idProduct. Wir suchen Ihr Gerät aus der Liste und legen Sie die entsprechende idVendor idProduct und in der letzten Zeile der Datei, von jedem verfügbaren kopiert. Nach dem Neustart des Computers direkt in Kraft treten, und es wird möglich sein, ein Token in Google Chrome zu verwenden (und andere Programme, im Auftrag des Benutzers).
Detaillierte Anleitungen dort.
Wo und wie Sie sich bewerben
- Zwei-Faktor: Plugin für Wordpress (OTP поддерживает, Backup-Codes, FIDO U2F) | GitHub Projekt
- Google-Konten (fügen Sie ein Hardware-Token)
- Dropbox (Schlüssel hinzufügen)
- GitHub (Einstellung akkaunta->Sicherheit)
Links zum Thema
- Bestätigung in zwei Schritten in einem Browser mit dem USB-Token U2F
- FIDO U2F - Universal Zwei-Faktor-Authentifizierung. Einführung
- Unterstützte Dienste
- JAKARTA U2F
