Preludio
Hoy en día, las contraseñas son cada vez más, sbrutforsit y fácil de contraseña no funciona, incluso si es a surgir de vez en vez de CAPTCHA, cuya solución se le puede confiar a los indios a través de servicios especiales, API de accesibilidad para este caso. En general, garantizar la seguridad de más complejo. Incluso con una selección de la contraseña muy fuerte y es posible, y si no hay selección, то любой школьник в наше время может додуматься и написать собственный а-ля “троян” или кейлоггер или расширение в браузер, que mantendrá un registro de la página y extraer las contraseñas de las formas. Lo más probable, Acabo de lanzar el programa no será interceptada por ningún antivirus hasta, hasta que alguien no envía un binario malicioso para su revisión, y la firma no se agrega a la base de datos.
СМС – не панацея?
Volvamos a las contraseñas. Сложные пароли придумывать — это дело непростое, а уж про их запоминание вообще стоит промолчать. Существует решение, называемое autenticación de dos factores (2FA), заключается оно в том, что для входа в аккаунт после ввода обычной пары логин/пароль запрашивается дополнительное действие, наиболее популярно в наши дни — ввод кода с СМС, поскольку именно этот способ подтверждения используется в банк-клиентах. ¿Qué pasa con este método? Казалось бы, у каждого есть телефон, и он является личным средством, поэтому должно быть безопасным. Sin embargo,, если же вы попадетесь профессиональным мошенникам, те найдут способ получить доступ к вашему телефону и крайне легко смогут полазить по сервисам, на которых ваш аккаунт привязан к телефону, а еще и переписку Telegram вскроют (nota: Telegrama almacena toda la correspondencia con referencia a un número de teléfono. Только секретные переписки не сохраняются, если верить создателям). Leer más en el peligro se puede encontrar en el artículo sobre хабрхабрхабрхабрхабрхабахаб….блабла. Y, de paso, на смартфонах Android некоторые приложения могут читать смс сообщения, поэтому их можно легко перехватить, если заставить жертву установить специальное приложение и дать ему доступ к СМС.
2FA software
С другой стороны, SMS является довольно надеждным способом авторизации, но вот удобен ли он? И как же быть, если телефон утерян, а доступ к аккаунту получить нужно срочно? Или, por ejemplo, нужно подтвердить вход в аккаунт из подвала, где ни одна сотовая сеть не ловит? Многие сервисы вводят поддержку приложений авторизации, por ejemplo, Google Authentificator, или Duo. Sin embargo,, оба приложения не особо удобны, поскольку не делают бэкапов и невозможно использовать на нескольких устройствах, и не просят пинкода при входе, поэтому есть отличное decisión 2FA de software. Pero no se olvide la contraseña maestra! Y asegúrese de almacenar los códigos de seguridad del servicio en algún lugar en forma impresa en papel en un armario o caja fuerte (todo depende del nivel de paranoia). Ну либо еще где-то в надежном месте, но чтобы в случае чего для вас это место было доступно. Программная двухфакторная аутентификация удобна, можно использовать любое понравившееся приложение, а также есть возможность использовать аппаратные OTP токены — брелки с USB и/или дисплеем, на котором отображается пароль ( в случае, если дисплея нет — эмулируется USB клавиатура и по нажатию на кнопку брелок сам вводит одноразовый пин-код в поле).
la autenticación de hardware FIDO U2F
Некий альянс FIDO, состоящий из членов организаций Google, Paypal, Mastercard и других известных брендов, решили упростить авторизацию посредством универсальной аутентификации U2F. ¿Cómo funciona??
- El usuario se autentica mediante el inicio de sesión usual y contraseña
- El servidor envía una solicitud especial al navegador
- El navegador también envía una solicitud a un contador FIDO U2F compatible con USB
- Que a su vez está a la espera de un botón o hacer clic en el sensor ( puede ser, ввод пинкода, если там есть, чем вводить пинкод) и отправляет подтверждение браузеру, а браузер серверу, после чего сервер разрешает вход
Compra y configurar fácilmente un contador. por valor de 20 antes de 50 US $. Самый популярный из них — это Yubico, однако в России, судя по всему, больше не продается (sanciones?). Эти токены навороченные, также на борту имеют OTP генераторы, поддержку Bluetooth и NFC, что дает возможность работать также на планшетах и смартфонах. En Rusia, la compañía Aladdin-RD производит продукт JaCarta U2F, который отлично работает по этому протоколу. Me he comprado esto y de inmediato se encontraban con el problema del trabajo en un entorno Linux ( Ubuntu 14.04, en mi caso ). En Windows, todo funcionaba perfectamente. Resulta, это проблема прав доступа в линукс: только рут пользователь имеет право пользоваться устройствами, определившимися как FIDO token.
Solucionamos el problema es bastante simple:
- Descargar el este expediente
- Ponemos en /etc / udev / rules.d /
- tal vez, стоит добавить конкретно ваш ProductID в список. para este
sudo lsusb -l
Obtenemos la lista de dispositivos USB en forma idVendor:idProduct. Ищем свой девайс в списке и вставляем соответствующие idVendor и idProduct в тот файл последней строкой, скопированной из любой имеющейся. Después de reiniciar el equipo, haga entrará en vigor y será posible utilizar un token en Google Chrome (и в других программах, работающих от имени пользователя).
Las instrucciones detalladas ya está.
¿Dónde y cómo aplicar
- De dos factores: Plugin para WordPress (поддерживает OTP, Backup Codes, FIDO U2F) | GitHub proyecto
- Cuentas de Google (añadir un token de hardware)
- Dropbox (agregar claves)
- GitHub (establecer akkaunta->Seguridad)
Enlaces relacionados
- la verificación de dos pasos en un navegador utilizando el U2F-token USB
- FIDO U2F - autenticación de dos factores universal. introducción
- servicios soportados
- YAKARTA U2F
