Prelude
Қазіргі уақытта парольдер көбейіп кетті, және оңай парольді бұзу оңай, егер кейде капоталар пайда болса, шешімін арнайы қызметтер арқылы үндістерге сеніп тапсыруға болады, бұл жағдайда API қамтамасыз ету. Тұтастай, қауіпсіздікті қамтамасыз ету қиынырақ. Тіпті өте күшті және ұзақ пароль болса да, болжау мүмкін, және таңдау болмаса, онда қазіргі кез келген мектеп оқушысы бір идеяны ойлап тауып, өзі а ла жаза алады “Троян” немесе keylogger немесе браузер кеңейтімі, ол бетті бақылайды және пішіндерден құпия сөздерді шығарады. мүмкін, дейін жаңа ғана шығарылған бағдарламаны антивирус ұстамайды, біреу қарап шығуға зиянды екілік файлды жібермейінше, және оның қолтаңбасы дерекқорға қосылмайды.
SMS – емес панацея?
АҚШ құпия сөздер оралайық. ойлап кешенді парольдер — бұл оңай іс емес, және оларды толығымен еске түсіру туралы үндемеу керек. Шешім бар, шақырдыекі факторлы түпнұсқалық растама (2FA), осында жатыр, тіркелгіңізге кіру үшін әдеттегі логин/пароль жұбын енгізгеннен кейін қосымша әрекет сұралады, қазіргі кездегі ең танымал — SMS-тен кодты енгізу, өйткені бұл банк клиенттері қолданатын растау әдісі. Бұл әдістің Қандай қате? Бұл көрінетін, барлығында телефон бар, және бұл жеке емдеу құралы, сондықтан қауіпсіз болуы керек. Алайда,, егер сіз кәсіби алаяқтарға түссеңіз, олар сіздің телефоныңызға қол жеткізудің жолын табады және қызметтерді өте оңай шарлай алады, тіркелгіңіз телефонмен байланыстырылған жерде, және Telegram корреспонденциясы да ашылады (нота: телефон нөмірі сілтеме жасай отырып жеделхатын жолдады сақтайды барлық хат-хабарларды. Тек құпия хаттар сақталмайды, жасаушылардың айтуынша). зияны туралы Толығырақ туралы мақалада табуға болады xaʙrxaʙrxaʙrxaʙrxaʙrxaʙaxaʙ….BLABLA. Мен, Айтпақшы, Android смартфондарында кейбір қолданбалар SMS хабарламаларын оқи алады, сондықтан оларды оңай ұстауға болады, егер сіз жәбірленушіні арнайы қолданбаны орнатуға және оған SMS-ке рұқсат беруге мәжбүрлесеңіз.
Бағдарламалық қамтамасыз ету 2FA
Екінші жағынан, SMS - авторизациялаудың сенімді әдісі, бірақ бұл ыңғайлы ма?? Және бұл қалай болуы мүмкін, телефон жоғалса, және сіз өзіңіздің есептік жазбаңызға шұғыл түрде қол жеткізуіңіз керек? Немесе, мысалы, сіз жертөледен тіркелгіңізге кіруді растауыңыз керек, ешбір ұялы желі қабылдай алмайтын жерде? Көптеген қызметтер авторизация қолданбаларына қолдау көрсетуді енгізуде, мысалы, Google Authentificator, немесе Duo. Алайда,, екі қолданба да өте ыңғайлы емес, өйткені олар сақтық көшірме жасамайды және оларды бірнеше құрылғыларда пайдалану мүмкін емес, және кіру кезінде PIN кодты сұрамаңыз, сондықтан тамаша бар шешім бағдарламалық қамтамасыз ету үшін 2FA. Бірақ басты құпия сөзді ұмытып емес! Ал кабинетте қағазда бір жерде баспа түрінде қызметінен сақтық көшірме кодтары сақтаңыз немесе қауіпсіз болуы (ол барлық паранойи деңгейіне байланысты). Немесе қауіпсіз жерде басқа жерде, бірақ бірдеңе болса, бұл орын сізге қолжетімді болуы үшін. Бағдарламаға негізделген екі факторлы аутентификация ыңғайлы, сіз өзіңізге ұнайтын кез келген қолданбаны пайдалана аласыз, сонымен қатар аппараттық OTP таңбалауыштарын пайдалануға болады — USB және/немесе дисплейі бар кілттер, ол құпия сөзді көрсетеді ( егер, дисплей болмаса — USB пернетақтасын эмуляции және батырмасы негізгі брелок өзі басу саласындағы бір реттік PIN кодын енгізеді).
Аппараттық аутентификация FIDO U2F
FIDO альянсының қандай да бір түрі, Google ұйымдарының мүшелерінен тұрады, Paypal, Mastercard және басқа да танымал брендтер, U2F әмбебап аутентификациясы арқылы авторизацияны жеңілдету туралы шешім қабылдады. Бұл қалай жұмыс істейді?
- пайдаланушы кәдімгі логин және пароль арқылы куәландырылған деп есептеледі
- сервер браузер арнайы сауал жолдап
- браузер сондай-ақ USB-қосылған белгісі FIDO U2F сұрау жібереді
- өз кезегінде бұл сенсор туралы түйменің немесе басу күтіп тұр ( мүмкін, PIN кодын енгізу, бар болса, PIN кодын қалай енгізу керек) және браузерге растауды жібереді, және браузер серверге, содан кейін сервер кіруге рұқсат береді
оңай токен сатып алу және конфигурациялау. құны 20 бұрын 50 АҚШ $. Олардың ең танымал — бұларyubico, дегенмен Ресейде, болатын сияқты, енді сатылмайды (санкциялар?). Бұл белгілер сәнді, бортында OTP генераторлары да бар, Bluetooth және NFC қолдауы, Бұл планшеттер мен смартфондарда да жұмыс істеуге мүмкіндік береді. Ресей, компанияның Aladdin-RD JaCarta U2F өнімін шығарады, бұл протоколда жақсы жұмыс істейді. Мен бұл өзім сатып алып дереу Linux ортада жұмыс проблемасына тап ( Ubuntu 14.04, менің жағдайда ). Windows, барлығы өте жақсы жұмыс істеді. Ол шықты, Бұл Linux жүйесіндегі рұқсат мәселесі.: тек түбірлік пайдаланушы құрылғыларды пайдалануға құқылы, FIDO белгісі ретінде анықталады.
Біз мәселе өте қарапайым шешу:
- Бұл қотару файл
- Біз оны салып/және т.б. / Udev / rules.d /
- мүмкін, тізімге нақты өнім идентификаторын қосқан жөн. Осыған
sudo lsusb -l
Біз түрінде USB құрылғылар тізімін алу idVendor:idProduct. Құрылғыңызды тізімнен іздейміз және сәйкес idVendor және idProduct файлдарын соңғы жол ретінде осы файлға енгіземіз., бар кез келгенінен көшірілген. Компьютерді қосқаннан кейін, оң күшіне енеді және ол Google Chrome бойынша токен пайдалануға болады (және басқа бағдарламаларда, пайдаланушының атынан жұмыс істейді).
Толық нұсқаулар ана жерде.
Қайда және қалай қолдануға
- Екі факторлы: WordPress арналған плагин (OTP қолдайды, Сақтық көшірме кодтары, FIDO U2F) | GitHub жоба
- Google Есеп (аппараттық таңбалауыш қосу)
- Dropbox (пернелерін қосу)
- GitHub (akkaunta- орнату>қауіпсіздік)
Сілтемелер
- USB-токен U2F пайдаланып шолғышта екі қадамдық тексеру
- FIDO U2F - әмбебап екі факторлы түпнұсқалық растама. кіріспе
- Қолдау қызметтер
- ДЖАКАРТА U2F
