Prelude
Қазіргі уақытта парольдер көбейіп кетті, және оңай парольді бұзу оңай, егер кейде капоталар пайда болса, шешімін арнайы қызметтер арқылы үндістерге сеніп тапсыруға болады, бұл жағдайда API қамтамасыз ету. Тұтастай, қауіпсіздікті қамтамасыз ету қиынырақ. Тіпті өте күшті және ұзақ пароль болса да, болжау мүмкін, және таңдау болмаса, то любой школьник в наше время может додуматься и написать собственный а-ля “троян” или кейлоггер или расширение в браузер, ол бетті бақылайды және пішіндерден құпия сөздерді шығарады. мүмкін, дейін жаңа ғана шығарылған бағдарламаны антивирус ұстамайды, біреу қарап шығуға зиянды екілік файлды жібермейінше, және оның қолтаңбасы дерекқорға қосылмайды.
СМС – не панацея?
АҚШ құпия сөздер оралайық. Сложные пароли придумывать — это дело непростое, және оларды толығымен еске түсіру туралы үндемеу керек. Шешім бар, шақырды екі факторлы түпнұсқалық растама (2FA), осында жатыр, тіркелгіңізге кіру үшін әдеттегі логин/пароль жұбын енгізгеннен кейін қосымша әрекет сұралады, наиболее популярно в наши дни — ввод кода с СМС, өйткені бұл банк клиенттері қолданатын растау әдісі. Бұл әдістің Қандай қате? Бұл көрінетін, барлығында телефон бар, және бұл жеке емдеу құралы, сондықтан қауіпсіз болуы керек. Алайда,, егер сіз кәсіби алаяқтарға түссеңіз, олар сіздің телефоныңызға қол жеткізудің жолын табады және қызметтерді өте оңай шарлай алады, тіркелгіңіз телефонмен байланыстырылған жерде, және Telegram корреспонденциясы да ашылады (нота: телефон нөмірі сілтеме жасай отырып жеделхатын жолдады сақтайды барлық хат-хабарларды. Тек құпия хаттар сақталмайды, жасаушылардың айтуынша). зияны туралы Толығырақ туралы мақалада табуға болады хабрхабрхабрхабрхабрхабахаб….блабла. Мен, Айтпақшы, Android смартфондарында кейбір қолданбалар SMS хабарламаларын оқи алады, сондықтан оларды оңай ұстауға болады, егер сіз жәбірленушіні арнайы қолданбаны орнатуға және оған SMS-ке рұқсат беруге мәжбүрлесеңіз.
Бағдарламалық қамтамасыз ету 2FA
Екінші жағынан, SMS - авторизациялаудың сенімді әдісі, бірақ бұл ыңғайлы ма?? Және бұл қалай болуы мүмкін, телефон жоғалса, және сіз өзіңіздің есептік жазбаңызға шұғыл түрде қол жеткізуіңіз керек? Немесе, мысалы, сіз жертөледен тіркелгіңізге кіруді растауыңыз керек, ешбір ұялы желі қабылдай алмайтын жерде? Көптеген қызметтер авторизация қолданбаларына қолдау көрсетуді енгізуде, мысалы, Google Authentificator, немесе Duo. Алайда,, екі қолданба да өте ыңғайлы емес, өйткені олар сақтық көшірме жасамайды және оларды бірнеше құрылғыларда пайдалану мүмкін емес, және кіру кезінде PIN кодты сұрамаңыз, сондықтан тамаша бар шешім бағдарламалық қамтамасыз ету үшін 2FA. Бірақ басты құпия сөзді ұмытып емес! Ал кабинетте қағазда бір жерде баспа түрінде қызметінен сақтық көшірме кодтары сақтаңыз немесе қауіпсіз болуы (ол барлық паранойи деңгейіне байланысты). Немесе қауіпсіз жерде басқа жерде, бірақ бірдеңе болса, бұл орын сізге қолжетімді болуы үшін. Бағдарламаға негізделген екі факторлы аутентификация ыңғайлы, сіз өзіңізге ұнайтын кез келген қолданбаны пайдалана аласыз, а также есть возможность использовать аппаратные OTP токены — брелки с USB и/или дисплеем, ол құпия сөзді көрсетеді ( егер, если дисплея нет — эмулируется USB клавиатура и по нажатию на кнопку брелок сам вводит одноразовый пин-код в поле).
Аппараттық аутентификация FIDO U2F
FIDO альянсының қандай да бір түрі, Google ұйымдарының мүшелерінен тұрады, Paypal, Mastercard және басқа да танымал брендтер, U2F әмбебап аутентификациясы арқылы авторизацияны жеңілдету туралы шешім қабылдады. Бұл қалай жұмыс істейді?
- пайдаланушы кәдімгі логин және пароль арқылы куәландырылған деп есептеледі
- сервер браузер арнайы сауал жолдап
- браузер сондай-ақ USB-қосылған белгісі FIDO U2F сұрау жібереді
- өз кезегінде бұл сенсор туралы түйменің немесе басу күтіп тұр ( мүмкін, PIN кодын енгізу, бар болса, PIN кодын қалай енгізу керек) және браузерге растауды жібереді, және браузер серверге, содан кейін сервер кіруге рұқсат береді
оңай токен сатып алу және конфигурациялау. құны 20 бұрын 50 АҚШ $. Самый популярный из них — это yubico, дегенмен Ресейде, болатын сияқты, енді сатылмайды (санкциялар?). Бұл белгілер сәнді, бортында OTP генераторлары да бар, Bluetooth және NFC қолдауы, Бұл планшеттер мен смартфондарда да жұмыс істеуге мүмкіндік береді. Ресей, компанияның Aladdin-RD JaCarta U2F өнімін шығарады, бұл протоколда жақсы жұмыс істейді. Мен бұл өзім сатып алып дереу Linux ортада жұмыс проблемасына тап ( Ubuntu 14.04, менің жағдайда ). Windows, барлығы өте жақсы жұмыс істеді. Ол шықты, Бұл Linux жүйесіндегі рұқсат мәселесі.: тек түбірлік пайдаланушы құрылғыларды пайдалануға құқылы, FIDO белгісі ретінде анықталады.
Біз мәселе өте қарапайым шешу:
- Бұл қотару файл
- Біз оны салып /және т.б. / Udev / rules.d /
- мүмкін, тізімге нақты өнім идентификаторын қосқан жөн. Осыған
sudo lsusb -l
Біз түрінде USB құрылғылар тізімін алу idVendor:idProduct. Құрылғыңызды тізімнен іздейміз және сәйкес idVendor және idProduct файлдарын соңғы жол ретінде осы файлға енгіземіз., бар кез келгенінен көшірілген. Компьютерді қосқаннан кейін, оң күшіне енеді және ол Google Chrome бойынша токен пайдалануға болады (және басқа бағдарламаларда, пайдаланушының атынан жұмыс істейді).
Толық нұсқаулар ана жерде.
Қайда және қалай қолдануға
- Екі факторлы: WordPress арналған плагин (OTP қолдайды, Сақтық көшірме кодтары, FIDO U2F) | GitHub жоба
- Google Есеп (аппараттық таңбалауыш қосу)
- Dropbox (пернелерін қосу)
- GitHub (akkaunta- орнату>қауіпсіздік)
Сілтемелер
- USB-токен U2F пайдаланып шолғышта екі қадамдық тексеру
- FIDO U2F - әмбебап екі факторлы түпнұсқалық растама. кіріспе
- Қолдау қызметтер
- ДЖАКАРТА U2F
