Ресурсы: техническое описание TLS, LaTeX - в картинки (img), криптографическая библиотека Arduino, шифр "Кузнечик" на ассемблере AMD64/AVX и ARM64
Время и новая авторизация “Яндекса”
На днях “Яндекс” поторопился запустить новую схему авторизации (которую они называют “двухфакторной”) для своих сервисов. Схема включает смартфон (или другое сходное устройство) и демонстрацию QR-кода браузером (на втором устройстве, с которого и будет происходить логин). Практически сразу обнаружилась архитектурная уязвимость, связанная с хрестоматийным вектором атаки на подобные алгоритмы: опережающим запросом “секрета”, предоставляющего доступ к сервису – описание в публикации на “Хабрахабре”.
Вообще, подобные решения имеют один фундаментальный недостаток: “двухфакторность” убивается тем, что не требуется двойное взаимодействие пользователя с системой авторизации – пользователю нужно бы вводить пароль (это подтверждает намерение авторизоваться), а потом подтверждать его дополнительно (вторым “секретом” или как-то ещё). Но, конечно, автоматическая схема сильно удобнее.
Адрес записки: https://dxdt.ru/2015/02/05/7282/
Похожие записки:
- Автомобили, "подключенные" для сбора данных
- TLS: выбор сертификата по УЦ в зависимости от браузера
- Боты AI
- Техническое: переходим с ECDH на ML-KEM в проекте на Go
- Сообщения и приложения-мессенджеры
- Компиляторы в песочницах и сравнение программ
- "Почти что коллизия" и хеш-функции
- Реплика: номера портов и работа Интернета
- HTTPS-записи в DNS и RFC 9460
- Авария такси-робота в Калифорнии и новые риски
- Адреса DMARC rua в зоне cloudflare.com