Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Время и новая авторизация “Яндекса”
На днях “Яндекс” поторопился запустить новую схему авторизации (которую они называют “двухфакторной”) для своих сервисов. Схема включает смартфон (или другое сходное устройство) и демонстрацию QR-кода браузером (на втором устройстве, с которого и будет происходить логин). Практически сразу обнаружилась архитектурная уязвимость, связанная с хрестоматийным вектором атаки на подобные алгоритмы: опережающим запросом “секрета”, предоставляющего доступ к сервису – описание в публикации на “Хабрахабре”.
Вообще, подобные решения имеют один фундаментальный недостаток: “двухфакторность” убивается тем, что не требуется двойное взаимодействие пользователя с системой авторизации – пользователю нужно бы вводить пароль (это подтверждает намерение авторизоваться), а потом подтверждать его дополнительно (вторым “секретом” или как-то ещё). Но, конечно, автоматическая схема сильно удобнее.
Адрес записки: https://dxdt.ru/2015/02/05/7282/
Похожие записки:
- Реплика: атака посредника в TLS и проблема доверия сертификатам
- Техническое: связь SCT-меток с логами Certificate Transparency
- Модули DH в приложении Telegram и исходный код
- DNS как транспорт для сигналов и данных
- Обновление темы dxdt.ru
- Трафик на тестовом сервере TLS 1.3 и ESNI
- Удостоверяющий центр TLS ТЦИ
- Десятилетие DNSSEC в российских доменах
- Возможное обновление алгоритмов DNSSEC в корне DNS
- Системы счисления и системное администрирование
- Ретроспектива заметок: деанонимизация по географии