Время и новая авторизация “Яндекса”
На днях “Яндекс” поторопился запустить новую схему авторизации (которую они называют “двухфакторной”) для своих сервисов. Схема включает смартфон (или другое сходное устройство) и демонстрацию QR-кода браузером (на втором устройстве, с которого и будет происходить логин). Практически сразу обнаружилась архитектурная уязвимость, связанная с хрестоматийным вектором атаки на подобные алгоритмы: опережающим запросом “секрета”, предоставляющего доступ к сервису – описание в публикации на “Хабрахабре”.
Вообще, подобные решения имеют один фундаментальный недостаток: “двухфакторность” убивается тем, что не требуется двойное взаимодействие пользователя с системой авторизации – пользователю нужно бы вводить пароль (это подтверждает намерение авторизоваться), а потом подтверждать его дополнительно (вторым “секретом” или как-то ещё). Но, конечно, автоматическая схема сильно удобнее.
Адрес записки: https://dxdt.ru/2015/02/05/7282/
Похожие записки:
- Rowhammer-атака и код сравнения с нулём
- Обновление темы dxdt.ru
- Модули DH в приложении Telegram и исходный код
- TLS и подмена сертификата на jabber.ru
- Влияние систем ИИ на процессы в мире
- Стандарты NIST для "постквантовых" криптосистем
- Полностью зашифрованные протоколы и DPI-блокирование
- Автоматизация ИИ-агентов и атаки
- TLS 1.3 и постквантовые криптосистемы
- Неверные обобщения "принципа Керкгоффса"
- Новые риски: автомобили-роботы в такси