Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Время и новая авторизация “Яндекса”
На днях “Яндекс” поторопился запустить новую схему авторизации (которую они называют “двухфакторной”) для своих сервисов. Схема включает смартфон (или другое сходное устройство) и демонстрацию QR-кода браузером (на втором устройстве, с которого и будет происходить логин). Практически сразу обнаружилась архитектурная уязвимость, связанная с хрестоматийным вектором атаки на подобные алгоритмы: опережающим запросом “секрета”, предоставляющего доступ к сервису – описание в публикации на “Хабрахабре”.
Вообще, подобные решения имеют один фундаментальный недостаток: “двухфакторность” убивается тем, что не требуется двойное взаимодействие пользователя с системой авторизации – пользователю нужно бы вводить пароль (это подтверждает намерение авторизоваться), а потом подтверждать его дополнительно (вторым “секретом” или как-то ещё). Но, конечно, автоматическая схема сильно удобнее.
()
Похожие записки:
- TLS для DevOps
- Про цепочки, RSA и ECDSA
- Ретроспектива заметок: деанонимизация по географии
- TLS-сертификаты dxdt.ru
- "Яндекс.Браузер" и российские сертификаты TLS в вебе
- Удостоверяющий центр TLS ТЦИ
- "Пасхалки" в трафике
- Статья: DNS в качестве инструмента публикации вспомогательной информации
- Доверенные программы для обмена сообщениями
- Обновление описания TLS
- Браузеры и перехват TLS без участия УЦ
- Смартфон-шпион: восемь лет спустя
- Интернет-протокол "дымовой завесы"
- "Авторизованный трафик" и будущее Интернета
- Статья о технологии Encrypted Client Hello