LINUX.ORG.RU

Используете ли вы двухфакторную аутентификацию для облачных сервисов или своих машин?

 ,


0

3
  1. Не использую498 (56%)

    ********************************************************************************************************************************************************************************************************************************************************************************************************************************

  2. СМС305 (34%)

    ***************************************************************************************************************************************************************************************************

  3. Приложение-генератор кодов189 (21%)

    *************************************************************************************************************************

  4. Аппаратный ключ33 (4%)

    *********************

  5. Другое25 (3%)

    ****************

  6. Устройство-генератор кодов23 (3%)

    **************

  7. Голосовой звонок15 (2%)

    *********

Всего голосов: 1088, всего проголосовавших: 885

Использовал бы аппаратный ключ, но им я не доверяю.

А вообще, авторизации по паролю (или по GPG) вполне хватает пока.

r3lgar ★★★★ ()

Да. И лучше, чтобы это был обычный TOTP, а не своя поделка.

Anakros ★★★★ ()

смс и звонок (забыл отметить) - для доступа к приват24. А так вроде не особо.

PunkoIvan ()

Предпочитаю Authy, но к сожалению нередко приходится использовать SMS.

olibjerd ★★★★★ ()

С двухфакторной авторизацией по SMS у нас вот так дела обстоят, если кто пропустил.

droserasprout ★★ ()

а) У меня, к сожалению, нет данных, которые надо хранить с особо изощрённой паранойей.

б) Двухфакторная авторизация кажется мне такой фишкой, позволяющей возвести в квадрат шансы потерять доступ, а прирост безопастности при этом много меньше 2 раз.

kirill_rrr ★★★★★ ()

Почему-то нет варианта «Код подтверждения по почте». Самая классическая двухфакторка.

Indexator ★★★ ()
Ответ на: комментарий от droserasprout

Разве там реально двухфакторная? В двухфакторной перехват только смс ничего не должен позволять сделать.

sholom ()
Ответ на: комментарий от sholom

У них-то двухфакторная не была включена, лол. В телеграме основной способ - код в SMS или активных клиентах, а пароль опционален (на самом деле нет). Вообще да, странное решение.

droserasprout ★★ ()

Использую otp через приложение на гитхабе.

Klymedy ★★★★★ ()
Ответ на: комментарий от Klymedy

Ты же не пользуешься гнусными проприетарными сервисами?

Anakros ★★★★ ()
Ответ на: комментарий от Anakros

двухфакторная авторизация вроде не для упрощения придмана, а для большей безопастности.

kirill_rrr ★★★★★ ()
Ответ на: комментарий от kirill_rrr

Поэтому совсем не понятна мысль возведения в квадрат шансов потерять доступ.

Anakros ★★★★ ()
Ответ на: комментарий от Anakros

Можно потерять доступ как по первому фактору, так и по второму. Если потерять хотя бы один из них, то проблемы с доступом. Допустим и по первому и по второму шанс 1%. Тогда суммарный шанс потерять доступ 1-(0,99*0,99)=1,99%

kirill_rrr ★★★★★ ()

Не использую и даже избегаю, где это только возможно. Рост шанса потери доступа превалирует над мизерным (и эфемерным) приростом безопасности.

Самый тупой метод, которым приходилось пользоваться — голосовой звонок (в офисное время), что бы тебе продиктовали чиселки с генератора.

beastie ★★★★★ ()
Ответ на: комментарий от beastie

Это решается менеджером паролей (в случае одноразовых паролей или TOTP)

Anakros ★★★★ ()
Последнее исправление: Anakros (всего исправлений: 1)
Ответ на: комментарий от beastie

Не использую и даже избегаю, где это только возможно. Рост шанса потери доступа превалирует над мизерным (и эфемерным) приростом безопасности.

+1

Psych218 ★★★★★ ()
Ответ на: комментарий от kirill_rrr

возвести в квадрат шансы потерять доступ

ты же в курсе, что при возведении в квадрат числа 0<x<1, оно уменьшается?

MyTrooName ★★★★★ ()

Не использую. Из всех вариантов согласился бы использовать только подтверждение по e-mail, если бы ключ верификации шифровался бы моим публичным GPG-ключем.

Chaser_Andrey ★★★★★ ()

Для личных — не использую; для рабочих — использую, так как компания требует. Приложение, на Apple Watch.

Miguel ★★★★★ ()
Ответ на: комментарий от droserasprout

В дополнение к тому что уже написали выше, вот мне интересно а сами поциенты-то как об этом узнали? Телеграмом не пользуюсь, поэтому прошу пояснить как обычный юзвер может об этом узнать?

anc ★★★★★ ()

Другое

Нужно было написать «ненужно» :)

quickquest ★★★★★ ()

Почти нигде не использую, лень. Только в гугле недавно включил по SMS, ну и в стиме ещё, через приложение для ведроида.

Axon ★★★★★ ()

Раньше заказчик требовал использовать аппаратный SecurID токен, потом на это дело положили.

good_riddance ()
Ответ на: комментарий от MyTrooName

В курсе. Сильно упрощённо сказал, там не квадрат а произведение разностей с единицей. И зависимость нелинейная, где то будет опережать, где то отставать от суммы. И если ничего не путаю, то 100% шанса не будет до тех пор, пока по одному из факторов не окажется 100%.Давно эта алгебра и вероятности были...

kirill_rrr ★★★★★ ()
Ответ на: комментарий от postman_

Началось. Я уже исправить не могу, видно печатал быстро вопрос и не заметил что написал

vertexua ★★☆☆☆ ()
Ответ на: комментарий от Indexator

Я такое видел только на WebMoney, когда доступ восстанавливал. Письмо шло недели две-три. Слишком долго для повседневного использования.

batekman ★★★ ()
Ответ на: комментарий от batekman

В Steam широко применяется, если с другого браузера заходишь. Приходит мгновенно.

Indexator ★★★ ()
Последнее исправление: Indexator (всего исправлений: 1)

Для онлайн банка смс приходит, и еще от нескольких сайтов на почту одноразовые пароли приходят. Больше всего от включения двухфакторной авторизации останавливают непонятки с процедурой ее отключения при потери номера и т.д.

Solonix ★★ ()
Ответ на: комментарий от kirill_rrr

Прироста безопасности может и не быть вовсе, если аутентификацию делать неправильно. Те же СМС с кодом, отправляемым для двухфакторной аутентификации мобильного приложения и использующие тот же канал передачи данных, что и само приложение. Или СМС от банка номером подтверждения платежа, которые не содержат информации о том, что это за платёж, что позволяет злоумышленникам либо просто выставить оплату на другую сумму, либо вообще оплатить другую услугу.

siraenuhlaalu ()
Ответ на: комментарий от droserasprout

Это не только у нас. Для этого даже МТС не нужен, достаточно ss7-линка.

siraenuhlaalu ()
Ответ на: комментарий от tiandrey

У меня везде завелся, и на Ubuntu и на ChromeOS, кроме Gentoo+systemd, несмотря на то что я добавил udev правило. И очень сложно понять что ему все-таки не хватает

vertexua ★★☆☆☆ ()
Ответ на: комментарий от vertexua

Чему там заводиться-то? О_о

Обычная USB HID-клавиатура, работает искаропки без всяких кастомных правил udev; проверяй дрова:

hid-generic 0003:1050:0010.001B: input,hidraw4: USB HID v1.11 Keyboard [Yubico Yubico Yubikey II] on usb-0000:00:14.0-1/input0

tiandrey ★★★★ ()
Последнее исправление: tiandrey (всего исправлений: 2)
Ответ на: комментарий от vertexua

Ну ты расскажи тогда подробнее, что у тебя происходит. Логи dmesg покажи и так далее.

tiandrey ★★★★ ()
Ответ на: комментарий от tiandrey

Я сейчас не на той машине.

Скажи, вот если у тебя все работает, то есть read (и может write) доступ к /dev/hidraw* устройствам?

https://github.com/Yubico/libu2f-host/blob/master/70-u2f.rules

Вот udev правила, которые они требуют, которые по идее дают доступ к ним, у меня они не срабатывают и из под юзера получаю Permission denied если пытаюсь сделать cat. Не то чтобы я был уверен что именно такой read доступ требовался. Например пруфцов ошибки, например в логах хрома, у меня нету, там вообще тихо. Но регистрация ключа в гугле все равно зависает именно на этой Gentoo машине.

vertexua ★★☆☆☆ ()
Ответ на: комментарий от siraenuhlaalu

Ну, SMS это да. Тум где то в начале была ссылка на историю 2-х оппозиционеров. Что бы они из себя не представляли, описанная атака выглядит простой и вполне реальной. Надо только заинтересовать кого то, кто может дать админу взятку в ползарплаты.

kirill_rrr ★★★★★ ()
Последнее исправление: kirill_rrr (всего исправлений: 1)

СМС
Приложение-генератор кодов

cipher ★★★★★ ()
Ответ на: комментарий от vertexua

Права 660. А зачем тебе прямой доступ от пользователя к этой штуке? Она же генератор OTP, нажал - оно сгенерировало пароль, выплюнуло его, как будто ты на клавиатуре кнопки понажимал. Прошить своим ключом от рута можно.

tiandrey ★★★★ ()
Ответ на: комментарий от tiandrey

Похоже моя не так работает. Если я просто активизирую консоль и попытаюсь ее вставить (это дешевая модель, срабатывает только один раз после вставления, кнопок нету), то ничего не будет введено. Походу оно именно общается с USB

vertexua ★★☆☆☆ ()
Ответ на: комментарий от vertexua

hardware second factor

Видимо, у тебя это всё же типа аппаратного ключа. У меня это генератор одноразовых паролей.

YubiKey 4 offers strong authentication via Yubico one-time passwords (OTP), FIDO Universal 2nd Factor (U2F), and smart card (PIV, OpenPGP, OATH-TOTP, and OATH-HOTP) — all with a simple touch of a button

Вот, юбикей может и как OTP работать, и как U2F. Мы его именно как OTP используем.

tiandrey ★★★★ ()
Последнее исправление: tiandrey (всего исправлений: 1)
Ответ на: комментарий от tiandrey

Да, я видел такие. Считается что OTP можно фишнуть. А каким-то образом аппаратный ключ нельзя, деталей не скажу, так как сам пока не читал подробно

vertexua ★★☆☆☆ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.