Aktív témák

• #745 hajbazer csendes újonc Egon #735

  2025-01-18 20:13:34 #745

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  hajbazer

  csendes újonc

  válasz Egon #735 üzenetére

  Az SMS nem a leggyengébb kétfaktor. Pont olyan "erős", mint bármelyik második faktor, csak jól kell tudni használni. Ráadásul az elmúlt 30 év összes mobilkészülékével kompatíbilis, így nem hoz magával újravásárlási kényszert, vagy tesz függővé tech-multik infrastruktúrájától, mint a Google által erőltetett RCS vagy az Apple iMessage.

  A SIM-swap támadást csak szolgáltatóhoz beépített ember tudja elvégezni, tehát elsőként el kéne érni, hogy bűnszervezetek tagjait telekommunikációs cégekhez nem vesszük fel dolgozni. Emellett, korlátozni kéne az ilyen-olyan adminisztrátorok jogosultságait, akár törvényi erővel, ha ezt a szolgáltatók nem hajlandóak maguktól megtenni. A SIM-swap gyakorlatilag egyenértékű azzal, amikor a bankszámládról egy banki adminisztrátor az azonosításod nélkül elutalgat pénzt bűnözőknek. És akkor lehet mutogatni a GIRO rendszerre, meg XY bankra, hogy az milyen gyenge™, miközben nem a gyökerénél kezeltük a problémát. Csak ugye a bankokra már szigorúbb törvények vonatkoznak, így ők is kénytelenek megválogatni, hogy kit vesznek fel és milyen hozzáféréseket adnak nekik. A SIM-swapping támadások tehát nem az SMS gyengeségét mutatják, hanem a mobilszolgáltatók szabályozatlanságát és jogosultságkezelési hiányosságait.

  Azt kellene megértenie (mindenkinek), hogy az EU célja a kétfatoros azonosítás kikényszerítésével annyi volt, hogy ne lehessen már szanaszéjjel hekkelni az "12345678", "password" és egyéb "okos" jelszót használó tömegek accait...

  Ezt mindenki megérti, akinek valamennyi köze van az informatikához. Amit már kevésbé értünk meg, az az, hogy második faktornak miért nem az amúgy legelterjedtebb SMS-t hozták be, ami a banki szektorban már bizonyított? Miért kellett elkezdeni külföldi, megbízhatatlan oldalak ajánlgatásával bénázni? Amivel amúgy gyakorlatilag egyfaktorossá tesszük a bejelentkezést, hiszen biztonsági szempontból marhára nem oké, hogy a kódgenerálás is ugyanazon az eszközön történik, mint ahol az első faktor, avagy a jelszó beírása. Miért nem fordult meg senkinek a fejében az IdomSoft-nál, hogy a TOTP-ről a felhasználóközönség egy részének halvány lila fingja nem lesz? Aztán ezt burkoltan elismerve, behozzák az e-mail-t, mint második faktort, ami szintén nem tekinthető biztonságosnak, mert ugyanazon az eszközön nézi meg 10-ből 10 ember, amiről belép.

  A másik oldalon pedig, szintén a biztonságra hivatkozva, kizárják az okostelefonnal nem rendelkezőket az olyan alapfunkciókból, mint az eAláírás (dokumentum-hitelesítés). Jelenleg Ügyfélkapu+-on nincs ilyen lehetőség, tavaly augusztustól a személyijére nem kap már senki aláíró tanúsítványt, csak és kizárólag az okostelefonkényszert hozó DÁP tudja és az is csak elvileg, mert sokaknak abban sem működik.

Aktív témák