2. Fórumok
  3. Infotech
  4. KAÜ/Ügyfélkapu – már elérhető a kétfaktoros hitelesítés
Keresés

Új hozzászólás Aktív témák

  • #97 ArGab őstag ArGab #95
    Új Válasz #97
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    ArGab

    őstag

    válasz ArGab #95 üzenetére

    Amúgy itt van mennyire sérülékeny és törhető a mobilhálózatok által használt SS7 protokoll: [link]

  • #95 ArGab őstag DJGABI #90
    Új Válasz #95
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    ArGab

    őstag

    válasz DJGABI #90 üzenetére

    A TOTP működése a közös titkos kulcson alapul, amelyet mindkét fél ismer, és ez szolgál a kódok generálásának alapjául. A TOTP lényege, hogy ha valaki megszerzi a jelszavadat – ami gyakori probléma, mivel sokan gyenge jelszavakat használnak, és ugyanazt használják több helyen is –, akkor se tudjon csak annak ismeretében belépni. Vagy akár sima dictionary attack próbálgatással. Ehhez ugyanis szükség van egy másik, a jelszótól független, időalapú egyszeri kódra is. A rendszer magasabb biztonságát azonban nem önmagában a kulcs garantálja, hanem az, hogy azt biztonságosan tárolod és a jelszó mellett egy másodlagos titokra is szükség van a belépéshez. Ráadásul itt nem is magát a titkot osztod meg belépéskor, hanem egy ebből generált egyszeri kódot. Tehát ha azt meg is szerzik, akkor is csak nagyon rövid ideig tudják felhasználni és nem tudnak abból új kódot előállítani, csak a kezdeti titokból.

    Fontos azonban, hogy ha kiadod a kezedből ezt a titkos kulcsot, ennek ismeretében bárki ugyanúgy elő tudja állítani ezeket a kódokat. Ezért elengedhetetlen, hogy ezt a kulcsot se osszuk meg másokkal, és ne tároljuk olyan helyen, amelyhez könnyen hozzá lehet férni. Ahogy a jelszó sem biztonságos, ha ott tárolod egy fecnin a monitorra ragasztva, ugyanúgy a TOTP sem ad sokkal több biztonságot, ha egy plaintext fájlban gyűjtögeted a titkos kulcsokat amiket összegyűjthet valami trójai. Ha mindenképpen el akarod menteni őket, akkor úgy tárold őket, hogy csak te férhess hozzá. Pl nyomtasd ki őket papírra.

    Az SMS esetén az a baj, hogy nincs kontrollod a kód felett, mert az bárkinek kézbe kerülhet, aki megszerzi a SIM-kártyádat vagy eltéríti az SMS-eket. Ezek mind teljesen rajtad kívül álló tényezők, amiket te nem tudsz befolyásolni és megakadályozni.

  • #88 ArGab őstag DJGABI #87
    Új Válasz #88
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    ArGab

    őstag

    válasz DJGABI #87 üzenetére

    Google Authenticator régebben nem tudta ezt, nem tudom azóta változott-e a helyzet. Microsoft elvileg igen, ha külön bekapcsolod és beállítasz neki fiókot ahova menti, de ki nem próbáltam még.
    Amit tudok ajánlani az Authy. Ott biztos működik a mentés is, amihez plusz jelszót kell beállítani amivel titkosítja, illetve a multi-device is.

    #79 üzenabakusz: éppenséggel az SMS az ami sokkal gyengébb. A mobilhálózat SS7 protokollja sajnos könnyen támadható és simán eltéríthetik az SMS-eket és a hívásokat úgy, hogy nem is tudsz róla. De ott a SIM swapping is, ha sikerül a szolgáltatótól szerezni új SIM kártyát a számodhoz, akkor amint azzal hálózatra lépnek a tiéd ledobódik. Pár éve ehhez elég volt egy hamisított meghatalmazási vagy még annyi se.

  • #72 ArGab őstag nincsnév007 #71
    Új Válasz #72
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    ArGab

    őstag

    válasz nincsnév007 #71 üzenetére

    Ügyfélkapu+ esetén továbbra is megteheted. Egy authentikációs alkalmazásban (például Google Authenticator, Microsoft Authenticator, Authy stb.) tetszőleges számú fiók TOTP kódját regisztrálhatod. Sőt, ugyanazt a kódot több telefonra is és akkor mindegyik generálja a belépéshez szükséges 2FA számsort.

    A DÁP-os belépésnél viszont az a gyanúm, hogy mindenkinek saját telefonra lesz szüksége, mert valószínűleg nem lehet az alkalmazást többször telepíteni egy eszközre, vagy több profilt kezelni rajta.

Új hozzászólás Aktív témák