а аутентификатором гугловским тоже всё плохо

там сиды плейнтекстом хранятся

ну короче, я вот хотел почитать бородатых мужей и серьёзных тёток на этот счёт

именно поэтому пароль, даже если говно и интересен :)

чтоб понять ваще какая модель рисков есть

и какие меры можно принять

потому шо попасть так, шоб и сид стырить и пароль, это надо постараться

исходя из того что у большинства пользователей пароли везде одинаковые и сводятся к небольшому словарю с высокой эффективностью, то пароль стырить очень просто :)

потому что его не надо тырить

у TOTP по каналам связи есть очевидный минус с точки зрения UX

нет гарантии доставки в нужное время

но заставлять ставить TOTP софт — жлобство

http://sakurity.com/blog/2015/04/10/email_password_manager.html подумай в эту сторону

«http://sakurity.com» нет, спасибо

а что не так ? у него интересные мысли по поводу 2фа и паролей

A ты 5ю главу RFC 6238 читал?

A ты 5ю главу RFC 6238 читал?

йеп

ну так а чего тебе еще нехватат? :)

а что не так ? у него интересные мысли по поводу 2фа и паролей

там про сам TOTP механизм и его защиту

а не про факторы риска использования этого механизма

http://www.rfc-editor.org/rfc/pdfrfc/rfc4226.txt.pdf

Appendix A

в частности А.5, но и А.4 тоже

яж говорю, это всё про сами алгоритмы

а не про схему атуентификации

ну так фактор риска очевиден, не?

в том то и дело, что не очевиден

То же самое, что и с обычным паролем

минус факт того, что у тебя есть time step

нет, с паролями это не имеет ничего общего, потому что модель угроз уже другая

да, есть похожие угрозы

например я вижу что это предотвращает часть пассивных фишинговых атак

но не предотвращает активные атаки, которые по сути MiTM

> например я вижу что это предотвращает часть пассивных фишинговых атак каким образом?

2FA не защищает от утечки пароля в этом случае

https://www.redhat.com/archives/freeipa-devel/2014-July/msg00194.html

Это тоже видел?

нет, это не видел

щас буду жрать и читать

спасибо

но с ресерчами беда конечно полная

Тоже такое. :(

http://sakurity.com/blog/2015/04/10/email_password_manager.html подумай в эту сторону

тут не учитывается говно на мобилках

я открыл на iOS твиттер апп, там увидел ссылку, ткнул, она открылась в WebView твиттер аппа, я ввёл почту, мне пришла ссылка, я на неё нажал, мне открыли сафари

это конечно решается, но там гемора на порядок больше

не, я нерассматриваю мобилы как что-то с чего можно работать

а зря

десктопы сдохли почти

мне нужна консоль ссх пачка вкладок и браузер, а еще впн и все это пихать в мобилу нет спасибо

да несдохли они, текста набирать всеравно удобно с полноценной клавы

сдохли.

а работать в дороге с мобилы фтопку

я лучше отдохну

chatops же

http://www.statista.com/statistics/241462/global-mobile-phone-website-traffic-share/

meh ci cd сначала до конца внедить надо

кстати

пыриться в сайтики != работать

вот как вы решаете зоопарк с аутентификацией в кусках инфраструктуры?

пыриться в сайтики != работать

вот по этому десктопы удел гичья

как будто что-то плохое

нет, не плохое, я всеми руками за преход от тупой коробки, к простому и удобному девайсу.

вот как вы решаете зоопарк с аутентификацией в кусках инфраструктуры?

но вот это тоже интересно

я вот не знаю чо делать

LDAP чтоли?

> @dd_bb вот как вы решаете зоопарк с аутентификацией в кусках инфраструктуры? RSA для VPN, YubiKey для ссх и всего прочего.

LDAP чтоли?

ну альтернатив немного

угу, и LDAP тоже

в чём смысл в пароле, как в первом факторе?

а тотп как будет выглядеть у тебя?

вижу, 6 знаков

это упражнение будет называться "забрутфорсь 6 цифр за 30 секунд"

думаю, что обычно с первого захода ломать будут

> это упражнение будет называться "забрутфорсь 6 цифр за 30 секунд" Мне так кажется что ОТП он все же подлиннее будет делать. Иначе я это на айфоне забрутфорсю меньше чем за 10 секунд :)

это упражнение будет называться "забрутфорсь 6 цифр за 30 секунд"

забрутфорсь с задержкой 50мс

(или с квадратично возрастающей задержкой после 3х неудачных попыток)

Минутка боли

пришибли реплику постгри за ненадобностью, теперь заббикс возбудился и кричит про патерю пакетов

как эту хуету заткнуть

бля...

вруби мейтенанс режим

для этой ноды