bylo uzhe!
http://ithipster.com/blog/unorthodox/34.html

(Reply to this) (Thread)

нет, дебилов с реддита так ещё не ломали — о чём, собственно, и пост. а остальное просто рамочка.

(Reply to this) (Parent) (Thread)

nevazho kogo i kak lomali, vazhno chto 2-fa eto principialjnaja dyra -- lomanije takim obrazom NEIZBEZHNO, o chom i stattja.

(Reply to this) (Parent)

Два туфа придумали мошенники. Это стопроцентов! Потеряете вы свой мобильный теллефон и будете сосать лапу.Ничего не сделаете. Туфа ухудшает безопасность многократно.

(Reply to this) (Thread)

Да, это главный пиздец. У телефона нулевая привязка к юзеру. Забыл симку оплатить месяц - и всё, твой номер уходит в зрительный зал.

А ещё твоя новая симка может уже иметь аккаунт на телеге, в котором соли и ИГИЛ. Вот так утром сходишь в офис билайна - а вечером мусора придут с бутылкой.

(Reply to this) (Parent)

2fa -- замечательная вещь, если у вас есть два реально разных и надёжных метода аутэнтификацыи.

А если один из них -- профанацыя, то это, конечно, неработает. Но дело не в двафе, а в том что кому-то плевать на надёжность аутэнтификацыи.

(Reply to this) (Thread)

фигня в том, что их нет. не просто в этом случае, а вообще нет. потому что все твои каналы связи контролируешь всё равно не ты, и поэтому увеличивая количество каналов ты просто увеличиваешь область атаки. именно поэтому одного канала и public key crypto вполне достаточно.

(Reply to this) (Parent) (Thread)

Зачем каналы связи? Биометрия и токен, где есть контроль устройства, или пароль и токен.

(Reply to this) (Parent) (Thread)

затем, что 2fa как раз про разные каналы передачи — в отличие от 2step. и я о том, что в существующих реалиях 2fa делает auth менее секурным, а не более.

(Reply to this) (Parent)

Блять, как же меня заебала эта ебаная секурность. Особенно заебала блокировка карточки из-за "подозрительной" активности.

(Reply to this) (Thread)

ну дык потому что все эти «твои» вещи на самом деле нифига не твои. дом, телефон, банковский счёт, you name it. всё это в любой момент могут тупо заблокировать по желанию какого-то рандомного пидараса, который обычно даже не сам это делает, а просто Написал Приказ, чтобы робот банил.

(Reply to this) (Parent)

>> https тоже snake oil

какие причины, кроме сложившейся традиции WoT с глобальными сайнерами, коим по-умолчанию доверяют все?

(Reply to this) (Thread)

тебе этого недостаточно? по комоду ходят мухи, дигинотара просто выпотрошили, траствэйв в открытую барыжит сертификатами для mitm… уже одного такого фэйла вполне достаточно, чтобы отметить всю систему как snake oil, а этих случаев овердохуя.

(Reply to this) (Parent)

>> а 2fa — snake oil в любом виде

проведём ещё такой мысленный эксперимент - заюзаем public key crypto с ephemeral time-limited keys в качестве второго фактора, пока что опустим, зачем именно.

стал ли он теперь, являясь 2fa и будучи "в любом виде", snake oil?

(Reply to this) (Thread)

продолжим разговор тогда, когда ты хотя бы перестанешь путать two factor и two step.

(Reply to this) (Parent)