Кража личности и денег

[dmitrmax]

Интересный материал появился на Фонтанке о том, как потерять телефон, учетку от ГосУслуг и попасть на кучу денег.

Хотя в статье не описаны досконально действия мошенников, я предполагаю, что получение доступа к ГосУслугам позволило мошенникам выпустить новый паспорт, а далее вместе с ним и доступ к выпуску электронной подписи, по которой уже можно

Comments

[shelepiha]

Что такое токены авторизации ?

[dmitrmax]

После того, как вы вводите свой логин/пароль и, если он включен, второй фактор (СМС), сервер присылает вам токен - просто некоторый объем инфы, который серверу необходим для того, чтобы понимать, что все ваши последующие запросы именно от вас. Затем, каждый раз когда браузер или приложение отправляет запрос на сервер, оно включает в него информацию из этого токена, и сервер её проверяет. Так он убеждается, что запрос выполнен авторизованным юзером и у него есть права на доступ к тому или иному разделу сайта, который он запрашивает.

[shelepiha]

Понятно (как ни странно). Типа куков, то есть некий бес, который сидит у вас на устройстве и каждый раз подтверждает серверу, что каждый следующий запрос он получает оттуда же, откуда предыдущий. То есть "перехватить управление" в ходе сессии другим устройством не получится. Я умный ?

[dmitrmax]

В том-то и дело, что не "оттуда же", а "тем ж". Если токен как-то выковырять и в другое место скопировать, то сервер не поймет этого. В остальном, в целом, да.

[mindfactor]

альтернатива этому - каждый раз вводить пароль. пользователи взвоют