dzz

(Untitled)

Oct 27, 2023 13:35

Интересный новый развод ( Read more... )

мошенники, госуслуги, security

Leave a comment

Хммм... de_nada October 27 2023, 10:58:35 UTC


Так-так... насчёт "включайте двухфакторку"...

А если бы этого второго фактора не было, то интрудер не смог бы (попытаться) зайти в чужой акк ГУ "мимо логина/пароля", путём сброса через SMS некому и незачем звонить было бы.

То есть в данном случае второй фактор уменьшает безопасность, а не увеличивает, расширяя "площадь атаки" (т.к. "взломать человека" зачастую проще, чем взломать компьютерную систему - требуется другой навык, разнообразные цыгане и мавроди не дадут соврать).

С уважением.

p.s. Меня вообще подбешивает вот эта хрень - кто-то безальтернативно решает собрать все телефоны, чтобы потом слить за меня, нужна ли мне такая "безопасность".
Лично мне вот кроме логина-пароля больше ничего не нужно... ладно, согласен на скрэтч-карту для ДБО, хорошее дело же было, зря погубили, козлы...

Reply

RE: Хммм... dzz October 27 2023, 11:05:20 UTC

Ну, конкретно в этом случае двухфактор работает, так как мошенник не знает, потребуется ли код для входа, а не только для смены пароля. Знал бы - действительно не звонил бы. У большинства второй фактор не стоит для логина, только для смены пароля (и именно эта комбинация предоставляет мошенникам дыру для социальной инженерии).

Идея сбора номеров телефонов мне тоже не нравится, но для многих услуг уже нет альтернативы (ты либо вводишь номер, либо просто не получаешь услугу). Проще завести отдельную симку для общения с сервисами, но тут уже вступает в действие фактор лени.

З.Ы. На госуслугах можно сделать двухфактор не только через SMS, но и через ЭЦП либо биометрию. Идея отдавать свои биометрические данные нравится мне на порядок меньше, чем история с номером телефона.

P.P.S. Помнится, Кевин Митник отлично раскручивал народ на пароли по телефону ещё до всех этих многофакторных подтверждений. Так что отсутствие второго фактора - ни разу не панацея.

Reply

- de_nada October 27 2023, 11:31:18 UTC


>Ну, конкретно в этом случае двухфактор работает, так как мошенник не знает, потребуется ли код для входа, а не только для смены пароля. Знал бы - действительно не звонил бы. У большинства второй фактор не стоит.Стоп-стоп ( ... )

Reply

dzz October 27 2023, 11:54:28 UTC

> ГУ форсят второй фактор, причём именно его телефонную версию.И у мошенника есть основания надеяться, что его жертва, тсзть, "уже".

Вангую, у большинства пользователей ГУ телефон уже внесён, он требуется для регистрации без поездки в МФЦ. Я регался в давние времна, когда без конверта от Ростелекома это не работало.

Тут, как раз, основную опасность создаёт частичный второй фактор, если ещё и не включены уведомления о входе, легальный пользователь даже не узнает, что кто-то авторизовался за него. Основная ставка мошенников - фактор времени, ибо взлом будет замечен не сразу.

Трансграничные SMS - реальная и совсем не новая проблема. Мне когда-то от Apple они стойко не приходили в Москву, без всякого роуминга. На ГУ есть возможность получать push-уведомления через их приложение, это, по идее, должно снимать все вопросы, если бы не блокировка обращений с иностранных IP, появившаяся после прошлогодних DDоS-атак.

Reply

Хм-м-ммм... de_nada October 27 2023, 12:29:55 UTC


Не уверен, что понимаю второй абзац - что за "частичный второй фактор" и "кто на ком стоял"? :))

Можете развернуть пошагово сценарий, "на пальцах", как для тупого? :))

С интересом.

Reply

dzz October 27 2023, 12:34:23 UTC

Легко. Я имею в виду применение второго фактора не для авторизации входа в систему, а только для авторизации выполнения определённых операций (например, смены пароля).

Т.е. для входа достаточно логина-пароля, а для восстановления забытого пароля нужен код из СМС. Это именно та ситуация, на которую расчитывал сегодняшний мошенник.

Reply

rblaze October 27 2023, 15:42:04 UTC

И кстати, госуслуги работают с иностранных IP. Какое-то время не работали, но последние полгода всё норм.

Reply

dzz October 27 2023, 18:53:52 UTC

Я давно не проверял, какое-то время назад с моих впн-ок не работали ни основные госуслуги, ни московские.

Reply

rblaze October 27 2023, 19:08:39 UTC

mos.ru и сейчас не работает. А госуслуги - да.

Reply

Re: - a_konst October 27 2023, 14:18:46 UTC
Вроде бы (как я где-то читал) там можно вторым фактором настроить пуш в приложение на смартфоне.
Это надежнее чем SMS, правда есть и свои минусы (приходится на смарт ставить приложение левое).

Reply

jno2004 October 28 2023, 06:07:16 UTC

Да хрен там, надёжнее...
Через единственный сервис гугля-то, ога.

Reply

RE: Хммм... rblaze October 27 2023, 15:39:05 UTC

На госуслугах есть нормальный второй фактор через TOTP. Для полной нормальности не хватает только аппаратного ключа с FIDO2.

Reply


Leave a comment

Up