Shekano dvofaktorsko preverjanje pristnosti!

Bucko · sreda ob 12:19

ksz
Včerja so mi nekako vdrli v telegram - kljub 2fa avtentikaciji. Izbrisali vse pogovore, kontakte, skupine in ustvarjali nove.
Ko sem želel pridobiti nazaj, je trajalo par minut, pa so me vrgli ven. Jaz njih nisem mogel terminate dat, ker so kao premalo časa prijavljeni.
Na koncu mi je nekako uspelo zablokirati (too many attempts)...
Kako je možno, da so prišli na račun - brez uporabe mobitela?

mistique · sreda ob 12:33

Če imaš sms avtentikacijo, je možno, da so prestregli sms (sim swapping, ss7...). Uporabljaj Avtentikatorsko aplikacijo (MS, Google, Authy). Lahko pa imaš tudi na telefonu kako stvar nameščeno...

Bucko · sreda ob 15:06

Telegram nima druge možnosti kot sms. Sem si dal sophos interceptor gor, da pregledam, če je kaj sumljivega...

philips · sreda ob 17:59

Uporabnik Bucko je napisal:
Telegram nima druge možnosti kot sms. Sem si dal sophos interceptor gor, da pregledam, če je kaj sumljivega...

Pri Telegramu prestrezajo SMS-e na nivoju omrežja, so meni tudi že "vdrli" ampak se jim je k sreči pri 2FA ustavilo.

Mikrohard · danes ob 00:10

SMS ni varen način 2FA, ker je preveč operaterjev na svetu, sistem pa (še vedno) temelji na zaupanju, da se bodo vsi držali pravil. Če samo en operater (pa je to lahko nek virtualni operater v tropski državi) nepridipravom proti plačilu da dostop do omrežja, lahko s poljubno številko delajo praktično karkoli (tudi prejemajo SMS-e).

damirj · danes ob 07:24

Uporabnik mistique je napisal:
Če imaš sms avtentikacijo, je možno, da so prestregli sms (sim swapping, ss7...). Uporabljaj Avtentikatorsko aplikacijo (MS, Google, Authy). Lahko pa imaš tudi na telefonu kako stvar nameščeno...

Tudi avtentikatorske aplikacije niso 100% varne, saj imaš lahko isti algoritem na več napravah. Kako priti do ključa, je sicer ločena zgodba, se pa da. Vse skupaj zna biti še bolj enostavno in poceni, kot s hekanjem GSM omrežja in prestrezanje SMSov.

philips · danes ob 09:26

Uporabnik damirj je napisal:
Tudi avtentikatorske aplikacije niso 100% varne, saj imaš lahko isti algoritem na več napravah. Kako priti do ključa, je sicer ločena zgodba, se pa da. Vse skupaj zna biti še bolj enostavno in poceni, kot s hekanjem GSM omrežja in prestrezanje SMSov.

Offline avtentikatorji so neprimerno bolj varni, saj ti mora nekdo presreči tisto začetno QR kodo s ključem da lahko generira tvoje kode.

Sicer zadnje čase avtentikatorji ponujajo sinhronizacijo med napravami, ampak le-ta je praviloma šifrirana tako da spet ni sporno.

damirj · danes ob 10:04

Začetna QR koda velja vedno tusi kasneje, poleg tega lahko z dostopom do telefona shranjene profile vedno preseliš drugam.

philips · danes ob 10:40

Uporabnik damirj je napisal:
Začetna QR koda velja vedno tusi kasneje, poleg tega lahko z dostopom do telefona shranjene profile vedno preseliš drugam.

QR koda vsebuje ključ in le-ta nima expirationa. Tako da dokler ti tega nihče ne prestreže/ukrade si safe. Ampak za ta del rabiš skoraj vedno nek fizičen dostop do naprave, medtem ko pri prestrezanju SMS lahko vse delaš remote. Tako da to dvoje niti približno ni primerljivo.

damirj · danes ob 10:42

ali pa samo remote nadzor nad napravo, še lažje, sploh sedaj, ko so vsi experti za facebook in instagram, ostalo pa tema

Mikrohard · danes ob 20:49

Če ima nekdo remote dostop do tvoje naprave, imaš večje probleme kot 2FA.

Iskanje

Iskanje

Shekano dvofaktorsko preverjanje pristnosti!

Bucko

Fizikalc

mistique

Guru

Bucko

Fizikalc

philips

Guru

Mikrohard

iPhone Profi

damirj

Guru

philips

Guru

damirj

Guru

philips

Guru

damirj

Guru

Mikrohard

iPhone Profi

Podobne teme