[Robot_NagNews]

Материал: Mail.ru Group намерена избавиться от использования паролей в своем почтовом сервисе, сообщает Lenta.ru. Взамен компания планирует внедрить внедрить одноразовые коды, которые приходят на телефон пользователя с помощью SMS или push-уведомлений. Полный текст

[nemo_lynx]

Ай, да молодцы! Правильно! Нахер всю эту анонимность в интернетах! А то Товарищам Офицерам, понимаешь ли, сложно определить, что cqdcoi39@mail.ru - это на самом деле Дмитрий Анатольевич Медведев, которому можно говорить всё что угодно.

[Sergey Gilfanov]

У Яндекса без паролей, например уже давно есть - вход осуществляется при помощи приложения при помощи QR кода

без всяких SMS. И даже, если я правильно помню, в оффлайне (в смысле телефон с приложением в оффлайне) работает.

Достаточно удобно.

Вот только алгоритм, по которому они это делают - нормально так и не опубликовали. Поэтому пришлось отказаться.

[jffulcrum]

То есть выбить из всех телефоны не получилось, решили "добровольно и с песней". Вот только в очередной раз - а с иностранищами - как? СМС на номер в Арубе не желаете отправить? 81,1 руб/штука мне тут в Мегафон подсказывают. Или в ДНР?

[Sergey Gilfanov]

1 час назад, jffulcrum сказал:

То есть выбить из всех телефоны не получилось, решили "добровольно и с песней".

Я не уверен, что решается именно задача 'выбить телефоны'. Из всех живых людей (т.е. тех кто пользуются учеткой более-менее регулярно и лично) наверняка уже выбили. Скорее всего, слишком много одноразовых и служебных email-ов, вообще слишком много учеток, нагрузка на службу поддержки большая, боты с неестественным интеллектом ее снизить не смогли - вот и дергаются туда-сюда, пытаясь сократить расходы.

[nemo_lynx]

1 минуту назад, Sergey Gilfanov сказал:

Я не уверен, что решается именно задача 'выбить телефоны'. Из всех живых людей (т.е. тех кто пользуются учеткой более-менее регулярно и лично) наверняка уже выбили. Скорее всего, слишком много одноразовых и служебных email-ов, вообще слишком много учеток, нагрузка на службу поддержки большая, боты с неестественным интеллектом ее снизить не смогли - вот и дергаются туда-сюда, пытаясь сократить расходы.

Эх, комрад... Если бы...

Сороки тут за окошком каркают, что мылору дружит с кемнадо всё теснее и теснее...

[Sergey Gilfanov]

4 минуты назад, nemo_lynx сказал:

Эх, комрад... Если бы...

Сороки тут за окошком каркают, что мылору дружит с кемнадо всё теснее и теснее...

Первый же мой аргумент был про то, что телефоны, собственно, уже известны. Так что для конспирологических или не очень целей устраивать это мероприятие уже давно бессмысленно. А если исходить из того, что дружат - то тем более добыча телефонов проблемы не составляет.

[Saab95]

А кто с компов через почтовый клиент заходит, им тоже смартфон под рукой держать монитор фотографировать?

[Sergey Gilfanov]

11 минут назад, Saab95 сказал:

А кто с компов через почтовый клиент заходит, им тоже смартфон под рукой держать монитор фотографировать?

Если это про картинку с Яндекса то да, именно так и задумано - для входа на компе.

Просто фотографируешь код, который показывают, их ключевыми приложением - и тебя сразу в учетку на компе пускает. Это если связь на телефоне есть, разумеется. Там, правда, PIN на этот Яндекс.Ключ есть - но при каких условиях оно требуется - я уже не помню. Они еще довольно длинную статью на хабре писали с объяснениями, что сделать пытаются.

 

У Гугла, Микрософта и еще где-то видел такое тоже похожее есть.

Ты пытаешься логиниться на компе/другом телефоне, а тебя на телефоне, что уже к учетке привязан, спрашивают: "Пустить? Д/Н"

Правда, SMS-ки при этом, вроде бы, совсем не используются.

 

В некотором смысле это то, что WebAuth сейчас сделать пытается для всего веба - телефон будет служить аппаратным токеном средней степени защищенности - в нем же защищенное хранилище предусмотрено по правилам сертификации Гугла, если нужно Google Pay с биометрией иметь.

 

[Saab95]

Как же быть параноикам, которые пользуются обычным кнопочным телефоном для пользования различных сервисов, что бы никто чужой смс с подтверждениями не перехватил?

[Sergey Gilfanov]

10 часов назад, Saab95 сказал:

Как же быть параноикам, которые пользуются обычным кнопочным телефоном для пользования различных сервисов, что бы никто чужой смс с подтверждениями не перехватил?

Яденкс.Ключ не использует SMS, так что перехватывать нечего. 

Кроме того, оно умеет и обычный одноразовый пароль генерировать, который набрать можно.

Так что поставить приложение, зарегистрировать учетку в нем, и больше никогда телефон в онлайн не выпускать.

Параноики могут быть довольны.

 

[azhur]

33 минуты назад, Sergey Gilfanov сказал:

Так что поставить приложение,

 

33 минуты назад, Sergey Gilfanov сказал:

пользуются обычным кнопочным телефоном

Противоречие, нет?

[Sergey Gilfanov]

29 минут назад, azhur сказал:

 

Противоречие, нет?

нет. Кнопочный телефон - средство для защиты от угрозы 'Какой-то зловред перехватил SMS'.

Использование смарта, который без SIM-ки потому что ему связь не нужна - этой цели соответствует. Нет SMS - нечего перехватывать. Заодно защищаемся от угрозы 'какой-то злодей угнал SIM-ку/номер телефона'. Т.к. несуществующую SIM тоже не угонишь.