Wszystko o 2fa | Webinsider - Internet widziany od środka ™

Tag: 2fa

Zapoznałem się z usługą Corgi.pro, i dowiedziałem się, że poziom bezpieczeństwa mojej strony jest bardzo niski, bo… można poznać ustawione publicznie w WordPressie nazwy autorów artykułów

Wczoraj wśród odwiedzanych strona znalazła się strona projektu Corgi, czyli „nowoczesna aplikacja webowa, która zabezpieczy Twoją stronę”. Patrząc na moje zainteresowania (zawodowe), taki slogan mógł zainteresować, nawet jeśli strona niekoniecznie skojarzyła mi się z gotowym projektem, a bardziej czymś w stylu prostej strony MVP, mającej „tymczasowo” łapać pierwszych zainteresowanych projektem, pewnie też w fazie MVP (nie wiem, nie sprawdzałem, ale o tym za chwilę…).

Brak akceptacji nowego regulaminu w przeciągu 3 dni, będzie skutkowało nałożeniem tymczasowej blokady konta Allegro, czyli kolejna próba wyłudzenia danych logowania

O próbach oszustwa piszę dość rzadko. Nie tylko dlatego, że większość jest do siebie podobna i właściwie nie ma co w koło powielać tematu „w nowych szatach”. Ale również dlatego, że mało kiedy jakieś wiadomości tego typu przebiją się – przynajmniej jak ta, cześciowo – przez filtry, a tylko takim, którym się to uda – przynajmniej częściowo, ewentualnie warto poświęcić uwagę, bo to oznacza, że mogą uniknąć filtrów również w skrzynkach innych. I tak na jedną za „ze skrzynek kontrolnych” zawitał e-mail „od Allegro”, z informacją o tym, że „muszę zaakceptować nowy regulamin w ciągu 3 dni, by uniknąć blokady konta”. Klasyka, która jednak czasem działa, jak trafi na podatny grunt.

Eksport kluczy (tokenów) 2FA/TOTP z usługi Authy, z wykorzystaniem Authy Desktop i narzędzi dla deweloperów

Po artykule na temat usługi Bitwarden (menedżer haseł, z którego korzystam) dostałem całkiem sporo zapytań m.in. od znajomych o tę usługę. Ale to, co mnie zaskoczyło chyba najbardziej, to to, że dominującym argumentem nawet nie do samego korzystania z Bitwardena, ale od razu do przejścia na wersję płatną dla moich rozmówców okazała się opcja dostępu awaryjnego, o której wspomniałem trochę przy okazji (dla mnie – głównie ze względów zawodowych – to bardzo ważna opcja, z której korzystam po to, by „w razie czego” zabezpieczyć m.in. interesy swoich klientów). A skoro już ktoś zdecydował się na wersję płatną usługi Bitwarden, to bardzo możliwe, że zdecyduje się korzystać z niej również do generowania kodów jednorazowych 2FA/TOTP (Time-based One-Time Password).

Release Management w WordPress.org, czyli dodatkowa autoryzacja aktualizacji wtyczek dla deweloperów (twórców)

Tam, gdzie mogę (i ma to jakikolwiek sens) korzystam z uwierzytelnienia dwuskładnikowego (2FA). W WordPress.com (WordPress jako usługa) z takiego rozwiązania korzystam, w przypadku WordPress.org niestety takiego rozwiązania nie ma. A szkoda, bo takie konto jest przez wiele osób wykorzystywane nie tylko do zgłaszania uwag/problemów, czy też oceniania wtyczek i motywów, ale również do publikacji (i późniejszej aktualizacji) własnych motywów i wtyczek. Nie da się ukryć, że to w wielu przypadkach może być cennym wektorem ataku, i to nie tylko w kontekście platform eCommerce (np. sklep internetowy, platforma kursowa) opartych o WordPressa. Zresztą podobny problem może być w przypadku wtyczki, która ma kilku współautorów, i któryś z nich postanowi zrobić psikusa „na odchodne” pozostałym…

Bezpieczne (za)granie, czyli logowanie dwuetapowe wymagane do odbioru bezpłatnych gier w Epic Games

Wprawdzie gram rzadziej niż rzadko, to regularnie moją kolekcję gier (w które większości zapewne nigdy nie zagram) zasilają kolejne tytuły. Od jakiegoś czasu jednym z głównych gier regularnie zasila Epic, a to wszystko dzięki regularnie udostępnianym gratisom. Wczoraj w aplikacji Epic Games pojawiła się informacja, że przez najbliższe dni (od 28 kwietnia do 21 maja) odbierać bezpłatne gry będą mogli tylko użytkownicy z aktywnym logowaniem dwuetapowym (2FA).

Na Twitterze pojawiła się opcja aktywacji dwuskładnikowego uwierzytelnienie (2FA) z wykorzystaniem aplikacji uwierzytelniającej

Choć zapewne nie jestem modelowym użytkownikiem mediów społecznościowych (w ogóle nie rozumiem, po co używać np. Facebooka w celach prywatnych, niezwiązanych z biznesową promocją) to najbliżej mi chyba do Twittera. Tak, tam też trafiają się zdjęcia kotków, czy relacje z kolejnego posiłku, ale mam wrażenie, że jest tego mniej. Jednak tego typu elementy zdecydowanie lepiej „żrą” na Facebooku czy Instagramie. Twitter, bo po odpowiedniej „konfiguracji źródeł” jest to relatywnie dobre źródło informacji o tym, co się dzieje na świecie. I choć konto na Twitterze nie jest czymś, co teoretycznie powinienem specjalnie chronić, to jednak w ramach ogólnej polityki bezpieczeństwa uważam, że warto chronić nawet mniej istotne punkty, bo mogą one być punktem wyjścia do dalszego ataku…

Kolejny przekręt na Facebooku, czyli „zabezpiecz swój dostęp do profilu na Facebooku, wyślij w odpowiedzi swoje aktualne hasło”

Przekrętów nie tylko w internecie, i nie tylko na Facebooku pełno, stąd nawet nie mam ambicji napisać o większości z nich (choć z racji tego, że to często kolejne literacje tego samego pomysłu, to…). Ale raz na jakiś czas trafia się jakaś perełka, czy coś, co sprawia, że ten czy inny przekręt ląduje na naszych łamach. Tym razem Facebook i próba wyłudzenia hasła do konta…

Aplikacja Signal Desktop (Windows i Mac) z jawnym hasłem do zaszyfrowanej lokalnej bazy danych (SQLite)

Z racji tego, że korzystam z komunikatora Signal, kolega – który też z niego korzysta – podesłał mi link do artykułu, w którym opisana jest pewna „podatność” w desktopowej (Windows i Mac) komunikatora, która pozwala na relatywnie łatwe odczytanie zaszyfrowanej bazy danych, w której znajdują się m.in. odebrane i wysłane wiadomości. Nie zdziwiło mnie to, gdyż… sam jakiś czas temu, szukając pewnej informacji postanowiłem dobrać się do pliku SQLite wykorzystywanego przez aplikację Signal, i nie było to trudne…

Przekazywanie dynamicznego adresu IP do serwera, np. by ustawić wyjątek dla uwierzytelnienia dwuskładnikowego (2FA) dla połączenia SSH

Kilka dni temu, w artykule o moim nowym internecie podstawowym (Internet na Kartę w Play) wspomniałem, że po kilku latach, brak stałego i publicznego adresu IP jest dla mnie większym utrudnieniem niż „skacząca prędkość”, czy w ogóle zanikający od czasu do czasu transfer. Dlatego uznałem, że muszę wdrożyć jakieś dodatkowe mechanizmy, które pozwolą mi zniwelować minusy wynikające z dynamicznie przydzielanego adresu IP…

Internet na Kartę w Play + miesiąc bez limitu GB za 49 zł, czyli mój nowy internet podstawowy (na najbliższe kilka miesięcy)

W związku ze zmianami w moim życiu, jakiś czas temu zacząłem rozglądać się za internetem mobilnym, który przejąłby rolę internetu podstawowego, który od wielu lat miałem „z kabla”. Kilka ostatnich lat korzystałem z internetu dostarczanego przez JMDI, ale u nich – by cena wyglądała znośnie – trzeba podpisać cyrograf na minimum 12 miesięcy, negocjacji (kilka miesięcy na czas nieokreślony w przyzwoitej cenie) nie przewidują, dlatego musieliśmy się rozstać z końcem lipca. I tak, pomimo pewnego sceptycyzmu jeśli chodzi o używanie internetu mobilnego jako głównego sposobu dostępu do internetu, nie miałem wyjścia, trzeba było pójść w tym kierunku…

Raport ZBP – Cyberbezpieczny portfel, i moja mała polemika na temat pozytywnych aspektów regularnej zmiany haseł (nie tylko) do bankowości internetowej

Kilka dni temu trafiłem na raport ZBP (Związek Banków Polskich) pod tytułem „cyberbezpieczny portfel” (czerwiec 2018). I choć uważam, że z raportem warto się zapoznać, być może nawet ktoś wyciągnie z jakieś wnioski, które wpłyną pozytywnie na jego bezpieczeństwo w internecie, to… z jednym zagadnieniem wejdę w polemikę…

Konfiguracja serwera VPS z Debian 9 jako serwer WWW, z wykorzystaniem niestandardowych źródeł pakietów

Przedwczoraj z HitMe.pl dotarła do mnie informacja, że matka serwera VPS na którym działa(ł) Webinsider.pl powoli zmierza na emeryturę (choć może dostanie pewnie jakieś zajęcie, by się nie nudziła ;-)), w związku z tym dostałem propozycję nowego serwera VPS. Oprócz tego, że oznacza to więcej mocy (więcej RAMu, więcej CPU, i dysk SSD do tego) to również przy tej okazji zmienił się typ wirtualizacji –  z XEN na KVM. W związku z tym uznałem, że choć mógłbym spróbować dokonać migracji za pomocą SSH i Rsync, to postanowiłem, że skonfiguruję środowisko (web) serwera ręcznie, przy okazji robiąc notatki do nowej wersji artykułu na ten temat…

Klonowanie serwerów VPS za pomocą programu Rsync i bezpiecznego połączenia SSH

Z końcem roku wygasa moje ostatnie konto hostingowe, czyli hosting współdzielony. Zostaną mi tylko konta opłacane bezpośrednio przez niektórych klientów (coś o tym będzie niebawem). Wprawdzie z takim zamiarem nosiłem się od dawna, to cały czas utrzymywałem 2 ostatnie konta tego typu, na których trzymałem „spokojniejsze strony”. Pierwsze konto pożegnałem we wrześniu, za kilka dni pożegnam ostatnie. Nie będę ukrywał, że w podjęciu decyzji pomogła mi firma hostingowa (o tym też będzie niebawem). Niezależnie od powodów, całkowita rezygnacja z hostingu współdzielonego oznacza, że musiała rozwinąć się moja flota serwerów VPS…

Loading

Promocja własna

Jak (legalnie) latać dronem w Kategorii Otwartej

Promocja własna

WordPress: Pierwsze kroki

Promocja własna

LUTy dla D-Cinelike (DJI Mini 3 Pro, DJI Avata, OSMO Pocket) od MiniFly

Pin It on Pinterest