Wszystko o uwierzytelnienie dwuskładnikowe | Webinsider - Internet widziany od środka ™

Tag: uwierzytelnienie dwuskładnikowe

Zapoznałem się z usługą Corgi.pro, i dowiedziałem się, że poziom bezpieczeństwa mojej strony jest bardzo niski, bo… można poznać ustawione publicznie w WordPressie nazwy autorów artykułów

Wczoraj wśród odwiedzanych strona znalazła się strona projektu Corgi, czyli „nowoczesna aplikacja webowa, która zabezpieczy Twoją stronę”. Patrząc na moje zainteresowania (zawodowe), taki slogan mógł zainteresować, nawet jeśli strona niekoniecznie skojarzyła mi się z gotowym projektem, a bardziej czymś w stylu prostej strony MVP, mającej „tymczasowo” łapać pierwszych zainteresowanych projektem, pewnie też w fazie MVP (nie wiem, nie sprawdzałem, ale o tym za chwilę…).

Brak akceptacji nowego regulaminu w przeciągu 3 dni, będzie skutkowało nałożeniem tymczasowej blokady konta Allegro, czyli kolejna próba wyłudzenia danych logowania

O próbach oszustwa piszę dość rzadko. Nie tylko dlatego, że większość jest do siebie podobna i właściwie nie ma co w koło powielać tematu „w nowych szatach”. Ale również dlatego, że mało kiedy jakieś wiadomości tego typu przebiją się – przynajmniej jak ta, cześciowo – przez filtry, a tylko takim, którym się to uda – przynajmniej częściowo, ewentualnie warto poświęcić uwagę, bo to oznacza, że mogą uniknąć filtrów również w skrzynkach innych. I tak na jedną za „ze skrzynek kontrolnych” zawitał e-mail „od Allegro”, z informacją o tym, że „muszę zaakceptować nowy regulamin w ciągu 3 dni, by uniknąć blokady konta”. Klasyka, która jednak czasem działa, jak trafi na podatny grunt.

Eksport kluczy (tokenów) 2FA/TOTP z usługi Authy, z wykorzystaniem Authy Desktop i narzędzi dla deweloperów

Po artykule na temat usługi Bitwarden (menedżer haseł, z którego korzystam) dostałem całkiem sporo zapytań m.in. od znajomych o tę usługę. Ale to, co mnie zaskoczyło chyba najbardziej, to to, że dominującym argumentem nawet nie do samego korzystania z Bitwardena, ale od razu do przejścia na wersję płatną dla moich rozmówców okazała się opcja dostępu awaryjnego, o której wspomniałem trochę przy okazji (dla mnie – głównie ze względów zawodowych – to bardzo ważna opcja, z której korzystam po to, by „w razie czego” zabezpieczyć m.in. interesy swoich klientów). A skoro już ktoś zdecydował się na wersję płatną usługi Bitwarden, to bardzo możliwe, że zdecyduje się korzystać z niej również do generowania kodów jednorazowych 2FA/TOTP (Time-based One-Time Password).

Release Management w WordPress.org, czyli dodatkowa autoryzacja aktualizacji wtyczek dla deweloperów (twórców)

Tam, gdzie mogę (i ma to jakikolwiek sens) korzystam z uwierzytelnienia dwuskładnikowego (2FA). W WordPress.com (WordPress jako usługa) z takiego rozwiązania korzystam, w przypadku WordPress.org niestety takiego rozwiązania nie ma. A szkoda, bo takie konto jest przez wiele osób wykorzystywane nie tylko do zgłaszania uwag/problemów, czy też oceniania wtyczek i motywów, ale również do publikacji (i późniejszej aktualizacji) własnych motywów i wtyczek. Nie da się ukryć, że to w wielu przypadkach może być cennym wektorem ataku, i to nie tylko w kontekście platform eCommerce (np. sklep internetowy, platforma kursowa) opartych o WordPressa. Zresztą podobny problem może być w przypadku wtyczki, która ma kilku współautorów, i któryś z nich postanowi zrobić psikusa „na odchodne” pozostałym…

Bezpieczne (za)granie, czyli logowanie dwuetapowe wymagane do odbioru bezpłatnych gier w Epic Games

Wprawdzie gram rzadziej niż rzadko, to regularnie moją kolekcję gier (w które większości zapewne nigdy nie zagram) zasilają kolejne tytuły. Od jakiegoś czasu jednym z głównych gier regularnie zasila Epic, a to wszystko dzięki regularnie udostępnianym gratisom. Wczoraj w aplikacji Epic Games pojawiła się informacja, że przez najbliższe dni (od 28 kwietnia do 21 maja) odbierać bezpłatne gry będą mogli tylko użytkownicy z aktywnym logowaniem dwuetapowym (2FA).

Na Twitterze pojawiła się opcja aktywacji dwuskładnikowego uwierzytelnienie (2FA) z wykorzystaniem aplikacji uwierzytelniającej

Choć zapewne nie jestem modelowym użytkownikiem mediów społecznościowych (w ogóle nie rozumiem, po co używać np. Facebooka w celach prywatnych, niezwiązanych z biznesową promocją) to najbliżej mi chyba do Twittera. Tak, tam też trafiają się zdjęcia kotków, czy relacje z kolejnego posiłku, ale mam wrażenie, że jest tego mniej. Jednak tego typu elementy zdecydowanie lepiej „żrą” na Facebooku czy Instagramie. Twitter, bo po odpowiedniej „konfiguracji źródeł” jest to relatywnie dobre źródło informacji o tym, co się dzieje na świecie. I choć konto na Twitterze nie jest czymś, co teoretycznie powinienem specjalnie chronić, to jednak w ramach ogólnej polityki bezpieczeństwa uważam, że warto chronić nawet mniej istotne punkty, bo mogą one być punktem wyjścia do dalszego ataku…

Kolejny przekręt na Facebooku, czyli „zabezpiecz swój dostęp do profilu na Facebooku, wyślij w odpowiedzi swoje aktualne hasło”

Przekrętów nie tylko w internecie, i nie tylko na Facebooku pełno, stąd nawet nie mam ambicji napisać o większości z nich (choć z racji tego, że to często kolejne literacje tego samego pomysłu, to…). Ale raz na jakiś czas trafia się jakaś perełka, czy coś, co sprawia, że ten czy inny przekręt ląduje na naszych łamach. Tym razem Facebook i próba wyłudzenia hasła do konta…

Aplikacja Signal Desktop (Windows i Mac) z jawnym hasłem do zaszyfrowanej lokalnej bazy danych (SQLite)

Z racji tego, że korzystam z komunikatora Signal, kolega – który też z niego korzysta – podesłał mi link do artykułu, w którym opisana jest pewna „podatność” w desktopowej (Windows i Mac) komunikatora, która pozwala na relatywnie łatwe odczytanie zaszyfrowanej bazy danych, w której znajdują się m.in. odebrane i wysłane wiadomości. Nie zdziwiło mnie to, gdyż… sam jakiś czas temu, szukając pewnej informacji postanowiłem dobrać się do pliku SQLite wykorzystywanego przez aplikację Signal, i nie było to trudne…

Przekazywanie dynamicznego adresu IP do serwera, np. by ustawić wyjątek dla uwierzytelnienia dwuskładnikowego (2FA) dla połączenia SSH

Kilka dni temu, w artykule o moim nowym internecie podstawowym (Internet na Kartę w Play) wspomniałem, że po kilku latach, brak stałego i publicznego adresu IP jest dla mnie większym utrudnieniem niż „skacząca prędkość”, czy w ogóle zanikający od czasu do czasu transfer. Dlatego uznałem, że muszę wdrożyć jakieś dodatkowe mechanizmy, które pozwolą mi zniwelować minusy wynikające z dynamicznie przydzielanego adresu IP…

Internet na Kartę w Play + miesiąc bez limitu GB za 49 zł, czyli mój nowy internet podstawowy (na najbliższe kilka miesięcy)

W związku ze zmianami w moim życiu, jakiś czas temu zacząłem rozglądać się za internetem mobilnym, który przejąłby rolę internetu podstawowego, który od wielu lat miałem „z kabla”. Kilka ostatnich lat korzystałem z internetu dostarczanego przez JMDI, ale u nich – by cena wyglądała znośnie – trzeba podpisać cyrograf na minimum 12 miesięcy, negocjacji (kilka miesięcy na czas nieokreślony w przyzwoitej cenie) nie przewidują, dlatego musieliśmy się rozstać z końcem lipca. I tak, pomimo pewnego sceptycyzmu jeśli chodzi o używanie internetu mobilnego jako głównego sposobu dostępu do internetu, nie miałem wyjścia, trzeba było pójść w tym kierunku…

Konfiguracja serwera VPS z Debian 9 jako serwer WWW, z wykorzystaniem niestandardowych źródeł pakietów

Przedwczoraj z HitMe.pl dotarła do mnie informacja, że matka serwera VPS na którym działa(ł) Webinsider.pl powoli zmierza na emeryturę (choć może dostanie pewnie jakieś zajęcie, by się nie nudziła ;-)), w związku z tym dostałem propozycję nowego serwera VPS. Oprócz tego, że oznacza to więcej mocy (więcej RAMu, więcej CPU, i dysk SSD do tego) to również przy tej okazji zmienił się typ wirtualizacji –  z XEN na KVM. W związku z tym uznałem, że choć mógłbym spróbować dokonać migracji za pomocą SSH i Rsync, to postanowiłem, że skonfiguruję środowisko (web) serwera ręcznie, przy okazji robiąc notatki do nowej wersji artykułu na ten temat…

Klonowanie serwerów VPS za pomocą programu Rsync i bezpiecznego połączenia SSH

Z końcem roku wygasa moje ostatnie konto hostingowe, czyli hosting współdzielony. Zostaną mi tylko konta opłacane bezpośrednio przez niektórych klientów (coś o tym będzie niebawem). Wprawdzie z takim zamiarem nosiłem się od dawna, to cały czas utrzymywałem 2 ostatnie konta tego typu, na których trzymałem „spokojniejsze strony”. Pierwsze konto pożegnałem we wrześniu, za kilka dni pożegnam ostatnie. Nie będę ukrywał, że w podjęciu decyzji pomogła mi firma hostingowa (o tym też będzie niebawem). Niezależnie od powodów, całkowita rezygnacja z hostingu współdzielonego oznacza, że musiała rozwinąć się moja flota serwerów VPS…

Jeśli korzystasz z Authy, to może zainteresuje Cię oficjalna (i samodzielna) aplikacja Authy na komputer

Z podwójnego uwierzytelnienia (2FA) staram się korzystać gdzie się tylko da, i  ze względów chyba dość oczywistych, moim podstawowym partnerem w tym jest aplikacja na telefonie, która odpowiada za generowanie kodów jednorazowych (programowy token). Dawno, dawno temu używałem aplikacji Google Authenticator, która wprawdzie wizualnie może i się (trochę) zmienia, to brakuje jej choćby takiej podstawowej funkcjonalności jak kopie zapasowe czy synchronizacja między urządzeniami – w przypadku utraty telefonu tracimy automatycznie wszystkie tokeny. I to mimo, że aplikacja jest od Google, a więc aż by się prosiło zintegrować ją z kontem Google.
Dlatego równie dawno temu przerzuciłem się na Authy, które oprócz aplikacji na telefon ma wtyczkę do przeglądarki Chrome, a od niedawna również samodzielną aplikację na komputer…

Od 7 kwietnia 2017 Profil Zaufany ePUAP bez autoryzacji przy użyciu poczty elektronicznej (oczywiście zostają kody SMS)

Z Profilu Zaufanego ePUAP korzystam chyba od samego początku jego istnienia – z samej platformy ePUAP mniej (choć może to się zmieni, bo w końcu zaczęło coś tam się dziać), ale Profilem Zaufanym całkiem wygodnie autoryzuje się zmiany w CEIDG czy ZUS PUE. Dziś otrzymałem wiadomość, że za kilka dni platforma definitywnie żegna się z kodami jednorazowymi przesyłanymi za pośrednictwem poczty e-mail – dostępna będzie tylko (dodatkowa) autoryzacja za pomocą SMSów.

Na dobry początek dnia mój telefon (Android) poprosił mnie o ponowne zalogowanie do wszystkich kont Google

Dziś rano przywitała mnie „miła niespodzianka” na telefonie – musiałem dokonać ponownego logowania dla wszystkich konto Google jakie mam skonfigurowane w telefonie. W tym czasie dostałem też pierwsze zapytania od znajomych, których tez spotkała taka „niespodzianka” z pytaniem, czy jest to powód do zmartwień/obaw…

Loading

Promocja własna

Wdrożenie Omnibusa w sklepie na WooCommerce

Promocja własna

LUTy dla D-Cinelike (DJI Mini 3 Pro, DJI Avata, OSMO Pocket) od MiniFly

Promocja własna

LUTy dla D-Cinelike (DJI Mini 3 Pro, DJI Avata, OSMO Pocket) od MiniFly

Pin It on Pinterest