|
Alex
|
|
15 сентября 2017 01:24
|
|
Собственно предложение, прикрутить возможность использования двухфакторной авторизации(2FA). По гугловому/яндексовскому приложению/ключу. Ну или в крайнем случае по одноразовому СМС-коду. Заранее спасибо!
|
|
|
|
Admin
|
|
15 сентября 2017 14:01
|
|
Здравствуйте.
Спасибо за предложение.
Как-то раз оно уже обсуждалось, подумаем.
|
|
|
|
RsH
|
|
16 октября 2017 17:28
|
|
И как в прошлый раз спрошу у топикстартера...
а зачем?
|
|
|
|
Alex
|
|
16 октября 2017 17:40
|
|
А затем, что не хотелось бы, что бы к посторонним могли попасть доходы/расходы, фотографии чеков и другая информация, которую принято считать конфиденциальной. Я же не говорю, что нужно это нужно включить в обязаловку всем, просто добавить такую опцию.
|
|
|
|
NO NAME
|
|
17 октября 2017 09:41
|
|
Судя по вашей логике сейчас сервис недостаточно защищен? тема ущербности в плане безопасности двухфакторной авторизации неоднократно обсуждалась на ит площадках. Усановив сложный пароль и отключив возможность сохранения его в браузере можно с достаточной степенью сказать что только вы знаете этот пароль. с двухфакторной авторизацией же достаточно получить доступ к телефону, что для потенциально заинтересованных в ваших расходах и доходах (семья, партнеры, злоумышленники) гораздо проще, чем залезть к вам в голову.
|
|
|
|
Alex
|
|
17 октября 2017 11:40
|
|
Конечно недостаточно. Компрометация логина/пароля возможна не только со стороны пользователя, взлом и утечки данных нередко происходят и на стороне сервисов. 2FA подразумевает не отказ от использования сложных паролей и переход к аутентификации по СМС, как вам кажется, а создает дополнительный рубеж безопастности. При использовании 2FA нужно знать не только пароль, но иметь доступ к телефону, токену или приложению-генератору кодов. Одного доступа к телефону недостаточно. И злоумышленнику намного сложней получить в свое распоряжение одновременно, и пароль, и одноразовый код. И когда я спрашивал про внедрение этой технологии, использование варианта с СМС стояло на последнем месте, приложения-генераторы мне больше импонируют.
ЗЫ. Кстати назрел вопрос, а данные на сервере шифруются или хранятся в свободном виде?..
|
|
|
|
VIFR
|
|
18 октября 2017 11:00
|
Alex Пишет: знать не только пароль, но иметь доступ к телефону, токену или приложению-генератору кодов Вы сами перечислили стоп-факторы для реализации. Телефон - потребуется собирать номера телефонов со всех пользователей, что сразу приведет к снижению уровня конфиденциальности при спорных плюсах. Аппаратные токены - точно не будут раздавать. Приложения-генераторы - самое перспективное, действительно было бы классно иметь такую опцию, но надо делать и для веб и для приложения, иначе смысл теряется. Сложно технически.
По поводу шифрования встречный вопрос (не в пику вам, а просто подумать над общим уровнем безопасности) - вам приходят каждую неделю бэкап по почте? Плэйн текст в открытом виде ;-)
|
|
|
|
VIFR
|
|
18 октября 2017 11:10
|
|
Несколько лет назад это уже обсуждали, и единственный выход - самому принять решение о приемлемом для себя уровне безопасности (в частности конфиденциальности) и обеспечивать его самостоятельно, то есть: не указывать имена-фамилии при наименованиях счетов, адреса и места работы/дома/пр, не прикреплять чеки. Да, это менее удобно :(, но значительно повышает уровень конфиденциальности.
|
|
|
|
NO NAME
|
|
18 октября 2017 12:51
|
|
Alex, вы видио недавно пользуетесь сервисом.
Я не в обиду.
Могу сказать, что за 7 лет которые я использую этот сервис - не было ни одного прокола по безопасности. считаю это очень показательным. тут работает ряд факторов.
Как правильно писалось VIFR - обезличка в плане отсутствия персональных данных на сервере и не полные данные в транзакциях.
Максимум что можно извлечь из сервиса - это адрес электронной почты и наборы транзакций и остатков. транзакции по факту интересны только самому пользователю, остатки - только ограниченному кругу лиц, кто осведомлен о счетах пользователя в банках, например. но если в наименованиях не указывается полный номер карты (надеюсь вы не делаете этого), то и эта информация бесполезна.
Так что ИМХО - как и в прошлый раз скажу, что в бэклоге достаточно интересных и нужных вещей, которые будут более полезны, чем двухфакторная авторизация... на которую нужно положить кучу сил, а выхлоп будет минимален. лучше уж сделать изменения типа транзакции.
|
|
|
|
Alex
|
|
18 октября 2017 17:07
|
VIFR Пишет: Вы сами перечислили стоп-факторы для реализации. Телефон - потребуется собирать номера телефонов со всех пользователей, что сразу приведет к снижению уровня конфиденциальности при спорных плюсах. Аппаратные токены - точно не будут раздавать. Приложения-генераторы - самое перспективное, действительно было бы классно иметь такую опцию, но надо делать и для веб и для приложения, иначе смысл теряется. Сложно технически. Это не стоп-факторы. Ну конечно если не обязывать принудительно использовать 2FA. Технически сложно если выдумывать велосипед заново. Если брать готовые наработки, например, опенсорсный google authenticator, и прикрутить его к сайту, то это мне кажется не очень сложным. С приложением я честно хз, но некоторые разработчики, которым это было сложно, например яндекс.почта года 4 назад, использовали одноразовый пароль, генерируемый из личного кабинета. В общем это все нюансы. Это лет пять назад было сложно, непонятно, а сейчас 2FA прикручиваю даже школьники к своим страничкам на WordPress.
Касательно шифрования уже понял, грустно, да и вообще это отдельная тема, заслуживающая отдельного топика.
RsH, да, меньше года пользуюсь, и пока не было общеизвестных проколов. Но, это же не значит, что сервису не нужно развиваться в сторону повышения безопастности.
По поводу обезличенности...фигня это все. Все отлично склеивается в одну картинку, когда есть логины, емейлы, ip. И очень неприятно будет однажды увидеть распечатку доходов/расходов/бюджета на столе у налогового инспектора. Или "товарища майора"(c). Конечно никакого криминала там нет, но был бы человек, а к чему придраться - найдется. И я просто хочу минимизировать кол-во поводов и возможностей для третьих лиц. И да, я понимаю, что если идти на поводу у паранойи, то надо выпиливаться из инета. Но шифрование и усиленная авторизация - вполне разумный компромис.
|
|
|
|
NO NAME
|
|
18 октября 2017 22:20
|
|
ну вот сейчас прям совсем рассмешили. налоговому инспектору и дяде в погонах ни к чему брать инфу из дребеденег. а если все настолько сеьезно :) то персональный сервер ДД рулит. ставите в своем защищенном пространстве. это не так дорого, при объемах, которыми могут заинтересоваться дижи в погонах.
|
|
|
|
NO NAME
|
|
18 октября 2017 22:21
|
|
*дяди
|
|
|
|
Ineu
|
|
27 февраля 10:01
|
|
Шесть лет спустя: 2FA нужна. TOTP - это несложно. Как в рализации, так и в использовании.
|
|
|
|
RsH
|
|
27 февраля 17:25
|
|
Вот знаете, спустя 13 лет использования ДД и более 300 тыс транзакций на 2 аккаунтах - ни разу не возникло желания входить ни по 2FA ни по SSO яндекса или иного сервиса.
Вот нормальные современные приложки для iOs и Андроида - это да.
Ну и простой вопрос к пользователю, готовы вы будете платить по 20 рублей за каждую смс 2FA или + 500 рублей к подписке за сторонние SSO?
|
|
|
|
Admin
|
|
27 февраля 19:58
|
|
Возможно сделаем на email отправку кода.
Кто-то просил, говорили что устроит.
|
|
|
|
Ineu
|
|
27 февраля 21:32
|
|
> спустя 13 лет использования ДД
Потеря аккаунта - это дело такое, достаточно одного раза.
> 500 рублей к подписке за сторонние SSO?
За что? Гуглите oauth.
> готовы вы будете платить по 20 рублей за каждую смс 2FA
SMS не актуальны уже несколько лет. Я же написал "TOTP". Можно почитать на вики: https://ru.wikipedia.org/wiki/Time-based_One-time_Password_Algorithm
Это решение требует времени на разработку, как и любое другое, но стоит ровно 0 рублей в использовании.
|
|
|
|
Мирон
|
|
14 апреля 22:56
|
|
Добрый день!
Поддерживаю @Ineu с внедрением 2FA. Нужная вещь, мне не достает.
|
|
|
