Сообщество
FAQ
Логин
Пароль
Войти при помощи
Кстати, вы можете
Общение / Веб версия / Двухфакторная аутентификация

Двухфакторная аутентификация

Alex
15 сентября 01:24
Собственно предложение, прикрутить возможность использования двухфакторной авторизации(2FA). По гугловому/яндексовскому приложению/ключу. Ну или в крайнем случае по одноразовому СМС-коду. Заранее спасибо!
Admin
15 сентября 14:01
Здравствуйте.
Спасибо за предложение.
Как-то раз оно уже обсуждалось, подумаем.
RsH
16 октября 17:28
И как в прошлый раз спрошу у топикстартера...

а зачем?
Alex
16 октября 17:40
А затем, что не хотелось бы, что бы к посторонним могли попасть доходы/расходы, фотографии чеков и другая информация, которую принято считать конфиденциальной. Я же не говорю, что нужно это нужно включить в обязаловку всем, просто добавить такую опцию.
RsH
17 октября 09:41
Судя по вашей логике сейчас сервис недостаточно защищен? тема ущербности в плане безопасности двухфакторной авторизации неоднократно обсуждалась на ит площадках. Усановив сложный пароль и отключив возможность сохранения его в браузере можно с достаточной степенью сказать что только вы знаете этот пароль. с двухфакторной авторизацией же достаточно получить доступ к телефону, что для потенциально заинтересованных в ваших расходах и доходах (семья, партнеры, злоумышленники) гораздо проще, чем залезть к вам в голову.
Alex
17 октября 11:40
Конечно недостаточно. Компрометация логина/пароля возможна не только со стороны пользователя, взлом и утечки данных нередко происходят и на стороне сервисов. 2FA подразумевает не отказ от использования сложных паролей и переход к аутентификации по СМС, как вам кажется, а создает дополнительный рубеж безопастности. При использовании 2FA нужно знать не только пароль, но иметь доступ к телефону, токену или приложению-генератору кодов. Одного доступа к телефону недостаточно. И злоумышленнику намного сложней получить в свое распоряжение одновременно, и пароль, и одноразовый код. И когда я спрашивал про внедрение этой технологии, использование варианта с СМС стояло на последнем месте, приложения-генераторы мне больше импонируют.

ЗЫ. Кстати назрел вопрос, а данные на сервере шифруются или хранятся в свободном виде?..
VIFR
18 октября 11:00
Alex Пишет:
знать не только пароль, но иметь доступ к телефону, токену или приложению-генератору кодов
Вы сами перечислили стоп-факторы для реализации. Телефон - потребуется собирать номера телефонов со всех пользователей, что сразу приведет к снижению уровня конфиденциальности при спорных плюсах. Аппаратные токены - точно не будут раздавать. Приложения-генераторы - самое перспективное, действительно было бы классно иметь такую опцию, но надо делать и для веб и для приложения, иначе смысл теряется. Сложно технически.
По поводу шифрования встречный вопрос (не в пику вам, а просто подумать над общим уровнем безопасности) - вам приходят каждую неделю бэкап по почте? Плэйн текст в открытом виде ;-)
VIFR
18 октября 11:10
Несколько лет назад это уже обсуждали, и единственный выход - самому принять решение о приемлемом для себя уровне безопасности (в частности конфиденциальности) и обеспечивать его самостоятельно, то есть: не указывать имена-фамилии при наименованиях счетов, адреса и места работы/дома/пр, не прикреплять чеки. Да, это менее удобно :(, но значительно повышает уровень конфиденциальности.
RsH
18 октября 12:51
Alex, вы видио недавно пользуетесь сервисом.
Я не в обиду.
Могу сказать, что за 7 лет которые я использую этот сервис - не было ни одного прокола по безопасности. считаю это очень показательным. тут работает ряд факторов.
Как правильно писалось VIFR - обезличка в плане отсутствия персональных данных на сервере и не полные данные в транзакциях.

Максимум что можно извлечь из сервиса - это адрес электронной почты и наборы транзакций и остатков. транзакции по факту интересны только самому пользователю, остатки - только ограниченному кругу лиц, кто осведомлен о счетах пользователя в банках, например. но если в наименованиях не указывается полный номер карты (надеюсь вы не делаете этого), то и эта информация бесполезна.

Так что ИМХО - как и в прошлый раз скажу, что в бэклоге достаточно интересных и нужных вещей, которые будут более полезны, чем двухфакторная авторизация... на которую нужно положить кучу сил, а выхлоп будет минимален. лучше уж сделать изменения типа транзакции.
Alex
18 октября 17:07
VIFR Пишет:
Вы сами перечислили стоп-факторы для реализации. Телефон - потребуется собирать номера телефонов со всех пользователей, что сразу приведет к снижению уровня конфиденциальности при спорных плюсах. Аппаратные токены - точно не будут раздавать. Приложения-генераторы - самое перспективное, действительно было бы классно иметь такую опцию, но надо делать и для веб и для приложения, иначе смысл теряется. Сложно технически.
Это не стоп-факторы. Ну конечно если не обязывать принудительно использовать 2FA. Технически сложно если выдумывать велосипед заново. Если брать готовые наработки, например, опенсорсный google authenticator, и прикрутить его к сайту, то это мне кажется не очень сложным. С приложением я честно хз, но некоторые разработчики, которым это было сложно, например яндекс.почта года 4 назад, использовали одноразовый пароль, генерируемый из личного кабинета. В общем это все нюансы. Это лет пять назад было сложно, непонятно, а сейчас 2FA прикручиваю даже школьники к своим страничкам на WordPress.
Касательно шифрования уже понял, грустно, да и вообще это отдельная тема, заслуживающая отдельного топика.
RsH, да, меньше года пользуюсь, и пока не было общеизвестных проколов. Но, это же не значит, что сервису не нужно развиваться в сторону повышения безопастности.
По поводу обезличенности...фигня это все. Все отлично склеивается в одну картинку, когда есть логины, емейлы, ip. И очень неприятно будет однажды увидеть распечатку доходов/расходов/бюджета на столе у налогового инспектора. Или "товарища майора"(c). Конечно никакого криминала там нет, но был бы человек, а к чему придраться - найдется. И я просто хочу минимизировать кол-во поводов и возможностей для третьих лиц. И да, я понимаю, что если идти на поводу у паранойи, то надо выпиливаться из инета. Но шифрование и усиленная авторизация - вполне разумный компромис.
RsH
18 октября 22:20
ну вот сейчас прям совсем рассмешили. налоговому инспектору и дяде в погонах ни к чему брать инфу из дребеденег. а если все настолько сеьезно :) то персональный сервер ДД рулит. ставите в своем защищенном пространстве. это не так дорого, при объемах, которыми могут заинтересоваться дижи в погонах.
RsH
18 октября 22:21
*дяди
Чтобы отвечать на сообщения - зарегистрируйтесь и войдите в личный кабинет.
© drebedengi.ru 2007 - 2017  |  Мобильная версия  |  Карта сайта  |  API интеграции  |  Обратная связь  |   English