אימות דו שלבי במערכות מסחר

[החוקר]

אהלן,
רציתי לשאול אם במערכות (לפי מה שהבנתי הרוב זה ספארק או אורדרנט?) אצל הבורקרים הישראלים ישנה אפשרות לאימות דו שלבי? (סיסמא וSMS)

 

[annona]

לא יצא לי לראות באורדרנט.
אם זה חשוב לך פשוט תתקשר ותבדוק/תשלח להם מייל. אולי יש אופציה כזו מוחבאת באיזה תפריט צדדי.
בIB יש ואני משתמש.

 

[דנרוק54]

בהתחשב בזה שאורדרנט נראית כאילו פותחה בעידן נטסקייפ - אני בספק שיש כזו אופציה.

 

[yossik]

@החוקר למה לדעתך אימות דו-שלבי חשוב למסחר?
אם מדובר בהעברת כספים אז אני מבין למרות שרוב בתי ההשקעות מבקשות באוף-ליין [מייל, פקס טלפון].
אבל בזמן מסחר, האם תרצה להמתין 30 שניות לאימות אם אתה קונה במרקט? אולי המחיר יעלה או ירד ולא תקנה/תמכור במחיר שצפית..

 

[החוקר]

@החוקר למה לדעתך אימות דו-שלבי חשוב למסחר?
אם מדובר בהעברת כספים אז אני מבין למרות שרוב בתי ההשקעות מבקשות באוף-ליין [מייל, פקס טלפון].
אבל בזמן מסחר, האם תרצה להמתין 30 שניות לאימות אם אתה קונה במרקט? אולי המחיר יעלה או ירד ולא תקנה/תמכור במחיר שצפית..

הכוונה שלי היא לא בזמן כל קנייה או מכירה, אלא כאשר רק כאשר מתחברים למשתמש, שתהיה עוד שכבת אבטחה למקום בו שוכב הכסף שלי.
כלומר גם אם נאמר יש לי keylogger על המחשב לא יכולים להתחבר לי לחשבון בלי הפלאפון

 

[דנרוק54]

גם אם לא נגנב כסף, פוטנציאל הנזק הפיננסי שיכול להגרם לך מפעולות בלתי מורשות בתיק הוא אדיר.

 

[adamshalev]

הכוונה שלי היא לא בזמן כל קנייה או מכירה, אלא כאשר רק כאשר מתחברים למשתמש, שתהיה עוד שכבת אבטחה למקום בו שוכב הכסף שלי.
כלומר גם אם נאמר יש לי keylogger על המחשב לא יכולים להתחבר לי לחשבון בלי הפלאפון

רק שיהיה ברור - אם המחשב שלך compromised, לא יעזור לך שום דבר.
בטח ובטח לא sms או קוד חד פעמי שאתה מזין במחשב.

 

[החוקר]

רק שיהיה ברור - אם המחשב שלך compromised, לא יעזור לך שום דבר.
בטח ובטח לא sms או קוד חד פעמי שאתה מזין במחשב.

לא בהכרח, אם זה רק keylogger אז otp ימנע כניסה לחשבון, אם זה סוס טרויאני או כלי אחר בסגנון אתה צודק

 

[Almoni]

הקטע ההזוי הוא שלפחות בפסגות דורשים החלפת סיסמה תקופתית, מה שכבר נחשב כפרקטיקה שגויה

 

[adamshalev]

הקטע ההזוי הוא שלפחות בפסגות דורשים החלפת סיסמה תקופתית, מה שכבר נחשב כפרקטיקה שגויה

ממש מפתיע שאנשים שלא יודעים מה הם עושים - לא יודעים מה הם עושים.

לא בהכרח, אם זה רק keylogger אז otp ימנע כניסה לחשבון, אם זה סוס טרויאני או כלי אחר בסגנון אתה צודק

בתיאוריה כן. אבל אם המחשב שלך הגיע למצב שיש לו חורנה אחת אפשר להניח שיש לו גם חורנה אחרת.
הסיבה הכי טובה למה כן להפעיל אימות דו שלבי מבוסס קוד כמו sms או TOTP זה כי דליפה של ססמאות נהיה מאד נפוץ ולא כולם מקפידים לנהל ססמאות אקראיות עם מנהל ססמאות, לכן אימות דו שלבי יגן עליך נגד מישהו שמנסה להכנס לחשבון עם ססמא שדלפה.
בכל מקרה - כל אימות דו שלבי עדיף מכלום, אבל הם לא כולם נולדו שווים. SMS הוא הכי חלש מביניהם, כי אפשר לחטוף SMS.

 

[אחד שלא יודע]

הקטע ההזוי הוא שלפחות בפסגות דורשים החלפת סיסמה תקופתית, מה שכבר נחשב כפרקטיקה שגויה

כי?

בכל מקרה - כל אימות דו שלבי עדיף מכלום, אבל הם לא כולם נולדו שווים. SMS הוא הכי חלש מביניהם, כי אפשר לחטוף SMS.

כל מערכת שמכבדת את עצמה לא תאפשר להכנס ל2 משתמשים בו זמנית.
ז"א אם אחד נכנס ולאחר רגע יש עוד מישהו שנכנס אז הייתי מצפה להקפיא פעילות מיידית וליצור קשר עם בעל החשבון.

 

[Almoni]

כי?

המשתמש הממוצע בוחר סיסמאות עם קורלציה גבוהה ולכן התועלת לא ברורה. הנזק הוא תסכול של המשתמשים (יותר עניין של איכות חיים) ושימוש בססמאות פשוטות יותר.
(ג"נ, משתמש במנהל ססמאות אז פחות רלוונטי עבורי)

 

[אחד שלא יודע]

המשתמש הממוצע בוחר סיסמאות עם קורלציה גבוהה ולכן התועלת לא ברורה. הנזק הוא תסכול של המשתמשים (יותר עניין של איכות חיים) ושימוש בססמאות פשוטות יותר.
(ג"נ, משתמש במנהל ססמאות אז פחות רלוונטי עבורי)

עדיין לא רואה בזה שום עדיפות לעומת מצב שהסיסמא זהה במשך שנים.

 

[Almoni]

עדיין לא רואה בזה שום עדיפות לעומת מצב שהסיסמא זהה במשך שנים.

השאלה היא מה התועלת בלכפות שינוי סיסמה על המשתמש.

 

[roneng]

עדיין לא רואה בזה שום עדיפות לעומת מצב שהסיסמא זהה במשך שנים.

כשצריך להחליף סיסמא כל הזמן רוב המשתמשים יבחרו בסיסמאות פשוטות.
כשלא צריך להחליף סיסמא לעיתים קרובות, יותר משתמשים יבחרו סיסמא קשה.

 

[ygkeeper]

כשצריך להחליף סיסמא כל הזמן רוב המשתמשים יבחרו בסיסמאות פשוטות.
כשלא צריך להחליף סיסמא לעיתים קרובות, יותר משתמשים יבחרו סיסמא קשה.

זו אמירה שמעניין לבדוק, אבל מהניסיון האנקדוטלי שלי היא לא נכונה. אנשים שרגישים לאבטחת מידע יקבעו סיסמה מורכבת או מספר ססמאות מורכבות ויחליפו ביניהן. אנשים שלא רגישים לזה יקבעו סיסמה פשוטה יחסית בין אם הם נדרשים להחליף ובין אם לא.
לא חושב שלחובה להחליף סיסמה תהיה קורלציה למורכבות הסיסמאות שאנשים משתמשים בהן.

 

[yossik]

כשצריך להחליף סיסמא כל הזמן רוב המשתמשים יבחרו בסיסמאות פשוטות.
כשלא צריך להחליף סיסמא לעיתים קרובות, יותר משתמשים יבחרו סיסמא קשה.

אתייחס לעצמי - ממש לא נכון.
אני מחליף סיסמאות תקופתית כולל אותיות גדולות, קטנות, מספרים וגם תווים כמו @ # $ %.
עם הזמן מפתחים שיטה לבחירת סיסמא קשה לפיצוח אבל קלה לזכור.
אבל באמת, זה כבר דיון אחר שדוסקס כבר אין ספור פעמים בפורום.

 

[מאיר_]

גם אותי ממש מעצבן שאין אימות דו שלבי.
כאמצעי זהירות מחקתי את האפליקציה מהטלפון ואני נכנס רק ב"חלון נסתר" בדפדפן, כדי שלתוספים או אתרים שמשתמשים בפרצות שעוד לא התגלו יהיה קשה יותר לקבל את הסיסמה.

 

[adamshalev]

גם אותי ממש מעצבן שאין אימות דו שלבי.
כאמצעי זהירות מחקתי את האפליקציה מהטלפון ואני נכנס רק ב"חלון נסתר" בדפדפן, כדי שלתוספים או אתרים שמשתמשים בפרצות שעוד לא התגלו יהיה קשה יותר לקבל את הסיסמה.

incognito זה פרקטיקה טובה מאד.
כתלות בטלפון שלך, הוא יכול להיות הרבה יותר מאובטח מהמחשב.
אני משתמש רק באייפון וזה הרבה יותר מאובטח ממחשב מבחינת הסביבה המבודדת שבה חיה כל אפליקציה.

 

[jossef]

עדכון 2025: במיטב בממשק של ספארק זה נתמך. שאלתי את התמיכה וזה מה שענו לי:

1.נכנסים לספארק באתר
2.בצד שמאל למעלה לוחצים על התמונה של האיש
3.נכנסים להגדרות
4.תחת משתמש למטה מסמנים "אני מעוניין באימות דו שלבי בכניסה לחשבון