ברוקר ישראלי עם 2fa

[roneng]

2fa לא בטוח.

מה??

הסבר פשוט ,

איך ההסבר קשור?
נראה לי שאתה מתבלבל בין 2FA לבין כניסה עם קוד בסמס

 

[Zorg]

מה??

איך ההסבר קשור?
נראה לי שאתה מתבלבל בין 2FA לבין כניסה עם קוד בסמס

כנראה.

 

[roneng]

כנראה.

אז סתם שתכיר - 2FA זה two factor authentication, או בעברית הזדהות באמצעות 2 אמצעים.
כלומר לא מספיק שתיהיה לך גישה לאמצעי אחד (נניח סיסמה שדלפה או שהצלחת לקחת סמס מטלפון של מישהו), אתה צריך 2 דברים (לרוב סיסמה זה הראשון, והשני יכול להיות תוכנה שלהם בטלפון, סיסמא חד פעמית מגונרטת, סמס וכו).

נכון שיש דיון על האם סמס כאמצעי שני הוא מספיק בטוח, אבל אין שום ספק שיותר בטוח להשמש בסיסמה+סמס מאשר בסיסמה בלבד.

 

[Zorg]

אז סתם שתכיר - 2FA זה two factor authentication, או בעברית הזדהות באמצעות 2 אמצעים.
כלומר לא מספיק שתיהיה לך גישה לאמצעי אחד (נניח סיסמה שדלפה או שהצלחת לקחת סמס מטלפון של מישהו), אתה צריך 2 דברים (לרוב סיסמה זה הראשון, והשני יכול להיות תוכנה שלהם בטלפון, סיסמא חד פעמית מגונרטת, סמס וכו).

נכון שיש דיון על האם סמס כאמצעי שני הוא מספיק בטוח, אבל אין שום ספק שיותר בטוח להשמש בסיסמה+סמס מאשר בסיסמה בלבד.

זה מה שהם עשו, הראו שלגנוב לך את הסמס זה דיי פשוט. כלומר למישהוא עם קצת ידע ורצון. הרעיון הוא שבהינתן שפרצו למשל וגנבו ססמאות של אנשים יכולים להפנות סמסים למקום אחר ובעצם לפרוץ לחשבונות של הרבה אנשים במכה אחת.

כנראה שסמס + סיסמא יותר בטוח סיסמא בלבד, בייחוד לאנשים עם סיסמא של 12345678 אבל נראה לי שזה גם מאוד תלוי למשל איך המוסד מחזיק את הססמאות, למי יש גישה לבסיס הנתונים שמחזיק אותן וכדומה. כלומר לדעתי זה לא רק האם המוסד מאפשר אימות על ידי סמס, אלא צריך לבדוק באיזה סטנדרטים של בטיחות הוא עומד.

יש בכלל סטנדרטים כאלה למוסדות פיננסים, ושהמוסדות האלו נבדקות בקביעות על ידי חברות חיצוניות ? דוחות מפורסמים של הביקורות ?

 

[roneng]

זה מה שהם עשו, הראו שלגנוב לך את הסמס זה דיי פשוט

זה ברור לכל מי שראה את הסרטון שקישרת (ואפילו מספיק לראות את הכותרת שלו בשביל להבין).

אבל שוב, זה לא קשור ישירות ל 2FA ולא הופך את 2FA ללא בטוח (לעומת האלורנטיבות). וזה בעיקר מ2 סיבות:
א. אין שום חובה שהאמצעי השני יהיה סמס. ההמלצות בקרב המבנים בתחום היא דוקא לא להשתמש בסמס (והרבה ברוקרים באמת גם לא משתמשים בסמס).
ב. גם עם כן משתמשים בסמס, אין שום ספק שזה מגביר את האבטחה לעומת סיסמה בלבד.


אגב, כמה שזה נראה לך פשוט, עדיין לפרוץ סמס זה לא טריוויאלי. נכון שזה אפשרי, אבל זה עדיין דורש לא מעט יכולות וידע שאין לאדם הממוצע ברחוב.

כנראה שסמס + סיסמא יותר בטוח סיסמא בלבד, בייחוד לאנשים עם סיסמא של 12345678

לא, זה לא קשור לסיסמא. זה תמיד יותר בטוח כי זה עוד מנגנון שצריך לפרוץ.
כלומר לא משנה מה הסיסמה שלך, עצם זה שמוסיפים עוד הגנה יכול רק להועיל, לא להזיק.

אבל נראה לי שזה גם מאוד תלוי למשל איך המוסד מחזיק את הססמאות, למי יש גישה לבסיס הנתונים שמחזיק אותן וכדומה

לא, כל אלה לא משפיעים על העובדה ש 2fa מוסיף לאבטחה.

כלומר לדעתי זה לא רק האם המוסד מאפשר אימות על ידי סמס

אבל אף אחד בשרשור לא רוצה שיאפשרו אימות ע״י סמס.
לא יודע מאיפה הבאת את זה.
דיברו פה על 2fa. כלומר שהאתר ידרוש 2 אמצעי זיהוי כדי שתוכל להיכנס ולא רק 1.
להוסיף אפשרות להתחבר עם סמס *במקום* עם סיסמא מן הסתם פוגע באבטחה, אבל לא על זה אנחנו מדברים.

אלא צריך לבדוק באיזה סטנדרטים של בטיחות הוא עומד

זה נכון בכל מקרה וללא קשר ל 2FA.

 

[tdc]

להוסיף אפשרות להתחבר עם סמס *במקום* עם סיסמא מן הסתם פוגע באבטחה

מסכים לגמרי, אך מרגיש לי שבשנים האחרונות הרבה מאוד אתרים בישראל הולכים דווקא בכיוון הזה. ספציפית ממה שאני זוכר - חברת אשראי מסויימת, קופת חולים, חברות ביטוח שאני לקוח שלהם - כולם התחילו לאפשר כניסה עם סמס בלבד.

 

[roneng]

מסכים לגמרי, אך מרגיש לי שבשנים האחרונות הרבה מאוד אתרים בישראל הולכים דווקא בכיוון הזה. ספציפית ממה שאני זוכר - חברת אשראי מסויימת, קופת חולים, חברות ביטוח שאני לקוח שלהם - כולם התחילו לאפשר כניסה עם סמס בלבד.

מסכים.
לדעתי זה לא מטעמי אבטחה אלא מטעמי חיסכון בכסף/כוח אדם.
אני מניח שהרבה אנשים לא זכרו את הסיסמה שלהם והתקשרו לתמיכה, מה שהעמיס על המוקד. הפתרון הפשוט והזול (אך הלא מאובטח) זה לאפשר לכל מי שיש גישה לסמסים שלך להתחבר לחשבון.

 

[ירח אפל]

במקרה היום גיליתי להפתעתי, שבמיטב יש אימות כפול בספארק,
במחשב באמצעות SMS בכל כניסה.