ברוקר ישראלי עם 2fa

[roneng]

2fa לא בטוח.

מה??

הסבר פשוט ,

איך ההסבר קשור?
נראה לי שאתה מתבלבל בין 2FA לבין כניסה עם קוד בסמס

 

[Zorg]

מה??

איך ההסבר קשור?
נראה לי שאתה מתבלבל בין 2FA לבין כניסה עם קוד בסמס

כנראה.

 

[roneng]

כנראה.

אז סתם שתכיר - 2FA זה two factor authentication, או בעברית הזדהות באמצעות 2 אמצעים.
כלומר לא מספיק שתיהיה לך גישה לאמצעי אחד (נניח סיסמה שדלפה או שהצלחת לקחת סמס מטלפון של מישהו), אתה צריך 2 דברים (לרוב סיסמה זה הראשון, והשני יכול להיות תוכנה שלהם בטלפון, סיסמא חד פעמית מגונרטת, סמס וכו).

נכון שיש דיון על האם סמס כאמצעי שני הוא מספיק בטוח, אבל אין שום ספק שיותר בטוח להשמש בסיסמה+סמס מאשר בסיסמה בלבד.

 

[Zorg]

אז סתם שתכיר - 2FA זה two factor authentication, או בעברית הזדהות באמצעות 2 אמצעים.
כלומר לא מספיק שתיהיה לך גישה לאמצעי אחד (נניח סיסמה שדלפה או שהצלחת לקחת סמס מטלפון של מישהו), אתה צריך 2 דברים (לרוב סיסמה זה הראשון, והשני יכול להיות תוכנה שלהם בטלפון, סיסמא חד פעמית מגונרטת, סמס וכו).

נכון שיש דיון על האם סמס כאמצעי שני הוא מספיק בטוח, אבל אין שום ספק שיותר בטוח להשמש בסיסמה+סמס מאשר בסיסמה בלבד.

זה מה שהם עשו, הראו שלגנוב לך את הסמס זה דיי פשוט. כלומר למישהוא עם קצת ידע ורצון. הרעיון הוא שבהינתן שפרצו למשל וגנבו ססמאות של אנשים יכולים להפנות סמסים למקום אחר ובעצם לפרוץ לחשבונות של הרבה אנשים במכה אחת.

כנראה שסמס + סיסמא יותר בטוח סיסמא בלבד, בייחוד לאנשים עם סיסמא של 12345678 אבל נראה לי שזה גם מאוד תלוי למשל איך המוסד מחזיק את הססמאות, למי יש גישה לבסיס הנתונים שמחזיק אותן וכדומה. כלומר לדעתי זה לא רק האם המוסד מאפשר אימות על ידי סמס, אלא צריך לבדוק באיזה סטנדרטים של בטיחות הוא עומד.

יש בכלל סטנדרטים כאלה למוסדות פיננסים, ושהמוסדות האלו נבדקות בקביעות על ידי חברות חיצוניות ? דוחות מפורסמים של הביקורות ?

 

[roneng]

זה מה שהם עשו, הראו שלגנוב לך את הסמס זה דיי פשוט

זה ברור לכל מי שראה את הסרטון שקישרת (ואפילו מספיק לראות את הכותרת שלו בשביל להבין).

אבל שוב, זה לא קשור ישירות ל 2FA ולא הופך את 2FA ללא בטוח (לעומת האלורנטיבות). וזה בעיקר מ2 סיבות:
א. אין שום חובה שהאמצעי השני יהיה סמס. ההמלצות בקרב המבנים בתחום היא דוקא לא להשתמש בסמס (והרבה ברוקרים באמת גם לא משתמשים בסמס).
ב. גם עם כן משתמשים בסמס, אין שום ספק שזה מגביר את האבטחה לעומת סיסמה בלבד.


אגב, כמה שזה נראה לך פשוט, עדיין לפרוץ סמס זה לא טריוויאלי. נכון שזה אפשרי, אבל זה עדיין דורש לא מעט יכולות וידע שאין לאדם הממוצע ברחוב.

כנראה שסמס + סיסמא יותר בטוח סיסמא בלבד, בייחוד לאנשים עם סיסמא של 12345678

לא, זה לא קשור לסיסמא. זה תמיד יותר בטוח כי זה עוד מנגנון שצריך לפרוץ.
כלומר לא משנה מה הסיסמה שלך, עצם זה שמוסיפים עוד הגנה יכול רק להועיל, לא להזיק.

אבל נראה לי שזה גם מאוד תלוי למשל איך המוסד מחזיק את הססמאות, למי יש גישה לבסיס הנתונים שמחזיק אותן וכדומה

לא, כל אלה לא משפיעים על העובדה ש 2fa מוסיף לאבטחה.

כלומר לדעתי זה לא רק האם המוסד מאפשר אימות על ידי סמס

אבל אף אחד בשרשור לא רוצה שיאפשרו אימות ע״י סמס.
לא יודע מאיפה הבאת את זה.
דיברו פה על 2fa. כלומר שהאתר ידרוש 2 אמצעי זיהוי כדי שתוכל להיכנס ולא רק 1.
להוסיף אפשרות להתחבר עם סמס *במקום* עם סיסמא מן הסתם פוגע באבטחה, אבל לא על זה אנחנו מדברים.

אלא צריך לבדוק באיזה סטנדרטים של בטיחות הוא עומד

זה נכון בכל מקרה וללא קשר ל 2FA.

 

[tdc]

להוסיף אפשרות להתחבר עם סמס *במקום* עם סיסמא מן הסתם פוגע באבטחה

מסכים לגמרי, אך מרגיש לי שבשנים האחרונות הרבה מאוד אתרים בישראל הולכים דווקא בכיוון הזה. ספציפית ממה שאני זוכר - חברת אשראי מסויימת, קופת חולים, חברות ביטוח שאני לקוח שלהם - כולם התחילו לאפשר כניסה עם סמס בלבד.

 

[roneng]

מסכים לגמרי, אך מרגיש לי שבשנים האחרונות הרבה מאוד אתרים בישראל הולכים דווקא בכיוון הזה. ספציפית ממה שאני זוכר - חברת אשראי מסויימת, קופת חולים, חברות ביטוח שאני לקוח שלהם - כולם התחילו לאפשר כניסה עם סמס בלבד.

מסכים.
לדעתי זה לא מטעמי אבטחה אלא מטעמי חיסכון בכסף/כוח אדם.
אני מניח שהרבה אנשים לא זכרו את הסיסמה שלהם והתקשרו לתמיכה, מה שהעמיס על המוקד. הפתרון הפשוט והזול (אך הלא מאובטח) זה לאפשר לכל מי שיש גישה לסמסים שלך להתחבר לחשבון.

 

[ירח אפל]

במקרה היום גיליתי להפתעתי, שבמיטב יש אימות כפול בספארק,
במחשב באמצעות SMS בכל כניסה.

 

[willy]

אגב, אני ראיתי פגיעה באבטחה במערכת של Ibi
עכשיו ניתן לבצע login באחת המערכות שלהם ללא סיסמה. הכנסת מייל/ת.ז בלבד והזדהות ע"י קוד שנשלח ב sms.
הייתי שמח לו האפשרות הזו הייתה מתבטלת .

גם באקסלנס זה ככה עכשיו.

האמת שזה קצת מלחיץ.

 

[ינשוף חסכני]

הלוואי שיתקדמו כבר למערכות אבטחה מודרניות בישראל ויתחילו לממש 2FA באמצעות אפליקציה ייעודית כמו Google authenticator או Microsoft authenticator או לפחות באמצעות קוד שנשלח באימייל כמו בחו"ל (דוגמאות בשלוף - IBKR, vanguard, צ'ייס, סטנלי מורגן).

זה מחרפן בכל כך הרבה רמות כשמדובר באומת ההייטק/סטארט-אפ ניישן. הטכנולוגיה קיימת, למה לא להשתמש בה? גם מאובטח הרבה יותר מסיסמא בלבד או קוד סמס בלבד וגם מענה לתושבי חוץ וישראלים בחופשה שצריכים לבצע פעולות מרחוק.