Как защитить свой аккаунт от взлома

Смешно - это когда человек считает, что если у него такой неугадаемый пароль, то он в полной безопасности.

Ну наконец-то. Я с телефона на телефон переезжал где-то 3 года назад, и такого не было.

А сразу нельзя было по уму сделать, что ли? (ох) Вроде немаленькая компания.

Это что, у них даже простой экспорт появился только через 10 лет после запуска (в 2021)

"6-значный … 8-значные".
Если написать "6-значные" буквами ("шестизначные"), то увидите, что это целое слово, поэтому нет смысла разбивать его пробелом при использовании числа 6.

Нет никакого пробела. Есть дефис.

Вы меня вообще не поняли. Евгений ставит пробел между "6-ти" и "значный". Правильное написание я указал ранее. Как видите, у меня там дефис, а не пробел. 🤨
Вот правило, если интересно:

"§ 77. Пишутся через дефис:
<… >
3. Сложные слова, первым элементом которых является числительное (см. § 76, п. 3), если это числительное написано цифрами, например: 25-процентный, 10-летний, 35-летие.
4. Сложные порядковые числительные, если первая часть их написана цифрами, например: 183-миллионный, 5-тысячный."

therules.ru

Да. Я ошибся. Что пардон - то пардон.

Если вам вдруг срочно надо, вот инструкция по переезду на WinAuth.

Совсем не то, ИМХО.
Authy хранит данные в облаке в зашифрованном виде, т.е. если я устанавливаю на новый тел, мне не нужно каждый аккаунт снова авторизовывать.
Судя по тому, что я вижу по WinAuth, это только локальное. Потерял БД и прощай все учётки.
Да и зачем переезжать? Сервис же не отключают.

А ведь у Yubico есть своя программа authenticator. Внезапно вспомнилось. Но, по-моему, ключ (физический) только один можно привязать. Хотя может и ошибаюсь, надо посмотреть, когда домой вернусь.

Блин, вот я параноик по такому поводу.
Мне нужно чтобы у 2-факторного было два метода доступа, как минимум. Один ключ носить с собой, а второй в сейфе или банковской ячейке 😂
Ладно еще, когда при включении 2FA дают коды восстановления, которые можно распечатать или скинуть на другую почту и т.п.
А если нет? 😄

Так у меня два ключа и куплено 🙂. А толку, если к их родному аутентификатору (Yubico) только один можно прикрутить? Потерял ключ и ку-ку. Второй-то не сработает.

К Google два ключа привязаны, да везде, где можно этот ключ привязать и два можно. На случай потери одного.

Можно больше одного, но каждый надо регистрировать отдельно.

Отличная новость, спасибо! Осталось узнать, как синхронизация организована между десктопом и мобилой. И есть ли она вообще.

Никакой, shared secret хранится на самом ключе. То есть OTP будут генерироваться и на десктопе и на мобильном приложении абсолютно одинаковые при условии что ключ тот же.

Вообще классно! Огромное спасибо за помощь!

Тут другая проблема. Если часто региться в разных сервисах с поддержкой ключей, то или забываешь добавлять ключ который в сейфе, или все время носишь оба ключа с собой.

Вообще просто. Вы показываете удостоверение личности, и эта самая "любая девочка" просто выдаст дубликат. Она же не работница органов, ее никто не учил проверять подлинность документов.
И главное, это работает везде. У меня был эксперимент - я попросил своих студентов запросить дубликат номера соседа вообще без предъявления документов. Из 10 попыток в трех это удалось. Это было в Женеве (операторы - в 2 случаях Swisscom, в одном Sunrise).

Это выглядит как подстрекательство к совершению преступления.

Как только выпускается новая SIM-карта - старая становится недействительной (спасибо, Кэп!). Как мне кажется, это очевидный факт.

Но делает это молча, зараза такая! И можно придумать минимум один сценарий, когда жертва будет не в курсе часов семь...

Говорят, для здоровья 8 часов сна надо. (Калининград - Петропавловск-Камчатский)

Пытаться получить дубликат в восьми часовых поясах от места выдачи оригинала - немножко стремно, не? А вот вы тупо в офисе, на офисном файфае и активированном WiFi-calls, будете проверять мобильную связь?..

Ну если о жертве известно сколько часов он работает и какая у него связь в офисе, то можно подменять симку, когда он в отпуске в другой стране, например.

👌

Нет, конечно. Это ужасно некорректно, разумеется, но преступления никакого нет. Разве что подстрекательство к подстрекательству, типа "раскрытие должностной тайны". Ну примерно как один человек в своё время, лет примерно 15 назад, попросил своего друга, сотрудника ФСБ (или как оно тогда называлось?) дать ему доступ к смс телефона своей супруги, ибо заподозрил её в измене.
Был, конечно, прав, но её любовник сам об этом вовремя узнал и попросту купил любовнице другой телефон, на совсем-совсем "левое" имя; вычислить было невозможно.
Ай да я, ай да не при маме будь сказано!

Я читал, что должно быть кратно полутора, там какие-то циклы, связанные вообще со всем, от кровообращения до, пардон, желания мочевого пузыря вас разбудить. Можно четыре с половиной часа, но это если не каждую ночь, а вообще менее шести не рекомендуется.
С возрастом меняется, можно днём (если работа позволяет, конечно) перехватить те самые дополнительные полтора часа (4.5 + 1.5), но, конечно, перед тем не есть "плотно".
Говорят, сэр Уинстон придерживался именно такого образа жизни. И таки немало прожил!

Надо не забыть включить все пароли в завещание. 😉

Там еще *опа с модемом. Если у нового оператора частота или тип связи другой - телефон работать не будет, даже разлоченный.

How to unlock your iPhone for use with a different carrier

Раньше перед смертью вычеркивали из завещания неугодных наследников, теперь просто будут менять втихаря пароль от крипты. 💲

Это, извините, в какой стране и когда?
Не подколка, просто стало интересно. Ибо почти везде есть те наследники, которых вычеркнуть в наше время практически невозможно, времена Айвенго прошли.

В любой стране. При наличии оформленного завещания, конечно.

Это у нас, а где-то иначе?

In the United States, children may be disinherited by a parent's will, except in Louisiana, where a minimum share is guaranteed to surviving children except in specifically enumerated circumstances.
In England and Wales from 1933 to 1975, a will could disinherit a spouse; however, since the Inheritance (Provision for Family and Dependants) Act 1975 such an attempt can be defeated by a court order if it leaves the surviving spouse (or other entitled dependent) without "reasonable financial provision".

Интереснее другое - в каких вообще странах крипта считается имуществом и может наследоваться?

Тут, да, проще. Но не везде так.
Возможно, что-то изменилось за прошедшие годы, я не слишком-то слежу за законами в РФ (если там вообще сейчас есть понятие "закон", конечно).
Дело в том, что примерно 12 лет назад одна женщина обратилась ко мне за консультацией; и не только ко мне, а и к ещё одному общему знакомому, из нашей ЧГК-тусовки, Юра высококвалифицированный юрист
Она хотела в завещании (бедная девочка; рак, не дожила и до сорока, мы и не знали, что счёт пошёл не на недели, на дни...) лишить прав наследства своего отца. Не буду углубляться в подробности, это было её дело, я не стану об этом говорить. Суть в том, что мы не нашли лазеек; наследник первой очереди.

Про крипту вообще без понятия. Я в эти напёрстки не играю; мои деньги лежат в обычных банках - тут, ну и в Финляндии.
Надо бы что-то перевести в британские фунты и шведские кроны, но я не настолько богат 😄

Очень странно, завещания в 3 части ГК появились аж в 2002 году. Это уже только специалисты знают нюансы, когда там были исправления в части наследников по закону и наследников по завещанию - кто первый.

Мне проще, у меня один наследник первой очереди, могу спокойно помирать без завещания. 💀

Вам проще, впрочем, мне не сильно сложнее - маме почти 80, она точно не претендует, a
дочку из России сюда вряд ли вообще пустят, да и хрен она узнает, что я тогось. Kот разве что претендент, но жена его и так не оставит.

Вот для этого и нужна крипта 😉 пишешь в завещании распорядителю часть имущества продать и вывести в крипту в пользу родственника в любой другой стране.

У меня первое образование - ЛЭТИ, я в эти ваши технические штучки играть не умею; и вообще, пыль из пылесоса уходит в розетку по проводам.
Деньги - это такие продолговатые бумажки. Меня так на юрфаке научили потом 😉

🤣

Сдается, что человек, заморочившийся ключом, к входу по СМС достаточно внимателен... 😉

Поверьте, это не всегда так. Теоретически, если человек достаточно внимателен, вся эта морока с двухфакторной аутентификацией может быть излишней, при наличии уникального и достаточно длинного пароля.

Вот пример фальшивого окна входа в акаунт Microsoft. Тут даже самая внимательная осторожность не поможет.

Ни разу не видев правильного окна - остается поверить!..

Тут главное не само окно, а адресная строка.

Вот еще вдогонку (сейчас Chromium эту дыру прикрыл, но она около года существовала). И никто не гарантирует что подобного рода дыр сейчас не существует.

А в чем подвох (скриншот немного мутный)? Там m1crosoft написано или как-то так?

Нет, там адрес верно написан. Просто это не попап браузера а html элемент (div). Вот здесь детали : rastamouse.me

первым и третьим не пользуюсь; вторым пользуюсь только в качестве одноразовых почт, не в качестве основной

Если не учитывать параною по отношению к гуглу, все двухфакторки на основе OTP уже давно не являются безопастными. Они от фишинга не защищают

можете поделиться примером? без примера трудно понять, как именно должны защитить одноразовые коды от фишинга. Заранее спасибо

ух ты.. а у гугла уже появился сервис маскировки почты (тот что генерирует временные почты, привязанные к основной)? буду признателен за название сервиса - мне гугл не хочет признаваться в таком своем сервисе.
да и просто новую почту на гугле уже просто так не заведешь...

Не совсем понял вопрос, но попробую ответить.
Просто - обычные фишинг атаки воруют введенный юзером инпут. То есть вы ввели пароль и одноразовый код на фейковой странице. Хакер получил валидный пароль, но залогинится не может, так как одноразовый код одноразовый и он уже использовался.

К сожалению, новое поколение фишинг атак воруют не сами факторы, а логинятся с их помощью от имени жертвы, и воруют уже саму сессию. Вот пример

ключевое слово в вашем совете "вроде", потому как если посмотреть на сайт компании в раздел вопросов-ответов, то можно узнать, что рекламируемый продукт доступен только на мобильных устройствах эппла:
https://raivo-otp.com/faq/#is-raivo-otp-available-for-other-operating-systems

так себе совет "знающих" людей.

Ну так бы и сказали, что начинаете холивар Гугл/Эппл. Эпплу же вы безгранично доверяете, да?

Ок. чуть перефразирую: в моем понимании задача фишинга - это выуживание из вас данных о входе (креды). одноразовый пароль не спасет вас от передачи кредов при хорошо подготовленной атаки. Фишинг будет удачным (креды получены), толку немного - использовать их напрямую не получится. Другое дело, что их можно использовать для социальной инженерии или же для попыток использовать пароль для других сервисов, если жертва использует один пароль для нескольких сервисов.
то, что вы привели в качестве примера (Evilginx, Modlishka...) - это уже не совсем фишинг, это больше MITM (так как он не получает кредов - он использует открытую пользователем сессию).
Легче, конечно, от этого не становится 😉

Это не традиционный фишинг, но тем не менее мы используем оба термина phishing with MFA bypass, так же как AITM (Adversary in the middle) . Выуживает он вместо самих credentials куки/сессию из браузера - что, в принципе абсолютно то же самое.
Добавлю, что это уже не просто теория - я помогаю паре компаний админить тенанты МС365, и около 20% фишинг атак сегодня используют Evilginx. Причем сейчас уже встречаются комбинации Evilginx с Browser-in-Browser - там success rate гораздо выше.

заранее прошу прощения за въедливость - но все таки на данный момент защищают от 80% атак 😄, что входит в противоречие с вашим более ранним утверждением.

и что вы посоветуете для защиты?

20% это в моем конкретном примере и этот процент растет.
Для защиты я посоветую FIDO ключи и/или их "встроенные" аналоги (passkeys).

Нет, диверфицирую. Если у меня почта не у Гугла — это не значит, что у Эппла. Если у меня не Хром, это не значит, что на Сафари. Заметки не в Гугле и не в Эппле. Мессенджер тоже не Гугла и не Эппла. Ну и т.д.

Raivo только для яблоководов.

"Все, кто верит в меня - за мной!"

Из меня, конечно, та ещё Инна Чурикова в роли Жанны д'Арк, да и моложе я, да и вообще я таки мужчина. Но.

А зачем вообще доверять непонятному устройству под названием "смартфон" все свои данные?

Фильмы я смотрю на большом экране, книги, если в электронном виде, читаю тоже не на семи дюймах. Навигатор есть в машине.
Аудиокниги? Только если куда далеко поехать, но для них есть банальная флэшка.

А в магазине я вообще плачу карточкой; иногда вообще наличкой, и мои обычные, ныне уже не совсем зелёные, бумажки очень любят продавцы, порой они даже "приподзакрывают" глаза на налог с продаж. Всем хорошо.
Но и с карточкой проблем никаких, потерять не жалко, ибо кредитка, не дебитовка, новую пришлют, покупки вора, если такой дурак найдётся, отменят, да и кэшбек неплохой.

Если я завтра этот милый телефон-раскладушку (навигатор там, кстати, есть) производства одной скандинавской фирмы забуду в кармане джинсов перед тем, как те постирать, то я потеряю примерно пятьдесят долларов, столько стоит новый.

А накопления у меня совсем в другом банке; и карточкой той я, конечно, не пользуюсь.
Полгода назад разве что, когда один дом продавали, а другой покупали, так и то не карта, а обычный чек. Бумага надёжнее. И никаких ипотек, конечно, жить надо по средствам.

Где я не прав?

хоть тема обсуждения - не смартфоны вообще и не отношение к доверии им своих тайн, да и я в периоде обсуждения не высказывал своего мнения о принципах хранения информации где бы то ни было, я все же постараюсь ответить: вы везде правы. 😄 Вам удобно? спокойно? вы совершенно правы и я вам даже завидую (но немножко и только один раз 😉 )

Не надо завидовать, это смертный грех (отвечаю на правах потомка Торквемады); за поддержку - спасибо. 😄
Про смартфоны я исключительно по теме безопасности паролей.
У меня их три и их разгадать могут только очень близкие мне люди, а таких мало, я мало кому доверяю. Да и то трудно; как совместить имя кота с номером дома, учитывая, что кот по тому адресу никогда не жил?
Все пароли знает тоже жена.
Вру, не все 😄 Но она знет код ячейки в банке, где лежит некая бумажка, а там уже всё, но и то там зашифровано почти по Гашеку. Тот же метод был и у Штирлица, и в "Вариант "Омега".
Без точного знания не вскрывается априори.

Завидую вам еще раз.. три аккаунта (причем один из них на сайте Алекса 😉 ) в наше время - это очень круто! почти что отшельничество 😉

PS:
если вы пробежитесь глазами по обсуждениям в этом чате, то увидите, что разговор не об разгадывании паролей.. обсуждение как раз о том, что есть способа, когда вы сами их передадите злоумышленнику и даже не будете об этом подозревать. И есть в этом некое несоответствие в логике (разумеется, по моему личному убеждению) - с одной стороны мало кому доверять и придумывать трудноразгадываемые пароли, с другой стороны, не парится их сохранностью...

Да, конечно, но тут я и увязываю все эти новомодные штучки типа "я плачу в магазине телефоном" с простотой кодов.
Можно зашифровать что-то через интернет-программу, как советует Алекс. Более того, спасибо ему за то, что он предлагает программы очень умные; я могу об этом судить по той простой причине, что я, сам в этом почти ничего не понимая, уже без малого тридцать лет знаю человека, который профессионально занимается именно компьютерной криптографией. И мой тёзка, после всем понятно чего живущий в одной европейской стране, сказал - да, это хорошо. Взломать-то можно что угодно, вопрос только в сумме и времени. Ради тысячи долларов никто год напрягаться не станет. Ради миллиарда - да, но там другие системы и иные методы.
А мой метод прост; книги и мнемоника.
Могу прямо здесь рассказать пароль одной моей кредитки, ещё российской. И банк тут этот не работает, да и срок кредитки давно истёк, так что я ничем не рискую.
Запомни, сказал я жене, словосочетание "Валентинов день"; пароль был, естественно, 0215; не 0214, а 0215, ибо надо добавить единицу. Ну и как вы это вычислите, если не перебором?
Ну и денег на той карте было не так много. "Горсть мусора получит тот, кто кошелёк мой украдёт" (с) 😄

P.S. И - да; на моём лаптопе, откуда я набираю данное сообщение, нет доступа к моим банковским счетам 😄

вопрос-то ведь не только в банковских счетах - вопрос о сохранности данных вообще. Судя по вашим комментариями в данном обсуждении, вы имеете отношение к юридической деятельности:
не думаю, что вы ведете переписку со своими клиентами посредством факса или голосовой почтой. Ваш почтовый аккаунт - он ведь первый на очереди. А в почте можно много интересного найти для ищущего 😉. Да и воспользоваться ею для атаки на другую "жертву" - тоже хороший способ. (а так же любым аккаунтом в социальных сетях или профильных чатах). Можно, правда, сказать потом - "а че.. это просто мой аккаунт взломали.. " - но с этого как раз и начинается статья Алекса 😄

Да, юрист, ну так и учителя были неплохие, включая нынешнего российского лидера; понимаю, ныне это не самая выгодная рекомендация, но что было, то было. Нет-нет, не КГБ, просто питерская мэрия в 90-е 😄
Но подстраховываться недурно научили.

Мне проще. Я вообще за простоту.
Клиенты у меня люди обычно приличные, так что скрывать от "товарищей майоров" что российских, что европейских, что местных, американских, особо нечего. Даже налоги плачу! Я стараюсь работать именно в "белом поле", но если надо залезть в "серое", так на то как раз и существуют мобильники, что покупаются в Волмарте за ничтожные деньги и именно за наличные. Проследить карточку невозможно по определению, и, кстати, меня это немного пугает. Я-то, повторю, человек законопослушный (это выгоднее в конечном счёте), но факт того, что такой телефон может купить любой на всё голову больной террорист/наркоман/садист/педофил, далее по списку, меня не радует. Как и почти свободный доступ к оружию. Но что поделать, мир не совершенен.

Да, а создать аккаунт в (условно) скайп - дело нескольких минут. Если что-то совсем важное и секретное, то можно и лаптоп купить; старенький, лишь бы работал; из любого кафе позвонил, чай, не Россия, паспорт не просят, потом дрелью в него потыкал и выбросил. Тут дело только в цене задачи.

Что, повторю, тоже не очень-то и нравится. Мало ли какой "Шакал" из известного фильма такое делать будет.
В общем, достаточно тонкая грань между свободой и безопасностью.

занятное утверждение... надеюсь, вы действительно понимаете о чем говорите 😉, потому как фильмы - они не самый лучший источник информации.. как, собственно, и учителя не то, чтобы 30 летней а даже двух летней давности- мир так быстро меняется 😄

Покупаете, повторю, за наличные вот такой, например, телефон.
www.tracfone.com
Тут же, в этом же магазине покупаете карточку оплаты; за 20 долларов у вас и сколько-то там интернета, и 120 минут, которые можно использовать в течение трёх месяцев. И снова платите наличными.
Активируете; надо, как в "мгновенной лотерее", просто с карточки монеткой или ногтем стереть защитную хрень серебристого цвета, потом ввести это в телефон там, где "add airtime".
Ну и как вы меня вычислите?

У меня таких телефонов было штук десять минимум; нет-нет, не для криминала 😄
Я их покупал моим гостям, что сюда прилетали, чтобы им на роуминг не тратиться, а мало ли потеряемся, не всегда же планы совпадают; кому-то в музей охота, а мне работать надо; удобно - созвонились, встретились, поехали ужинать.

Потом моим гостям и отдавал, как сувенир.

если часть вашего ника - это год рождения, то вы точно должны знать анекдот про неуловимого джо 😄
ну конечно же никак, если вы их купили за нал и положили дома 😉
ну или используете для разговоров с детьми. или с женой. вы будете неуловимы, пока не будете интересны кому либо, кто располагает ресурсами вас искать.
Если же вы стали интересны - то для того, что бы остаться неуловимым вам нужно кроме покупки телефона использовать немалый ряд организационных мероприятий, уменьшающий риск вашей идентификации. Уменьшающий - но не сводящий к нулю.

Так я лишь о телефоне. Признайте, что тут-то я прав - злоумышленник может этим, увы, воспользоваться.

А я тот самый неуловимый, да; Алекс, с которым мы ещё времён почти умершего ныне ЖЖ т.н. "взаимные френды" лет уже, наверное, 15 (больше, но уже не помню) подтвердит, что у меня в профайле и имя настоящее, и образование, и год рождения, разве что дату не поставил, в определённом возрасте день рождения уже не столько праздник, сколь повод для самокопания, не хочется получать поздравления.
Я же говорю - не надо усложнять жизнь. Без нас желающих полно 😄

Сорри, теряю я нить обсуждения.
очень рад за вас, что секретов у вас нет, прятать ничего не нужно а то, что нужно, надежно защищено. К сожалению, далеко не все могут похвастаться таким счастьем.

PS:
помните поговорку от врачей о том, что нет здоровых а есть недообследованные? 😉.