Petr Szkuta Uwierzytelnianie dwuskładnikowe zostało wprowadzone przez firmę Apple, aby lepiej chronić nasze urządzenia i dane. Ale zdarzają się przypadki, gdy dwuczynnikowy staje się w zasadzie jednoczynnikowy.
Zasada działania całej funkcji jest w rzeczywistości niezwykle prosta. Jeśli spróbujesz zalogować się na swoje konto iCloud na nowym, niezweryfikowanym urządzeniu, zostaniesz poproszony o jego weryfikację. Wystarczy, że skorzystasz z jednego z już autoryzowanych urządzeń, takich jak iPhone, iPad czy Mac. Zastrzeżony system wymyślony przez Apple działa, z pewnymi wyjątkami.
Mogłoby być interesują Cię
Amaya Toman Czasami zdarza się, że zamiast okna dialogowego z sześciocyfrowym PIN-em konieczne będzie skorzystanie z alternatywnej opcji w postaci SMS-a. Wszystko wydaje się w porządku, jeśli masz pod ręką co najmniej jedno inne urządzenie. Dwa urządzenia spełniają istotę schematu uwierzytelniania „dwuczynnikowego”. Więc używasz czegoś, kiedy się logujesz, które znasz (hasło) z czymś, co posiadasz (urządzenie).
Problemy zaczynają się, gdy masz tylko jedno urządzenie. Innymi słowy, jeśli posiadasz tylko iPhone'a, nie otrzymasz uwierzytelnienia dwuskładnikowego innego niż SMS. Trudno jest uzyskać kod bez drugiego urządzenia, a Apple ogranicza również kompatybilność z iPhone'ami, iPadami i iPodami touch z systemem iOS 9 i nowszymi oraz komputerami Mac z systemem OS X El Capitan i nowszymi. Jeśli masz tylko komputer PC, Chromebooka lub Androida, masz pecha.
Teoretycznie więc chronisz swoje urządzenie za pomocą uwierzytelniania dwuskładnikowego, ale w praktyce jest to najmniej bezpieczny wariant. Obecnie istnieje wiele usług lub technik, które mogą przechwytywać różne kody SMS i dane logowania. Użytkownicy Androida mogą przynajmniej skorzystać z aplikacji, która zamiast kodu SMS wykorzystuje uwierzytelnianie biometryczne. Apple polega jednak na autoryzowanych urządzeniach.
Uwierzytelnianie dwuskładnikowe z uwierzytelnianiem jednoskładnikowym
Jeszcze gorsze od logowania się na jednym urządzeniu jest zarządzanie kontem Apple w Internecie. Gdy tylko spróbujesz się zalogować, natychmiast zostaniesz poproszony o podanie kodu weryfikacyjnego.
Ale następnie jest wysyłany do wszystkich zaufanych urządzeń. W przypadku Safari na Macu pojawi się na nim także kod weryfikacyjny, co zupełnie mija się z sensem i logiką uwierzytelniania dwuskładnikowego. Jednocześnie wystarczy taka drobnostka jak zapisane hasło do konta Apple w pęku kluczy iCloud, a w jednej chwili możesz stracić wszystkie wrażliwe dane.
Dlatego za każdym razem, gdy ktoś próbuje zalogować się na konto Apple za pośrednictwem przeglądarki internetowej, niezależnie od tego, czy jest to iPhone, Mac, czy nawet PC, Apple automatycznie wysyła kod weryfikacyjny do wszystkich zaufanych urządzeń. W tym przypadku całe wyrafinowane i bezpieczne uwierzytelnianie dwuskładnikowe staje się bardzo niebezpiecznym „jednoczynnikowym”.
Mogłoby być interesują Cię
Źródło: Macworld
Nie ma żadnego uwierzytelniania jednoczynnikowego, autor powinien coś o tym przestudiować. To samo można powiedzieć o aplikacjach bankowych, gdy w aplikacji mobilnej, która zwykle służy do potwierdzania żądań na komputerze stacjonarnym, można również potwierdzać żądania z tej aplikacji mobilnej lub gdy usługa korzysta z kodów TOTP, które są generowane na tym samym urządzeniu, z którego loguje się.
Prawdopodobnie masz problem, ale ja nigdy nie potrzebowałem otrzymywać SMS-ów ;-).
Jeśli otrzymasz hasło na swoje urządzenie, musisz je najpierw potwierdzić. Jednocześnie możesz go po prostu wyłączyć (z dowolnego urządzenia).
Dla mnie osobiście, jeśli masz weryfikację na najbardziej jailbreakowanym iOS, jesteś wystarczająco bezpieczny i trudno w tej chwili znaleźć coś bezpieczniejszego.
Jeśli ktoś ma Jailbreak, to Twoje bezpieczeństwo wynosi = 0 i wszystko inne rozwiązujesz zupełnie niepotrzebnie.
PS: W przeciwnym razie nie daj się zwieść innym, że uwierzytelnianie dwuetapowe/dwuskładnikowe służy jedynie opóźnianiu użytkownika. W dzisiejszych czasach zdobycie hasła nie jest już takie proste i jeśli osoba, która je zdobyła, znajduje się na drugim końcu globu, będzie jej dość trudno odczytać kod weryfikacyjny z Twoich urządzeń ;-).
Prawdopodobnie źle zrozumiałeś lub nie rozumiesz. Weryfikacja SMS jest jedną z możliwych opcji. Stosuje się go w przypadkach, gdy nie dysponujesz innym urządzeniem, z którego mógłbyś potwierdzić weryfikację. Np. jeśli masz tylko komputer Mac lub tylko iPada. Następnie otrzymasz wiadomość SMS na swój telefon.
Rozumiem, ale dla mnie to nie ma sensu. Mam iPhone'a, więc jeśli nie mam przy sobie telefonu, żaden SMS mnie nie uratuje ;-). W moim przypadku nigdy nie potrzebowałem ani nie próbowałem SMS-ów.
N2by naprawdę się w tym zagubiłeś, a także mieszasz uwierzytelnianie dwufazowe i dwuskładnikowe. Wejdź na stronę Apple i poczytaj o tym.
Co to za zniekształcony tekst?
Całkowicie rozumiem rozczarowanie tym, jak to teraz działa. Ci, którzy nigdy nie mieli problemu, nie zrozumieją, ale to nie znaczy, że problemów nie ma. Zwykle zdarza mi się, że gdy loguję się do iCloud na własnym Macu, to prosi mnie o weryfikację, natomiast nad oknem do wpisania kodu wyskakuje okienko z niezbędnym kodem – chyba zgodzimy się, że to błąd i Apple support mi to potwierdził. W tym samym czasie kod potwierdzający pojawia się na moim iPhonie w oknie szerszym niż wyświetlacz iPhone'a, wykracza w prawo poza widoczny obszar i otrzymanie kodu można potwierdzić, ale nie można go odczytać w jego całości, więc jestem w ślepym zaułku. Krótko mówiąc, uwierzytelnianie dwuskładnikowe zaprezentowane przez Apple nie jest do końca prawidłowe i wina zdecydowanie leży po jego stronie.
Zgadza się, loguję się do iCloud.com na Macu i pyta o moje hasło z uwierzytelniania dwuskładnikowego, które od razu wyskakuje w oknie na tym samym komputerze. Gdyby więc ktoś dostał się do mojego komputera i chciał zalogować się do iCloud, nie miałby problemu, nawet gdyby miał tylko jedno urządzenie, co jest głupie i całkowicie mija się z celem bezpieczeństwa dwuskładnikowego.
Ale w przypadku dwóch czynników nie chodzi o skradzione urządzenie, ale o skradzione dane uwierzytelniające ;) Jeśli oczywiście zgubisz urządzenie, pierwszą rzeczą, którą zrobisz, będzie usunięcie utraconego urządzenia w celu uwierzytelnienia.
Odpowiednio, utraconego urządzenia nie należy nadużywać, ponieważ nie można się do niego dostać poprzez uwierzytelnienie jako osoba nieuprawniona, a jako osoba nieuprawniona nie można go nawet użyć do potwierdzenia drugiego czynnika.
Zepsułem telefon na KO, byłem za granicą do pracy.
Znalazłem kafejkę internetową, żeby zadzwonić do kolegi, chociaż nawet z baru mogę znaleźć jego numer telefonu tylko na iCloud. Dwuskładnikowy BAM wysłał mi kod na komputer Mac, który był w domu. świetnie, jakiego rozwiązania powinienem użyć? Siedzę w kafejce internetowej, nie mam żadnych kontaktów, nie mogę napisać maila, nic...
Mam tylko iPhone'a i jeśli chcę go przywrócić, muszę wyjąć kartę SIM, aby dać ją innemu urządzeniu, ponieważ po prostu nie wiem, jak zdobyć kod weryfikacyjny, największa głupota, jaką kiedykolwiek widziałem