Today we’re announcing free private repositories with unlimited collaborators for teams with GitHub Free, and reducing the price of our paid Team plan to $4 per user/month. All of the core GitHub features are now free for everyone.
— GitHub (@github) April 14, 2020
Learn more: https://t.co/fQ3r2ABtTR pic.twitter.com/HHOyG5ypgU
- A hozzászóláshoz be kell jelentkezni
- 1120 megtekintés
Hozzászólások
Jön a Microsoft, el fogja lopni a lelketeket és a kódotokat!
A magyar ember jelképe a hátrafelé nyilazás. Vakon rohanunk a semmibe, miközben a múltunkat támadjuk.
- A hozzászóláshoz be kell jelentkezni
Ha a lelkünket, meg - az egyébként amúgy is free - kódunkat nem is, de az adatainkat igen. Amióta megvették, azóta nem lehet belépni, csak úgy, hogy ha minden rohadt alkalommal belép az ember az emailfiókjába és becopyzza nekik a megerősítő kódot. Ennek a baromságnak a kikapcsolására lehetőség nincs (én legalábbis nem találtam, meg mások sem, viszont hivatalos válaszként a 2FA erőltetését kapták - sok-sok bullshittel indokolva - mert természetesen ők csak a mi accountunk biztonságáért aggódnak...természetesen...); alternatívaként meg lehet adni nekik a telefonszámunkat, hogy nagytestvérkedhessenek 2FA-zhassanak... Most tekintsünk el attól, hogy a nemzetközileg alkalmazott "tenorpista" törvények miatt a telefonszámmal egyedileg azonosítható bárki (hacsak nem tudott valahonnan hamisat/eldobhatót szerezni), mert a 2FA ettől függetlenül is egy használhatatlan alternatíva, mert még az emiles bulinál is körülményesebb és kényelmetlenebb. (Arról nem is beszélve, hogy a GH nem támogatja az SMS-küldést minden országban, tehát, aki ilyen országban van és nincs okosteflonja, az nem is tudja használni.)
Szerencsére egyelőre nem kötelező, csak ajánlott. Egyelőre. Mák, hogy tartani nem tartottam ott semmit.
- A hozzászóláshoz be kell jelentkezni
Mondjuk a 2FA alapvetően jó ötlet és használhatsz mást is. Pl. telefonos token-generátort, yubikeyt. Én ez utóbbival használom és sose kell kódot megadnom.
A magyar ember jelképe a hátrafelé nyilazás. Vakon rohanunk a semmibe, miközben a múltunkat támadjuk.
- A hozzászóláshoz be kell jelentkezni
Akkor ott a Yubikey, igaz az nem ingyenes, cserébe a legtöbb komoly szolgáltatás együtt tud működni vele. Én is azzal használom.
A magyar ember jelképe a hátrafelé nyilazás. Vakon rohanunk a semmibe, miközben a múltunkat támadjuk.
- A hozzászóláshoz be kell jelentkezni
Kösz, kihagyom. Nem szeretném a mikiszoftnak megadni a telefonszámomat, ha nem lett volna egyértelmű a kommentemből.
- A hozzászóláshoz be kell jelentkezni
A Yubikey egy hardverkulcs, mindenképpen kötelező a telefonszám?
A magyar ember jelképe a hátrafelé nyilazás. Vakon rohanunk a semmibe, miközben a múltunkat támadjuk.
- A hozzászóláshoz be kell jelentkezni
Igen, 2FA esetén kötelező, még linket is adtam, ahol leírták.
- A hozzászóláshoz be kell jelentkezni
Sajnos nincs igazad, 2FA-hoz nem kell megadnod a telefonszámodat.
Válasszuk ketté, van 3 opciód a 2FA-ra és szintén 3 opciód az account visszaállítására ha elhagynád a második faktorhoz használt eszközeidet.
Előbbihez használhatsz:
Csak az SMS-hez kell megadnod a telefonszámodat, a másik kettőhöz nem. TOTP-t nem csak mobilappal lehet generálni, a hardverkulcs használata esetén WebAuthn-t támogató böngésző használata szükséges.
Utóbbihoz használhatsz:
Szintén csak az SMS-hez kell megadnod a telefonszámodat, a visszaállítási kódok automatikusan generálódnak amikor beállítod a 2FA-t amiket akkor biztonságos helyre mented. A Facebook accounttal történő visszaállításhoz nyilvánvalóan Facebook account kell, gondolom olyanod sincs vagy azt sem adnád meg a Microsoftnak.
Tehát a te esetedben az authentikációhoz a TOTP vagy a hardverkulcs jöhet szóba, a visszaállításhoz a visszaállítási kódok használata. Emlékeim szerint valami ősrégi Operát használsz így a hardverkulcs is kiesik, de ktkt linkelt megoldást TOTP-re.
- A hozzászóláshoz be kell jelentkezni
TCH, eddig ketten irtak, hogy nem kell mobilszam a MFA bekapcsolashoz, most akkor mi a helyzet? :)
- A hozzászóláshoz be kell jelentkezni
Ezek szerint mégsem, pedig anno a hivatalos ms válasz ez volt. De ettől még ugyanúgy egy felesleges baromság és ugyanúgy körülményesebb, mint simán belépni az email fiókba és ahogy az egyel lejjebbi posztomban olvashatod, hogy ugyanúgy nem tudom használni a phonenumber-less megoldásokat.
Egyébként meg lehet befejezni a fölényeskedést. Ha valakinek nincs rá oka, az pont te vagy.
Sz*rk: Jé, hogy lecserélted a szöveget, mialatt válaszolgattam... Eredetileg ez volt:
Nem érted, kötelező a telefonszám! :D
- A hozzászóláshoz be kell jelentkezni
Sz*rk: Jé, hogy lecserélted a szöveget, mialatt válaszolgattam...
Rohadt hosszu ideig irhattad akkor ezt a par sort, mert szerintem max 1 percen belul szerkesztettem at. Amugy ezzel mi is a problema?
(ezt is szerkesztettem, ahogy latszik is a ceruza ikonbol a headerben)
- A hozzászóláshoz be kell jelentkezni
> Rohadt hosszu ideig irhattad akkor ezt a par sort, mert szerintem max 1 percen belul szerkesztettem at.
Jézus Mária... /o\
Nem ezt a pár sort írtam rohadt hosszú ideig, hanem ha nem tűnt volna fel, írtam vagy nyolc kommentet, többek közt ezt a lentebbit, ahol kipróbáltam a TOTP-t. Az tartott "rohadt hosszú ideig".
> Amugy mi itt a gond? Tovabbra is azt gondolom, hogy a fo problemad a Microsoft stringgel van a GitHub impresszum oldalan, nem a MFA-val.
Ja, értem. Az más. Ha te azt gondolod, akkor az biztos úgy is van. Nem az számít, hogy mit mondok, hanem, hogy te mit gondolsz, hogy én mit mondok. Majd te megmondod, mit mondok: azt amit te gondolsz.
Nem tűnt fel, hogy soha nem rejtettem véka alá a véleményem a mikrofossal kapcsolatban? Hidd el, ha a itt "microsoft string" lenne a problémám, akkor a szemedbe mondanám. Látod, erről beszéltem: ha bármilyen negatív vélemény megjelenik valahol, amit akár a legcsekélyebb mértékben is az ms-hez lehet kötni - függetlenül attól, hogy ms-specifikus disznóságról van szó, vagy csak a szokásos amcsi '84-eskedésről - akkor te amygdala hijacket kapsz és jön a butthurt-attack.
> (ezt is szerkesztettem, ahogy latszik is a ceruza ikonbol a headerben)
Sz*rk: Látom. Megint sikerült utólag kiszerkeszteni a legviccesebb részt...
- A hozzászóláshoz be kell jelentkezni
Ha te azt gondolod, akkor az biztos úgy is van.
Hol irtam ilyet?
szerk: vajon most mit irtam at? ;)
- A hozzászóláshoz be kell jelentkezni
ROFL, na, ez már tényleg a legalja... Ebben a kommentben szó szerint azt írtad, hogy "Tovabbra is azt gondolom, hogy a fo problemad a Microsoft stringgel van a GitHub impresszum oldalan, nem a MFA-val." Csak éppen kiszerkesztetted belőle, mielőtt elküldtem a választ, én meg még az eredeti kommentedet idéztem be. Legalább ne próbáld meg letagadni, hogy eredetileg azt írtad.
- A hozzászóláshoz be kell jelentkezni
Tehat hol irtam azt, hogy amit gondolok, az biztosan ugy van?
Ebbol: "Tovabbra is azt gondolom" hogy kovetkeztettel arra, hogy ez nem velemeny, hanem egy tenymegallapitas?
- A hozzászóláshoz be kell jelentkezni
Leírtam, hogy kivételesen nem a mikiszofton van a hangsúly, te meg leírtad, hogy nem hiszed, te mást gondolsz. A szellemeskedős része karikírozás volt, de ez irreleváns. Úgyhogy ne terelj, ne szőrszálhasogass: szó szerint beismerted, hogy az a bajod, hogy szerinted az ms-t támadom és ezzel azt is elismerted, hogy neked ez probléma, ha valaki támadja az ms-t. No comment.
- A hozzászóláshoz be kell jelentkezni
Ezt csinálom, képzeld. Ameddig ez az opció megmarad.
Szuper! Akkor meg is van oldva a problema, nem? Mirol vitatkozunk?
szerk: rossz helyre ment, mindegy
- A hozzászóláshoz be kell jelentkezni
Jóságos ég... Arról vitatkozunk, hogy a tököm ki van ezzel. A probléma nincs megoldva, a legkisebb béka van lenyelve.
- A hozzászóláshoz be kell jelentkezni
Az élet nem habostorta, Pelikán. :)
- A hozzászóláshoz be kell jelentkezni
Mint mondtam, lehet befejezni a fölényeskedést. Ha valakinek nincs rá oka, az pont te vagy.
- A hozzászóláshoz be kell jelentkezni
Nem folenyeskedesnek szantam. Arra probaltam utalni, hogy nem olyan hatalmas problema ez az emailes OTP, mint amekkora feneket keritesz neki. :)
- A hozzászóláshoz be kell jelentkezni
Amekkora feneket kerítek neki én? Én egy posztot írtam róla, hogy rohadt idegesítő, meg belinkeltem, hogy nem vagyok egyedül ezzel a véleménnyel. Az összes többi már csak reagálás volt a válaszaitokra.
- A hozzászóláshoz be kell jelentkezni
Több böngészőm is van, szóval az Opera nem lenne akadály, csak épp ehhez hardwarekulcs kell, ami nekem nincs. Tehát ez az opció Operától függetlenül is kiesik.
A ktkt által linkelt megoldás sajnos pont nem jó, mert GTK3-as, de van oathtool is. Kiváncsiságból reggeltem egy kamu akkantot a githubra és bekapcsoltam a 2FA-t. Adott egy QR kódot, amit a https://zxing.org/w/decode.jspx oldalon beolvastam, kaptam egy linket, abban a kóddal. oathtool --totp --base32 [kód], kaptam egy hatszámjegyű számot, ezt bemásoltam neki, elfogadta, leokézta.
Oké. Kiléptem, töröltem a cache-t, majd beléptem. Usernév, jelszó beír, elfogad. Kéri az authentikációs kódot. Beírom neki. Eredmény. Oké, akkor recovery kódot neki. Eredmény. Próbáljuk meg még egyszer. A 6 számjegyű kódot ismét nem fogadta el, egy másik recovery kódot viszont igen. Próbáljuk újra. Kilépés, cache töröl, belépés, kéri a 6 számjegyű kódot, megint nem fogadja el. Adok neki recovery-t, nem fogadja el, kidob a login promptra. Még egyszer az egész. Ugyanaz az eredmény. Még egyszer, most csuklóból recoveryt adok neki, úgy beenged. Próbáljuk még egyszer, most nem engedett be.
Summa summárum, a hatszámjegyű kódot egyszer sem fogadta el, a recoveryket meg ad-hoc módon fogadja el. Így bejutni még annál is körülményesebb - ha épp egyáltalán működik! - mint ha belépek az emailfiókomba és kicopyzom a kódot. Ezek szerint telefonszám tényleg nem kell hozzá, de a másik állítás, hogy ez még az emailes loginnál is körülményesebb, az maradt.
Ja, ha a hatszámjegyű kódot azért nem fogadta volna el, mert lejárt...hát sehol nem kínált föl semmilyen újítást, se QR kód, sem egyéb formában, tehát ha akartam volna sem tudtam volna beírni mást.
- A hozzászóláshoz be kell jelentkezni
De gondolom azt sejted, hogy a use caseiddel kb az elhanyagolhato 0.0..X szazalekban vagy, es kar megsertodni, ha nem rad optimalizalnak. Mi a masik 99.9..X szazalek tudjuk hasznalni minden gond nelkul. Igazabol security vs. usability kerdes az egesz. minel securabb egy rendszer annal hasznalhatatlanabb. Es minel hasznalhatobb annal sebezhetobb. Te minden letezo eszkozzel veded a privacydat, a github meg valahogy szeretne beazonositani. Igazabol megodas is van (tobbis: hw kulcs 6000 Ft, eldobhato sim 3200 Ft lidlibe telefonnal egyutt adjak 5ezere, vehetnel egy okostelefont amin csak az authentikator van kb 10000Ft de annak mar az aksija is birja, emulalhatnal androidot), csak az neked nem felel meg. Es persze minden fajdalmadrol az M$ tehet.
- A hozzászóláshoz be kell jelentkezni
> De gondolom azt sejted, hogy a use caseiddel kb az elhanyagolhato 0.0..X szazalekban vagy, es kar megsertodni, ha nem rad optimalizalnak.
Nem sértődtem meg, hogy nem rám optimalizálnak. Ha valahol valami nem megy pl. Operában nem szoktam érte szólni. De itt arról beszélünk, hogy eddig ment szívatás nélkül, most meg nem megy. És FYI: ettől nem lett biztonságosabb a rendszer, mert a legnagyobb sechole mindig az user, amit meg nem tudnak kivédeni.
> Mi a masik 99.9..X szazalek tudjuk hasznalni minden gond nelkul.
Honnan a statisztika? A fentebbi panasztopicban nem egy ember panaszkodott, hanem sok, de mindegy. Ez a projektált WORKSFORME, ha neked megy, akkor biztos mindenkinek megy, kivéve aki hülye és védeni meri a privátszféráját. Lehet, hogy a többségnek megy, ezt nem vitatom, de az ilyen hasból előhúzott bagatellizáló statisztika minden, csak nem mérvadó.
> Te minden letezo eszkozzel veded a privacydat, a github meg valahogy szeretne beazonositani.
De ne akarjon. És lécci ne gyere a "te vagy az áru" szöveggel, mert ez nem az az eset. A github önmagában nem ér semmit, a rajta tárolt forráskódok érnek valamit. Bárki, aki a githubot használta, akár repo-ownerként, akár kontribútorként (mint pl. én) kóddal, bugreportokkal és tesztekkel, stb., az mind a munkájával fizetett a githubért, tehát nem volt ingyen. Legalábbis nekünk, aktív hozzájárulóknak nem. Most viszont az új tulaj (lényegtelen, hogy ki az, mert látom te is rögtön ezen húzod fel magad, hogy jaj báncsák az emest) azt szeretné, ha az adatainkkal fizetnénk érte. Te magad is elismerted.
> Igazabol megodas is van (tobbis: hw kulcs 6000 Ft, eldobhato sim 3200 Ft lidlibe telefonnal egyutt adjak 5ezere, vehetnel egy okostelefont amin csak az authentikator van kb 10000Ft de annak mar az aksija is birja, emulalhatnal androidot), csak az neked nem felel meg.
Persze, még én adjak ki ezért pénzt, miközben egyfelől ők akarnak az adataimból pénzt csinálni, másfelől meg kóddal fizetek a használatért. Az android emuláció még elfogadható alternatíva lenne, de akkor már megint ott vagyunk, hogy egyszerűbb és gyorsabb belépni az emailfiókba. Úgyhogy persze, hogy nem felel meg, ha egyszer rosszabb, mint a fennálló helyzet, könyörgöm. Látom senkinek nem megy át a lényeg: eddig ment, most meg szív az ember és nem lett biztonságosabb semmi sem.
> Es persze minden fajdalmadrol az M$ tehet.
Legalább ne adnál szavakat a számba. Én ilyet nem mondtam. FYI: azzal nem tudod az állításaimat hiteltelenné tenni, hogy abszurd baromságokat magyarázol bele.
- A hozzászóláshoz be kell jelentkezni
De ne akarjon.
Nem akar. Nem kell telefonszamot megadni.
Persze, még én adjak ki ezért pénzt
Nem kell penzt kiadni, tobb ingyenes opciod is van:
- copyzod tovabb szorgosan az emailes kodot
- valasztasz masik MFA csatornat
- nem hasznalod a GitHubot
- A hozzászóláshoz be kell jelentkezni
Read again, mhmxs megállapítására írtam, hogy ne akarjon, miszerint "Te minden letezo eszkozzel veded a privacydat, a github meg valahogy szeretne beazonositani.", ezen a megállapításon pedig nem változtat, hogy nem kell hozzá telefonszám. BTW, a hardwarekulcs egyedi fingerprint, ha egyszer sikerül hozzá nevet kötni, ugyanott vagy. A TOTP-t megpróbáltam, de megbízhatatlan a működése, a hatszámjegyű kódot egyszer sem fogadta el, a recovery-ket meg ad-hoc módon.
> copyzod tovabb szorgosan az emailes kodot
Ezt csinálom, képzeld. Ameddig ez az opció megmarad.
> valasztasz masik MFA csatornat
Read again, túl vagyunk rajta.
> nem hasznalod a GitHubot
Na, a végére csak bejött az ultima ratio. Mert ugye ha a projektek, amiket használok és amibe kódot küldök, a githubon vannak, akkor ne használjam, ugye? Na, ez az, amitől hányok, az amcsi tempó. Van valami ami működik, jönnek, megveszik, szétkúrják, majd jön az ultima ratio, hogy nem kötelező használni. A kugli is ezt csinálta a tecsővel.
- A hozzászóláshoz be kell jelentkezni
"eddig ment szívatás nélkül, most meg nem megy" nekem ez egy feature. eleg fontos dolgokat tarolunk a githubon.
"ettől nem lett biztonságosabb a rendszer" hat errol kene valami statisztika. Mert ha nem ugyanazt a jelszot hasznalod az emailfiokodhoz mint a guthubhoz, akkor jo esellyel rogton ket jelszot is meg kell kaparintani. Szoval ha ettol nem lett biztonsagosabb a te github fiokod, akkor lehet nalad van valami elkefelve.
"mert a legnagyobb sechole mindig az user" pontosan, ezert kell vedeni a fiokokat tobb modszerrel is.
"A fentebbi panasztopicban nem egy ember panaszkodott, hanem sok, de mindegy" es az mennyire reprezentativ az osszes uzerre nezve?
"ha neked megy, akkor biztos mindenkinek megy" ezt nem gondolom. Azt gondolom, hogy a userek donthetik el a secure es user friendly csuszkan hova teszik magukat. Es van egy igen-igen nagy valoszinuseggel kissebbseg, aki nem tudja beleilleszteni az elkepzeleseit ebbe rendszerbe (ha a userek tobbseget erintene megjavitanak, hiszen az a biznisz, hogy userek hozzafernek a repokhoz). Szamtalan megoldas letezik, pl futtass valami kontenreben/vmben egy bongeszot, amiben csak github van, es ments el a cookiet egy diskre, amin full disk encryption van. Dragabb lesz megszerezni a cookiet nagy valoszinuseggel, mint amit vedesz vele (de ha nem, lehet biztos meg fokozni).
"ha az adatainkkal fizetnénk érte. Te magad is elismerted" nem mondtam ilyet, azt mondtam, valahogy be szeretne azonositani. es egyaltalan nem kotelezo megadnod semilyen szemelyes adatot, nem sorolom fel milyen modszerek vannak.
"Persze, még én adjak ki ezért pénzt" ez most anyagi vagy elvi kerdes? Ha fontos dolgot csinalsz ott, es fontos neked, hogy kenyelmesen tudjal dolgozni, akkor neked nem er meg par ezer forintot? Persze lehet dacoskodni, de ettol nem fog a Githubnal senki hasraesni. Azta, hogy megszivatott minket. Kenyelmetlenul hasznalja a rendszert a fafejusege miatt.
"ők akarnak az adataimból pénzt csinálni" ez eleg alusisakos
"hogy egyszerűbb és gyorsabb belépni az emailfiókba" hat ezt mostmar vegkepp nem ertem. A szamodra legegyszerubb modon csinalod, akkor mi a problema. Sot igazabol barmit ajanl barki egyik sem jo neked, szoval vegulis a szamodra legjobb modon hasznalod a githubot :) ezert kar sirni.
"eddig ment" Szarul, egy gyenge jelszoval vedve (kb elso hullamban alltam at 2fa-ra, mert olyan projektekhez volt hozzaferesem, ahol nem lett volna jo, ha barki ellopja az accountomat)
"most meg szív az ember" Marmint a privacy nacik, meg akinek rejtegetnivaloja van, aki nem kolt 3000 Ft eldobhato simre, stb. A legtobbunknek nem okoz problemat bejelentkezni a githubra
"és nem lett biztonságosabb semmi sem" Ezt kifejtened? Mert en egeszen eltero tanulmanyokat olvastam 2fa-rol. Nekem azt adja ki a matek, hogy jelszo mindig gyengebb mint ugyanaz a jelszo meg meg valami.
- A hozzászóláshoz be kell jelentkezni
> Mert ha nem ugyanazt a jelszot hasznalod az emailfiokodhoz mint a guthubhoz, akkor jo esellyel rogton ket jelszot is meg kell kaparintani. Szoval ha ettol nem lett biztonsagosabb a te github fiokod, akkor lehet nalad van valami elkefelve.
Miért, 2FA nélkül nem lehet mindenütt más jelszót használni? De lehet. Van rá saját megoldásom, lehet kísérletezni a kapott jelszavak feltörésével. Úgyhogy nem nálam van valami elkefélve.
> pontosan, ezert kell vedeni a fiokokat tobb modszerrel is.
Az oké, de miért kötelezően? Akinek erre nincs igénye, arra miért is kell rákényszeríteni?
> es az mennyire reprezentativ az osszes uzerre nezve?
Azt nem tudom, de 20-30 ember véleménye még mindig reprezentatívabb, mint egyé, esetünkben itt a tiéd. Főleg hasból előállított statisztikával.
> Azt gondolom, hogy a userek donthetik el a secure es user friendly csuszkan hova teszik magukat.
Ebben igazad van, csak ezzel pont a fentebbi állításodnak mondasz ellent, amire felhívtam a figyelmet: legyen opcionális.
> Szamtalan megoldas letezik, pl futtass valami kontenreben/vmben egy bongeszot, amiben csak github van, es ments el a cookiet egy diskre, amin full disk encryption van. Dragabb lesz megszerezni a cookiet nagy valoszinuseggel, mint amit vedesz vele (de ha nem, lehet biztos meg fokozni).
Ez már megint az a kategória, hogy messze több idő és szívás, mint beloggolni az emailfiókba.
> azt mondtam, valahogy be szeretne azonositani.
Hát ez az... Vagy te a "beazonosítás" alatt a "hitelesítést" értetted? Mert akkor elbeszéltünk egymás mellett. Nálam az beazonosítás az azt jelenti, hogy személy szerint tudja, hogy ki vagyok.
> es egyaltalan nem kotelezo megadnod semilyen szemelyes adatot, nem sorolom fel milyen modszerek vannak.
Fentebb kiveséztük: Okostelefon nincs, tehát app sincs. HW key nincs, meg amúgy is, az ugyanúgy egyedi fingerprint. TOTP-t megpróbáltam, nem működött. A hatszámjegyű kódot 100%-ban visszaköpte, a recovery kódokat rnd().
> ez most anyagi vagy elvi kerdes?
Anyagi.
> Persze lehet dacoskodni, de ettol nem fog a Githubnal senki hasraesni. Azta, hogy megszivatott minket. Kenyelmetlenul hasznalja a rendszert a fafejusege miatt.
Fordítsuk meg: kényelmetlenné tették a rendszert a saját fafejűségük miatt. Hovatovább, ha csak egy elmebeteg kecske (én) mondaná ezt, akkor igazad lenne, de egyre több user/repo pattan meg. Akkor is ezt fogják mondani, hogy "azta, hogy megszivattak minket", ha tömegével húznak majd el onnan? Egyelőre még csak apránként lépnek le (tízezrével a sokmillióból), de itt a tendencia a kérdés.
> Szarul, egy gyenge jelszoval vedve (kb elso hullamban alltam at 2fa-ra, mert olyan projektekhez volt hozzaferesem, ahol nem lett volna jo, ha barki ellopja az accountomat)
És? Ez legyen a te dolgod. Ha te váltani akarsz, akkor tegyed. Másnak ne tedd kötelezővé, kösz.
> Marmint a privacy nacik, meg akinek rejtegetnivaloja van, aki nem kolt 3000 Ft eldobhato simre, stb. A legtobbunknek nem okoz problemat bejelentkezni a githubra
Gratulálok ehhez a véleményhez. Aki nem szeretné az élete minden szegmensét kiteregetni a tömegmanipulációval foglalkozó amcsiknak, az privacy náci, meg biztos bűnöző, hiszen tisztességes embernek nincs mit rejtegetnie.
Engedelmeddel felszerelnék a slozidba egy kamerát és kitenném a live feed-et a tecsőre meg pár óriás kivetítőre a világ nagyvárosaiban. Jó lesz?
Engedelmeddel elkérném a bankkártyád adatait, aztán megyek bevásárolni. Jó lesz?
Engedelmeddel kiposztolnám redditre meg még pár helyre az egészségügyi kartonodat. Jó lesz?
Engedelmeddel lemásolnám a lakáskulcsodat párezer példányban és szétosztanám a csövesek, meg a maffiózók között. Jó lesz?
Jó reggelt kívánok, tudod mi az az érzékeny adat? Szerinted miért nem osztunk meg mindent mindenkivel? Ez nem privacy nácizmus, hanem óvatosság és józan ész. Mindenkinek van mit rejtegetnie: a saját fontos dolgait, amiken keresztül sebezhető - ez lehet a bankszámlád hozzáférése is, de akármi más is; te sem hagyod ott lezáratlanul a mobilodat/laptopodat mindenféle zsúfolt helyen, mert nem akarod, hogy visszaéljenek vele, nemdebár?
Az információ hatalom. Hatalom annak, aki birtokolja és hatalom afelett, akiről birtokolja. És ennek semmi köze nincs ahhoz, hogy ki privacy náci, meg ki mit rejteget. Ha tudják rólad, hogy mi érdekel, mire reagálsz, hogy mennyi pénzed van, milyen problémáid vannak, hogyan élsz, mit csinálsz, akkor manipulálni és/vagy támadni tudnak. Képzeld el ugyanezt tömegszinten. Szerinted, ha nem érné meg nekik a tömeges megfigyelés, akkor beleölnének ekkora pénzeket a rendszer kiépítésébe és fenntartásába? Gondolkodj már. Országok sorsát is el lehet akár így dönteni. És ha ezek után valaki nem akarja, hogy kövessék, megfigyeljék, hogy bűnözőként, állatként, kezeljék, akkor szerinted az hülye?
> Ezt kifejtened? Mert en egeszen eltero tanulmanyokat olvastam 2fa-rol. Nekem azt adja ki a matek, hogy jelszo mindig gyengebb mint ugyanaz a jelszo meg meg valami.
Kifejtem, bár már az elején leírtam, hogy a legnagyobb sechole az user, feltételeztem érteni fogod. Ugyan ez eléggé merev felfogás, hogy mit "ad ki" a matek, de megnézhetjük így is: ha van egy olyan jelszavad, hogy "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8", meg egy olyan, hogy "x", meg arra még valami, akkor is a második felállás a jobb?
Aztán, mint mondtam, ez egy merev megközelítés, csak a metódust nézi (azt is rugalmatlanul), a körülményeket nem. Ha a júzer hülye és a hekkerek meghekkelik a ringyózos gépét/szardroidos mobilját, akkor fújhatja a 2FA-t. Márpedig a júzerek többsége hülye. Ezt te is elismerted fentebb. Ennek eredménye az is, hogy windózos ill. droidos malware milliószámra kószál mindenfelé. És ez csak az egyik fele. Ki is csalhatják tőle a hozzáférést. Pont mint jelszónál. Azonfelül mi lesz, ha lenyúlják a mobilját? És még sorolhatnám. Nem. A hülye júzerek számára a 2FA-tól semmi sem lett biztonságosabb, mert ők maguk a gyenge láncszem, a szűk keresztmetszet a biztonsági rendszerben. Aki meg tudja mit csinál, az meg elvolt enélkül a marhaság nélkül is.
- A hozzászóláshoz be kell jelentkezni
"Úgyhogy nem nálam van valami elkefélve." latom nem ertetted amit irtam, nem a jelszavad minosegevel volt bajom, hanem azzal, hogy _ha nalad a 2fa nem javit a biztonsagon, akkor valami el van kefelve_ mert az by design javitja
"Akinek erre nincs igénye, arra miért is kell rákényszeríteni?" Ha' ne legyel legyszi ilyen igenytelen. Most erre mit mondjak, es akinek nincs igenye egy jo jelszora, azt engedjuk be jelszo nelkul? Nem veletlen vannak password policyk, mert vannak igenytelenek. Es nem veletlen van 2fa policy, mert vannak igenytelenek.
"de 20-30 ember véleménye még mindig reprezentatívabb, mint egyé, esetünkben itt a tiéd" ezt ugy mondod mintha en lennek az egyetlen, aki tudja hasznalni a githubot :D 20-30 ember. legyen 1000, "GitHub reports having over 40 million users" mondjuk ha a negyede aktiv. Az annyi mint 0.01% Es 10M userrel es 1000 panaszossal szamoltam.
"csak ezzel pont a fentebbi állításodnak mondasz ellent" ellent nem mondok. Van egy alap kovetelmeny, jelen esetben a 2fa, es annak hasznalataban donthet a user, de biztos az elso pontot nem fogtad fel, ezert ki kellett emelni. Ezen az elven legyen opcionalis a jelszo, ugyse ved meg a user hulyesegtol.
"Ez már megint az a kategória, hogy messze több idő és szívás, mint beloggolni az emailfiókba" tehat a) a legegyszerubb modon hasznalod, b)
<code>
docker run -d \
--name=firefox \
-p 5800:5800 \
--shm-size 2g \
jlesage/firefox
</code>
Te ez annyira bonyolut volt, hogy lezsibadt az agyam, es macos-en is mukodik
"hogy személy szerint tudja, hogy ki vagyok" ezen vitatkozhatunk, nekem a beazonositas azt jelenti, hogy nem valaki mas hasznalja a fiokodat, de hogy te szemely szerint ki vagy az mindegy, hiszen nem is kotelezo megadni semilyen szemelyes adatot
"Anyagi" az oszinten szomoru, hogy nincs par ezer forint, hogy kenyelmesebben ferj hozza az amugy igen fontos repokhoz
"ha tömegével húznak majd el onnan" ebbol mennyi lepett le a 2fa miatt, mert most arrol beszelunk. az, hogy felnek vagy utaljak az ms-t egy masi kkerdes. Konkretan hanyan mennek el a kotelezo 2fa miatt?
"Másnak ne tedd kötelezővé" nem en tettem kotelezove. aljjon mar meg a menet. en nem artottam neked semmit, azon kivul, hogy elmondom az allaspontomat, ami epp nem egyezik a tieddel
"Engedelmeddel ..." ezek valoban egy lapon emlithetoek azzal, hogy valaki megtudja melyik repoba kommitoltal (raadasul megadhatsz eldobahto szamot, es akkor meg csak az sem)
"Ha tudják rólad, hogy mi érdekel, mire reagálsz, hogy mennyi pénzed van, milyen problémáid vannak, hogyan élsz, mit csinálsz, akkor manipulálni és/vagy támadni tudnak." Es esetunkben mit tudnak meg rolad? Hogy belekommitaltal XY repoba. Attol, hogy megadod a telefonszamod, es kommitolsz egy repoba hogy jon az, hogy "mi érdekel, mire reagálsz, hogy mennyi pénzed van, milyen problémáid vannak" Ertem en amit irsz, es nem is alaptalan. Csak epp nem ebben kontextusban.
"akkor beleölnének ekkora pénzeket a rendszer kiépítésébe és fenntartásába" gondolom mekkora osszeg lehetett a githubnak kotelezove tenni a 2fa-t, amit ki is lehet jatszani. Mekkora sikerstory lehet naluk
"akkor is a második felállás a jobb?" te bakker tenyleg ekkora hulye vagy?? Ha van egy jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" vagy van a jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" meg meg valami, akkor melyik a tobb? Ne almat hasonlits mar kortehez!
"a körülményeket nem" tok mindegy, abszolut szinten a vilag legerosebb jelszava is kevesbe biztonsagos, mint a vilag legerosebb jelszava plusz meg egy faktor (amig a faktor nem gyengit a jelszon)
"Ki is csalhatják tőle a hozzáférést. Pont mint jelszónál." Igen de nehezebb a jelszot meg meg valamit kicslani mint csak a jelszot.
"Azonfelül mi lesz, ha lenyúlják a mobilját? És még sorolhatnám." Akkor meg mindig le kell nyulni a jelszavat. Persze minden ellen nem ved, de JELSZO < JELSZO+VALAMI. Erted az egyik esetben egy dolog van a masikban meg ketto. raadasul sokszor ket kulon devicen. Nekem pl nincs github jelszo a telomon, a gepemen meg nincs authenticator. tehat 2 devicet kell megbaszni 1 helyett.
- A hozzászóláshoz be kell jelentkezni
Mostmar aztan tenyleg annyi modszert ajanlottunnk, ha ezekbol se tudsz valasztani, akkor nem is akarsz
- A hozzászóláshoz be kell jelentkezni
Aha persze, tehát ha nincs pénz, okostelefon, a maradék meg vagy ki lett próbálva és nem működik, vagy csak körülményesebb, mint az emailes login, akkor én nem akarok. Oké.
- A hozzászóláshoz be kell jelentkezni
Hat ha objektiven megnezed mindennel bajod van. bajod van cookie tarolassal, bajod van a szam megadasaval, bajod van az eldobhato szammal, bajod van egy mobillal, bajod van az emulacioval, bajod van kontenerbe zarassal, bajod van a HW kulccsal, bajod van az emailbol masolassal, mindennel. Ugy is mondhatnam, hogy semmi sem jo, kiveve, hogy egy 40M usert szamlalo platformot allitsanak at a te elkepzeleseidre, mert neked aztan eros a jelszavad.
- A hozzászóláshoz be kell jelentkezni
Ennyi erővel én meg azt írom, hogy neked van bajod mindenkivel, aki nem hajlandó felszopni az ideológiáidat. És nem kell átállítani semmit az én elképzeléseimre, én csak egy kicsit rugalmasabb hozzáállást és opcionalitást kértem. De fröcsögni és belemagyarázni megint egyszerűbb, mint olvasni és értelmezni. Go rent a clue.
- A hozzászóláshoz be kell jelentkezni
a maradék meg vagy ki lett próbálva és nem működik
A support mit mondott? Ha mar leirtad, akkor sorry, elkerulte a figyelmem.
- A hozzászóláshoz be kell jelentkezni
Nem írtam nekik, elég hülyén vette volna ki magát, hogy helló, épp szeretném megkerülni a vackaitokat, de a TOTP így nem akar menni...
- A hozzászóláshoz be kell jelentkezni
Ez valoban hulyen venne ki magat, inkabb ilyesmit irnek: "hello, megprobaltam beallitani a totp-t, de nem sikerult, tudtok segiteni?"
- A hozzászóláshoz be kell jelentkezni
Ezzel csak az a baj, hogy nem ez a helyzet. A TOTP-t sikerült beállítani, ezt le is írtam. A kamu akkanton be lett kapcsolva a 2FA és a rendszer a bekapcsolás megerősítésekor elfogadta a 6 számjegyű kódot. Él a TOTP-s 2FA. A probléma, hogy nem enged be, csak akkor ha recovery kódot küldök és akkor is csak az esetek (hasraütés) felében, amúgy kivágja a browsert. Ha ezek után előadom, hogy az OTP decodingot parancssorból intéztem, a QR kód-ot meg egy online dekóderrel és az egész procedúrához több browsert is használtam, akkor jó, ha annyit visszaírnak, hogy sorry, de nem véletlenül írtuk, hogy mobil appal csináld az egészet, mert ahhoz értünk és abban tudunk segíteni, ezzel a felállással nem tudunk mit kezdeni. És ezért még csak kárhoztatni sem lehetne őket.
- A hozzászóláshoz be kell jelentkezni
De megint az tortent, hogy meg sem probaltad ("jó, ha annyit visszaírnak" vs. "baszd meg a funyirodat"), csak feltetelezed, hogy ugyis elhajtananak, meg hulyen venne ki magat, meg mittudomen.
Egyebkent meg azt irtad, hogy a statikus recovery keyt sem fogadta el, aminek nem sok koze van a mobilapphoz, azt is megirhattad volna. Na mindegy, nem nekem fontos. :)
- A hozzászóláshoz be kell jelentkezni
Megint? Mi az, hogy megint? Mit nem próbáltam meg előtte? A felsorolt alternatívákat? Akkor ebben a posztban mit csináltam? Olyat meg nem is állítottam, hogy "elhajtanak". Látom itt tényleg nem az számít, hogy mik a tények, mi az igazság, hanem, hogy a tyúkszaros sérülő ideológiák védelmében a másik embert meg kell próbálni így-vagy-úgy hiteltelenné tenni, ha máshogy nem megy, hát hazudozással, a félig elolvasott posztjába belemagyarázással...
De rajtam ne múljon, megírtam nekik. Ha szétteszik a kezüket, vagy nem válaszolnak, előrébb leszek vele?
A statikus recovery key-eket ad-hoc módon fogadta el, ezt mondtam, nem azt, hogy egyet sem fogadott el, plz. olvasd már el rendesen amit írok. (De egyébként ezt is megírtam nekik, mindent leírtam, amit csináltam.)
- A hozzászóláshoz be kell jelentkezni
Megint? Mi az, hogy megint?
Gyakorlatilag az osszes eddigi, ehhez hasonlo vitank ugyanezt a forgatokonyvet koveti.
itt tényleg nem az számít, hogy mik a tények, mi az igazság, hanem, hogy a tyúkszaros sérülő ideológiák védelmében a másik embert meg kell próbálni így-vagy-úgy hiteltelenné tenni
Szerintem itt teged vezerelnek ideologiak, a threadben megszolalok nagy resze egesz gyakorlatiasan all a dologhoz: hasznalja a szolgaltatast, vagy nem.
Ha szétteszik a kezüket, vagy nem válaszolnak, előrébb leszek vele?
Mindenkeppen. Peldaul az orrom ala dorgolheted, hogy igazad volt a supporttal kapcsolatban, te behuzhatod a strigulat, en meg elhetem tovabb az eletem ugy, hogy holnap mar nem is fogok emlekezni a kalvariadra a Github MFA-val. :)
A statikus recovery key-eket ad-hoc módon fogadta el, ezt mondtam, nem azt, hogy egyet sem fogadott el, plz. olvasd már el rendesen amit írok.
Ha tizbol kilencet elfogad, es csak egyet nem, az is valid support issue, nem hajthatnak el vele.
- A hozzászóláshoz be kell jelentkezni
> Gyakorlatilag az osszes eddigi, ehhez hasonlo vitank ugyanezt a forgatokonyvet koveti.
Érdekes. Én valahogy máshogy emlékszem.
De ezektől függetlenül is, csak úgy megjegyezném, hogy azt egy kezemen is össze tudnám számolni, hogy én hányszor kezdeményeztem veled - bármilyen - beszélgetést, ahhoz viszont féltucat kéz is kevés lenne, hogy összeszámoljam, hogy te hányszor kezdtél el velem kötözködni a nem tetsző véleményem miatt. Főleg, ha köze volt az ms-hez. Röviden te vagy az, aki jössz és beszólsz. Nekem ilyenféle forgatókönyv rémlik inkább.
> Szerintem itt teged vezerelnek ideologiak, a threadben megszolalok nagy resze egesz gyakorlatiasan all a dologhoz: hasznalja a szolgaltatast, vagy nem.
Engem? Mégis mifélék, ha szabad tudnom? Az ideológia, ha nincs pénzem mobilra, vagy hardwarekulcsra? Az ideológia, ha eldobok egy javaslatot, mert több szívással jár, mint a fennálló helyzet? Az ideológia, ha kipróbálok egy javaslatot, csak épp nem működik? Az az ideológia, hogy valaki zsigerből úgy reagál, hogy biztos megint csak szegény ártatlan mikiszoftot támadom. És most nem csak rólad beszélek, mert nem voltál vele egyedül.
> Mindenkeppen. Peldaul az orrom ala dorgolheted, hogy igazad volt a supporttal kapcsolatban, te behuzhatod a strigulat, en meg elhetem tovabb az eletem ugy, hogy holnap mar nem is fogok emlekezni a kalvariadra a Github MFA-val. :)
Megmondtam, hogy a fölényeskedést lehet abbafejezni, mert pont neked nincs rá okod. Ez nem strigulahúzogatás, maximum nálatok; pont erről beszéltem, hogy el nem olvassátok, amit az ember ír, aztán meg belemagyaráztok valamit, mindegy, csak nyerjetek.
Ami pedig az emlékezetet illeti - csak, hogy mondjak egy konkrét példát is - te emlékszel rá, amikor egy linuxfanboi elsütött egy baromságot a WSL-lel kapcsolatban - vagy szándékos csúsztatást, mert ez végül nem derült ki - akkor ismét csak triggerelődtél és baromi nagy elánnal tettél többek között egy olyan kijelentést is, hogy az OSX-nek nem lehet a felületét lecserélni, majd tereléssel és bullshittel hárítottál? Én igen. Láttál te tőlem ott fölényeskedést, személyeskedést, gúnyolódást, vagy a mondandódba bármi belemagyarázást? Nem. Végig arra reagáltam, amit mondtál és végig a tényekre koncentráltam, ha nem tűnt volna fel. Úgyhogy egyfelől ismét ennyit az említett "forgatókönyvedről", meg a gyakorlatias hozzáállásról is. Neked egyszerűen nem tetszik a pofám és/vagy a véleményem, ami egy dolog, de kamuzni azért nem kéne, főleg nem úgy, hogy azt osztod rám, amit nem én, hanem te csinálsz.
Ami pedig az orrod alá dörgölést illeti, azzal sem volnék előrébb, csak úgy mondom. De köszi a feltételezett rosszindulatot.
> Ha tizbol kilencet elfogad, es csak egyet nem, az is valid support issue, nem hajthatnak el vele.
De én nem is mondtam, hogy elhajtanak bármivel is, ezt te adtad a számba. Már megint.
- A hozzászóláshoz be kell jelentkezni
hányszor kezdtél el velem kötözködni a nem tetsző véleményem miatt
Emlekeim szerint a legelso kommentem ebben a threadben az volt, hogy leirtam, nem az a normalis mukodes, ami nalad van. Ezt elintezted az ilyenkor szokasos WORKSFORME-sablonvalasszal, pedig az, hogy egy feature-nek hogy kellene mukodni, eleg hasznos info a debuggolashoz.
A microsoftos megjegyzest nem gondolom, hogy ennyire komolyan kell venni, de ha mar itt tartunk, amellett a velemenyem mellett kitartok, hogy a temaban tett megnyilvanulasaid a legkevesbe sem objektivek. (Mielott valaszolnal: az, hogy esetleg az enyem vagy barki mase sem, nem valtoztat ezen.)
De én nem is mondtam, hogy elhajtanak bármivel is, ezt te adtad a számba. Már megint.
Hogy mit adtam en a szadba? Arrol szolt az adott mondat, hogy lenyegtelen, hogy egy kodot nem fogad el, vagy az osszeset, az hibas mukodes, es a supportnak foglalkoznia kell vele.
- A hozzászóláshoz be kell jelentkezni
> Emlekeim szerint a legelso kommentem ebben a threadben az volt, hogy leirtam, nem az a normalis mukodes, ami nalad van.
Elég szomorú, ha ennyire rossz a memóriád, az meg még szomorúbb, ha még arra sem vetted a fáradságot, hogy megnézd, mit írtál. De akkor beidézem én, hogy mivel is nyitottál:
Ja, tudom, mert a Microsoft csinalta, ugyhogy biztosan szar. :)
Ilyet senki nem mondott. Ezt megint te láttad bele.
> Ezt elintezted az ilyenkor szokasos WORKSFORME-sablonvalasszal, pedig az, hogy egy feature-nek hogy kellene mukodni, eleg hasznos info a debuggolashoz.
A "WORKSFORME sablonválasz" pedig a te WORKSFORME sablon-attitűdödnek szólt.
> amellett a velemenyem mellett kitartok, hogy a temaban tett megnyilvanulasaid a legkevesbe sem objektivek.
Igen, tudom, már a tudtomra adtad, hogy neked mindegy, mit mondok, te mást gondolsz és punktum. És látod? Már megint arra megy ki a játék, hogy becímkézz, hogy én csak azért támadom ezt a marhaságot, mert ms és megpróbáld hitelteleníteni azt, amit mondok. Holott nem írtam le elégszer, hogy totál irreleváns, hogy itt pont a mikiszoft vette meg a githubot? No comment. Hidd el, ha nekem valamivel valami bajom van, azt ki is mondom. Nem tűnt még fel?
> Hogy mit adtam en a szadba?
Azt, hogy elhajtanak. Én ilyet egyszer sem írtam, hogy elhajtanának. Azt mondtam, hogy valószínűleg nem fognak tudni segíteni, de olyat nem mondtam, hogy elhajtanak. Ezt te írtad. Helyettem. Már megint...
> Arrol szolt az adott mondat, hogy lenyegtelen, hogy egy kodot nem fogad el, vagy az osszeset, az hibas mukodes, es a supportnak foglalkoznia kell vele.
Ha tud. Egyfelől nem biztos, hogy idejük lesz rá - ki van írva a support oldalon, hogy a kávénak köszönhetően csökkentett módban futnak (pun intended) - másfelől meg, ha nem tudnak mit kezdeni a problémával, akkor nem lehet tőlük elvárni, hogy oldják meg.
- A hozzászóláshoz be kell jelentkezni
A "WORKSFORME sablonválasz" pedig a te WORKSFORME sablon-attitűdödnek szólt.
Lasd fentebb: "az, hogy egy feature-nek hogy kellene mukodni, eleg hasznos info a debuggolashoz." Ha neked ebbol annyi marad meg, hogy WORKSFORME, az nem biztos, hogy az en hibam.
- A hozzászóláshoz be kell jelentkezni
Ne hazudj. Nem erre kaptad a WORKSFORME-t, hanem erre, ahol megint annyit tudtál leírni, hogy neked működik, azaz a szokásos WORKSFORME sablon-attitűdödre. Meg persze, hogy megint szegény mikrofost báncsák.
- A hozzászóláshoz be kell jelentkezni
Ne hazudj.
Te meg ne beszelj ossze-vissza.
Nemcsak azt irtam le, hogy nekem mukodik, hanem hogy hogyan mukodik, mi az elvart viselkedes. ("Nekem eleg volt a gepemen egyszer belepni az email fiokomba, es bemasolni a kodot. Azota nem keri.")
Ezutan jott a WORKSFORME-sablonvalaszod. ("Azzal nem tudok mit kezdeni, hogy neked megint WORKSFORME.")
Es en erre valaszoltam, hogy ha valoban a megoldast keresned panaszkodas helyett, akkor tudnal mit kezdeni az infoval. ("ha valoban erdekelne a tema, akkor tudnal vele mit kezdeni")
A tovabbiakban nem kivanok kommenteket copypaste-elni, ott a thread nezet, vilagosan latszik, hogy melyik komment mire erkezett.
- A hozzászóláshoz be kell jelentkezni
> Te meg ne beszelj ossze-vissza.
Én meg ne beszéljek össze-vissza? Azaz oké, hogy te ne hazudozz, csak akkor én meg beszéljek össze-vissza? Tehát magyarán elismered, hogy hazudtál. Ok.
> Nemcsak azt irtam le, hogy nekem mukodik, hanem hogy hogyan mukodik, mi az elvart viselkedes. ("Nekem eleg volt a gepemen egyszer belepni az email fiokomba, es bemasolni a kodot. Azota nem keri.")
Csak amit leírtál, az egy vödör vizet nem ért. Ugyanis képzeld, én is ezt csináltam. De nekem kérte, ahogy le is írtam: "Nekem minden alkalommal kéri. Ez probléma."
Mit szerettél volna itt tőlem? Mégis mit? Én is tudom, hogy kell belépni, képzeld el. Én is ugyanezt csináltam, képzeld el. Tehát magyarán nem írtál semmi érdemlegeset. Illusztrálom:
- Nem indul be a gépem, biztos bedöglött.
- Nekem megy, csak meg kell nyomni elöl a nagy gombot.
Na, ez kb. ilyen szint volt. Leírtad, hogy hogy kell használni, köszi. Holott a fenti posztomból kiderült, hogy én is be tudtam lépni, csak mindig kérte a megerősítőt. Az, hogy neked nem kérte, azzal nem tudok mit kezdeni. Ahogy le is írtam. Az, hogy neked ugyanaz működik, az WORKSFORME, akár tetszik neked, akár nem.
> Ezutan jott a WORKSFORME-sablonvalaszod. ("Azzal nem tudok mit kezdeni, hogy neked megint WORKSFORME.")
Mivel csak annyit írtál, hogy neked megy. Arra mit írjak? Betonszatyrot? Legközelebb azt írom.
> Es en erre valaszoltam, hogy ha valoban a megoldast keresned panaszkodas helyett, akkor tudnal mit kezdeni az infoval. ("ha valoban erdekelne a tema, akkor tudnal vele mit kezdeni")
Kaptál rá választ. Csak nem tetszett.
> A tovabbiakban nem kivanok kommenteket copypaste-elni, ott a thread nezet, vilagosan latszik, hogy melyik komment mire erkezett.
Valóban felesleges is, mert látszik, hogy leszarod mit mondok (még be is ismerted), az érveim helyett engem támadsz. Nézd vissza az utolsó pár posztot. A témával kapcsolatos hozzászólások már rég elhaltak, az utolsó a supportos kaland kudarcával. Már rég arról szól, hogy én ilyen, meg olyan vagyok. Már megint. Miközben ismét te szóltál be, te kezdted a konfliktust, ismét te voltál, aki személyeskedni, belemagyarázni, fölényeskedni kezdett; ismét úgy próbáltál "vitatkozni", hogy engem minősítesz, mert ha sikerül, akkor majd biztos hiteltelen lesz, amit mondok, az érveimmel már nem is kell foglalkozni. Nos, magadat minősítetted, nem engem.
- A hozzászóláshoz be kell jelentkezni
Nincs kedvem lefutni ujra es ujra ugyanazokat a koroket. Nyertel! :)
- A hozzászóláshoz be kell jelentkezni
Írtak választ, lássuk sorban:
Hi there,Thanks for getting in touch about this. I'm afraid there is no way for us to troubleshoot third party authenticator applications, but there are a couple of things that you can try:
Azaz nem tudnak mit kezdeni azzal a felállással, ami nálam van. Pontosan erre számítottam, de szerinted ez "baszd meg a fűnyíródat" hozzáállás.
Make sure that both the TOTP authenticator application, and your mobile operating system, are up to date.
Up-to-date. Csak nem mobil. Leírtam nekik, hogy nem mobil, de nem tudnak vele mit kezdeni, legyen mobil, mert ahhoz értenek. Ezt is megjósoltam, de nem hittél nekem.
Then, check if your phone is set to sync time with an NTP server. We see similar issues when the clock on your phone is out of sync with the clocks on our server.
Nincs baja az időnek, be van lőve. Csak ugye még mindig mobil.
As far as the recovery codes, each 10-digit recovery code is single use only, so you could try a different code from the set in case you've used any of them previously.
Na, ez már hordozott érdemi infót is, miszerint egy recovery kód egyszer él, ezért dobált ki vele 50%-ban. (Egyébként volt egy ilyen sanda gyanúm, de nem voltam benne biztos, mert nem sorban copyztam be a kulcsokat.) Magyarán, ha recovery kóddal akarok beloggolni, akkor újra és újra generálni kell őket. Alapvetően ez még nem olyan vészes workaround, mert ezt legalább csak minden tizedik (?) loginnél kell csak csinálni, de ha elfelejtem, akkor rászívtam, kőkeményen.
If you're currently logged in, I'd also suggest setting up some of these additional recovery methods:
Aszongya, hogy:
Let us know if you have any other questions.
Nincs több kérdésem, tisztelt bíróság.
Nos, elégedett vagy? Én megpróbáltam és nem lettem vele előrébb, csak az időt pazaroltam feleslegesen és ezt lehetett előre tudni, csak gondolkodni kellett egy kicsikét. Semmi "baszd meg a fűnyíródat" nem volt benne, csak ez ennyire nyilvánvaló volt, hogy nem azért írnak le oda guide-ot, hogy te attól eltérj, hanem azért, mert ők is így csinálják és ezért ehhez értenek és ha más módszerhez kérek segítséget, akkor csak az időmet pocsékolom. (Meg az övéket is, hozzáteszem.)
- A hozzászóláshoz be kell jelentkezni
Ahogy mondtam, behuzhatod a strigulat. :)
Milyen appot hasznalsz TOTP generalashoz?
- A hozzászóláshoz be kell jelentkezni
Én meg mondtam: nem húzogatok strigulát. A fölényeskedés az látom nagyon megy, az olvasás már nem annyira. Nem tudom, miért feltételezel folyamatosan rosszindulatot, dehát mindenki magából indul ki.
Leírtam: oathtool. Azzal reggeltem be. Az még működött, mármint a regisztráció.
- A hozzászóláshoz be kell jelentkezni
dehát mindenki magából indul ki.
Te is? :)
- A hozzászóláshoz be kell jelentkezni
Hát, amennyiben megengedsz nekem ennyit, hogy a mindenkibe én is beletartozhassak... De amúgy én mit is feltételeztem rólad? Egyelőre te feltételeztél itt mindenfélét, a strigulahúzogatástól elkezdve a biztosmegintcsakamájkiszoftotbáncsáig.
- A hozzászóláshoz be kell jelentkezni
> latom nem ertetted amit irtam, nem a jelszavad minosegevel volt bajom, hanem azzal, hogy _ha nalad a 2fa nem javit a biztonsagon, akkor valami el van kefelve_ mert az by design javitja
Lentebb adtam példát, hogy ez miért nincs kőbevésve, de csak lehülyéztél.
> Ha' ne legyel legyszi ilyen igenytelen. Most erre mit mondjak, es akinek nincs igenye egy jo jelszora, azt engedjuk be jelszo nelkul? Nem veletlen vannak password policyk, mert vannak igenytelenek. Es nem veletlen van 2fa policy, mert vannak igenytelenek.
Ne adj szavakat a számba. Valahogy hitelesíteni kell a júzert az igaz. De ha valakinek megteszi, hogy csak jelszava van, akkor az az ő dolga.
> Van egy alap kovetelmeny, jelen esetben a 2fa, es annak hasznalataban donthet a user, de biztos az elso pontot nem fogtad fel, ezert ki kellett emelni. Ezen az elven legyen opcionalis a jelszo, ugyse ved meg a user hulyesegtol.
Ha ezt úgy érted, hogy a júzer írhasson be üres jelszót is, akkor tkp. igen. Az az ő dolga. Ha feltörik, az meg az ő baja. De csak azért, mert hülye, azért ne más szívjon. Unom már, hogy a hülyék miatt vezetnek be mindenféle extra biztonságoskodási korlátozást, ami aztán a hülyét ugyanúgy nem védi meg saját magától, de legalább rabolják vele az ember idejét.
> Te ez annyira bonyolut volt, hogy lezsibadt az agyam, es macos-en is mukodik
Rossz lehet neked. Miért is jobb ez így, mint simán fenntartani egy browsert csak github célra? Mire gondolsz? Hogy ha van egy szeparált browser, aminek nem kell üríteni a cache-ét, mert csak erre használom, azzal nem kell mindig beloggolni az emailfiókba? Hát, ha a sütik lejártak, akkor de. És ezen nem segít a docker.
> ebbol mennyi lepett le a 2fa miatt, mert most arrol beszelunk. az, hogy felnek vagy utaljak az ms-t egy masi kkerdes. Konkretan hanyan mennek el a kotelezo 2fa miatt?
Ezt nem tudom. De aki az ms miatt lépett le, az a legnagyobb valószínűséggel megtette az első 168 órában, vagy valami hasonló időintervallum alatt. Akik utána léptek le, azok korábban nem utálták az ms-t? Akik a fent linkelt topciban panaszkodtak, azok sem az ms ellen beszéltek (többnyire), hanem ez ellen a marhaság ellen.
> nem en tettem kotelezove. aljjon mar meg a menet. en nem artottam neked semmit, azon kivul, hogy elmondom az allaspontomat, ami epp nem egyezik a tieddel
Az nem baj, hogy nem értünk egyet. De az viszont baj, belőled az egyet nem értés instant személyeskedést vált ki, lehülyézed a másikat, miközben te voltál, aki a hét baromságát elsütötte ld. privacy náci.
> ezek valoban egy lapon emlithetoek azzal, hogy valaki megtudja melyik repoba kommitoltal (raadasul megadhatsz eldobahto szamot, es akkor meg csak az sem)
> Es esetunkben mit tudnak meg rolad? Hogy belekommitaltal XY repoba. Attol, hogy megadod a telefonszamod, es kommitolsz egy repoba hogy jon az, hogy "mi érdekel, mire reagálsz, hogy mennyi pénzed van, milyen problémáid vannak" Ertem en amit irsz, es nem is alaptalan. Csak epp nem ebben kontextusban.
Ezek példák voltak. A lényeg az információ. Ha az utcán szólítanak le, hogy te add már meg a telefonszámod, akkor is megadod? Vagy ha egy étterembe mész be és csak akkor mehetsz be, ha megadod, akkor is? Ajánlom figyelmedbe ezt a comicot. Szatíra, de a lényeg adja magát.
> gondolom mekkora osszeg lehetett a githubnak kotelezove tenni a 2fa-t, amit ki is lehet jatszani. Mekkora sikerstory lehet naluk
És még én vagyok a hülye... Itt nem csak a githubról volt szó, hanem a mass-surveillance-ről, amit az amcsik játszanak. A github itt csak egy fogaskerék.
> te bakker tenyleg ekkora hulye vagy?? Ha van egy jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" vagy van a jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" meg meg valami, akkor melyik a tobb? Ne almat hasonlits mar kortehez!
Nem, nem én vagyok a hülye, hanem nem fogtad fel, amit mondtam: te általánosságban kijelentetted, hogy jelszó vs. jelszó + valami felállás esetében mindig az utóbbi a jobb, mert ezt adja ki a matek. Én meg mutattam ellenpéldát a "matekodra", hogy egyáltalán nem. És a példa sem hülyeség: odamegy egy infós, beírja az első jelszót, mert neki olyan van, viszont nincs 2FA. Aztán megy valami lamer, beírja, hogy "x", meg 2FA. Kit törnek föl előbb? Még mindig nem érted?
> tok mindegy, abszolut szinten a vilag legerosebb jelszava is kevesbe biztonsagos, mint a vilag legerosebb jelszava plusz meg egy faktor (amig a faktor nem gyengit a jelszon)
Persze, mert te direkt ragaszkodsz mereven ehhez a felálláshoz, hogy két ekvivalens jelszónál tesszük hozzá az egyikhez a 2FA-t, holott nem, mert két userről beszélünk és az egyik így, a másik úgy.
> Igen de nehezebb a jelszot meg meg valamit kicslani mint csak a jelszot.
Kihagytad a feltört gépet/mobilt. Az smafu? Pedig hány usernek törik meg a cuccait minden nap...? Ha az megvan, fújhatja a 2FA-t, mert bemennek a gépéről, ha akarnak.
Hovatovább (ez az előbb kimaradt), kukucs, feltörtek egy raklap accountot a githubon, a gitlabon és a bitbucketen. Persze a sóder rögtön az volt, hogy ezek a köcsög júzerek tartották plaintextben a jelszavukat a repoban (mind a többezer, mind a három portálon?), meg, hogy be kell kapcsolni a 2FA-t, csak a bibi az, hogy bizony a júzerek közül elég soknak be volt kapcsolva (egy pár példa) és mégis feltörték őket. És az az ironikus, hogy itt valószínűleg még csak nem is a júzerek voltak balfaszok (legalábbis nem az összes), hanem magát a rendszert törték meg a hackerek. Na, az ellen hogy véd a 2FA, ha nem is téged támadnak? Biztonságosabb lett általa a rendszer? Nem.
> Akkor meg mindig le kell nyulni a jelszavat. Persze minden ellen nem ved, de JELSZO < JELSZO+VALAMI. Erted az egyik esetben egy dolog van a masikban meg ketto. raadasul sokszor ket kulon devicen. Nekem pl nincs github jelszo a telomon, a gepemen meg nincs authenticator. tehat 2 devicet kell megbaszni 1 helyett.
Aha, nekem meg nincs a device-hoz kötve semmi, így nyugodtan feltörhetik és ellophatják az összes device-ot, nem jutnak be sehova, nálad meg elég két device-ot megbaszni. Szekuricsi™.
- A hozzászóláshoz be kell jelentkezni
> te bakker tenyleg ekkora hulye vagy?? Ha van egy jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" vagy van a jelszavad "6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" meg meg valami, akkor melyik a tobb? Ne almat hasonlits mar kortehez!
Nem, nem én vagyok a hülye, hanem nem fogtad fel, amit mondtam: te általánosságban kijelentetted, hogy jelszó vs. jelszó + valami felállás esetében mindig az utóbbi a jobb, mert ezt adja ki a matek. Én meg mutattam ellenpéldát a "matekodra", hogy egyáltalán nem. És a példa sem hülyeség: odamegy egy infós, beírja az első jelszót, mert neki olyan van, viszont nincs 2FA. Aztán megy valami lamer, beírja, hogy "x", meg 2FA. Kit törnek föl előbb? Még mindig nem érted?
Amiről te beszélsz az jelszó1 vs jelszó2 + valami más és nem jelszó vs jelszó + valami más...
- A hozzászóláshoz be kell jelentkezni
Igen. Két dologról beszélünk. Ő azonos jelszavakkal akarja mindenáron, én meg arra szeretnék rávilágítani, hogy ha a júzer gyökér, akkor a 2FA sem fogja megmenteni, ha beírt valami nulla password-öt, míg a másik oldalon az önmagában alkalmazott erős jelszóval is többre mentünk.
- A hozzászóláshoz be kell jelentkezni
Hozzávetőlegesen hány hasonló bonyolultságú jelszót ("6v867()=/BV89BT()6tb=/%RV7r/=IBR6tbi/=T8" ) tartasz fejben?
- A hozzászóláshoz be kell jelentkezni
*sigh* Lécci, olvasd már el, amit írok, ha már reagálsz. Tök ki van azzal, hogy írok, mindenki elolvas belőle három szót, majd fröcsög, vagy jobb esetben valami hótt másra reagál, vagy olyannal próbál sarokbaszorítani, amire már rég leírtam az ellenválaszt.
Belinkeltem mhmxs-nek a jelszókezelőmet, ami nem tárolja a jelszót, hanem mnemonik + salt alapon előállítja őket (akár még ennél durvábbakat is egyébként), tehát a device korrumpálásával sem tudják lenyúlni a jelszavaimat. Azt meg meg tudom jegyezni, hogy treceha@hup, vagy retard_kecske/gitthab.
- A hozzászóláshoz be kell jelentkezni
Es ha ehhez hozzaadsz meg egy faltort attol biztonsagosabb lesz vagy nem? Ugyanezt ertelmezd plz a 40 Millio github userre is. Biztonsagosabb lesz nekik a ket faktorossal vagy nem?
- A hozzászóláshoz be kell jelentkezni
Az infósnak indokolatlan, a lamernél meg mindegy, mert úgyis megtörik, ld. a linkelt mass-hacket.
- A hozzászóláshoz be kell jelentkezni
Akkor mar csak a saltra kell vigyazni :D Te nem a jelszavaidat orzod, hanem a saltodat, raadasul egyet minden sitehoz (gondolom). OK midnent ertek :) Jah meg kell hozza egy generalasi algoritmus, "treceha@hup" ami kitalalhato, vagy vagy ha nem, akkor emg nem a jelszavaidat orzod, hanem az algoritmust. OK mindent ertek.
- A hozzászóláshoz be kell jelentkezni
tehát a device korrumpálásával sem tudják lenyúlni a jelszavaimat
Meglehet, hogy igaza van :D a konkrét jelszót nem lehet lenyúlni, de előállítható :D végülis nem lett kiolvasva/másolva sehonnan, csak az előállításához szükséges dolgok lettek megszerezve :D
- A hozzászóláshoz be kell jelentkezni
Neked is szól: tanulj meg olvasni. Nagyon cuki, hogy be+1-ezted azt a retard posztot amit alkotott, de csak azt bizonyítottad vele, ismételten, hogy nem olvastad el a posztot, vagy nem fogtad fel, ugyanis nem szerzett meg semmit az előállíátáshoz, mert mint leírtam a mnemonikok a fejemben vannak. Látom itt tényleg arra megy ki a játék, hogy a tények helyett a félig elolvasott posztba görcsös vérhugyozás közepette belemagyaráztok valami abszurd fasságot, amin aztán lehet fölényeskedve röhögni. Csak ezzel nem az én mondandómat teszitek hiteltelenné, hanem saját magatokat.
- A hozzászóláshoz be kell jelentkezni
*facepalm* Tanulj meg olvasni végre. A saltot hiába lopják el, mert mnemonik + salt kombóból áll össze a jelszó, a mnemonik meg a fejemben van. A salt egyébként globális, de ez is le volt írva a linkelt blogposztban, de megint analfabéták voltatok. Ahhoz meg jó szórakozást, hogy olyan algoritmust írj, ami kitalálja, hogy én milyen mnemonikokat használok. Az algoritmust meg senki sem őrizte; feltűnt, hogy publikus a forrás? Ja nem. Nem olvastad el. No comment.
De még ha a mnemonikokat ki is bruteforce-olják, neked már a második device ellopásánál mindenedet megtörték, amíg nálam még lehet számolgatni a lehetőségeket. Ismételten no comment.
- A hozzászóláshoz be kell jelentkezni
neked már a második device ellopásánál mindenedet megtörték,
A tiédet meg ez esetben nem kel ellopni, csak figyelni rajta a tevékenységeidet, amit ha nem veszel észre már nem is kel bruteforce-olni.
- A hozzászóláshoz be kell jelentkezni
Ez ennyi erővel oda-vissza igaz, ennyi erővel az övét sem kell ellopni, csak figyelni, hogy mit csinál, ha megcrackelték. Mit fognak előbb feltörni szerinted? Egy droidos telefont, vagy egy random UNIX-ot?
- A hozzászóláshoz be kell jelentkezni
Az ő esetében is fel kel törni egy random UNIX-ot az android mellett, amennyiben helyesen használja és nem ugyan azon a készüléken van a második faktor mint ahol épp bejelentkezik.
- A hozzászóláshoz be kell jelentkezni
Akkor meg ugyanott vannak vele. De ez a fele amúgy is spekuláció. Az, hogy valaki beszop egy malware-et, az még csak-csak elképzelhető, de az, hogy ne is vegye észre utána a megnövekedett hálózati forgalmat, az extra taskokat, a plusz CPU használatot...na, az a nem valószínű.
A feltörésekről amúgy sem szakemberek kapcsán beszéltem, hanem a lamereknél. Ott - két eszköz esetén - legnagyobb valószínűséggel droid/windóz kombó lesz, ami nem ugyanaz a kategória, mint mhmxs workstationje + a mobilja.
- A hozzászóláshoz be kell jelentkezni
"akkor az az ő dolga" a 2fa meg az uzemelteto dolga, es ha ok ugy latjak jobbnak, akkor ez van. Lehet, hogy semmi osszeeskuves nincsa hatterben, okos mernokok kitalaltak, hogy ez igy nagy atlagban kb mindenkinek jobb.
"Hát, ha a sütik lejártak, akkor de" Ezt evente hanyszor is kell megcsinalni? kontra most minden alkalommal? Pl az ellen ved, hogy ha viszik a sutiket csak a githubot viszik es csak akkor ha epp megy is a kontener, es csak a github oldalon keresztul tudnak megnyomni. Hat ez jopar extra layer, ami megneheziti a tamadot.
"lehülyézed a másikat" Le en, amikor elkezd almat kortevel hasonlitani, hogy bizonyitsa az igazat. Azt mondom egy jelszonal erosebb a jelszo meg meg egy faktor. Erre jossz nekem az "x" a jelszo, akor nem igaz. Hat persze, hogy nem igaz, csak nem errol beszeltunk.
"Ezek példák voltak" rosszak, mert nem vetheto ossze a telefonszamom a bakkartyaadataimmal. A telefonszam amugy is publikus adat.
"Én meg mutattam ellenpéldát a "matekodra", hogy egyáltalán nem" sikerult kiforgatni a szavaimat. "hogy jelszó vs. jelszó + valami" nyilvan nem jelszo meg valami tok mas jelszot kell osszehasonlitani. hanem van egy jelszavad, amihez ha hozzajon a masik faktor akkor beljebb vagy. Nem ertem mit nem lehet ezen erteni.
"holott nem, mert két userről beszélünk és az egyik így, a másik úgy" Te beszelsz ket userrol, de az csak kavaras. En egy userrol beszeltem, beszelek, es fogok is. Mert a ket useres osszehasonlitasnak se fule se farka.
"Pedig hány usernek törik meg a cuccait minden nap...?" Persze, de akkor is nehezebb ket eszkozt feltorni, mint egyet. De amugy ha a geped torik, az ellen a te cuccaid sem vedenek.
"mind a többezer, mind a három portálon?" Igen ilyen hulyek a userek. A cloud szolgaltatok parsoljak a nyilvanos repokat, mert sok ember bekommitolja a kulcsit. En szemelyesen lattam mar ilyen levelet, sot zaroltak is az accountot, mert megtalaltak repoban a kulcsot. Hat ilyenek az emberek vigyazni kell rajuk, es neha a keves kivetel jar emiatt rosszul.
"Na, az ellen hogy véd a 2FA, ha nem is téged támadnak?" nem szent gral, van ami ellen ved, es van ami ellen nem. Ez ellen nem ved, de mondjuk pont a gyenge jelszo ellen ved.
"nálad meg elég két device-ot megbaszni" igen, mert a csuszkan en a user friendly fele toltam a csuszkat, de nincs ezzel semmi baj.
"Szekuricsi™" hat nem attol lesz valami biztonsagos, hogy esz nelkul minden cuccot bevetunk. Ebben a szakmaban realizalni kell a kockazatokat. nincs tokeletes IT biztonsag, szolok a tied sem az. Ha ezzel nem ertesz egyet, akkor olvass utanna a temanak. Azert van ez, mert a vegtelen security hasznalhatatlanna teszi a rendszert. Pl kihuzod a konnektorbol, meg akkor is csomo modon meg kell vedeni. Ha bedugod a konnektorban meg tobb minden miatt, aztan ha netre dugod, szinten... Az IT biztonsag teren meg kell talani az egyensulyt a felhasznalhatosag es biztonsag kozott kockazat elemzessel. Az okoszabaly, hogy ha tobbe kerul feltorni a rendszert, mint a nyereseg, akkor szamito ember nem fogja feltorni. Maradnak a script kiddiek meg akik nem tudjak ezt a szabalyt vagy nem erdekli oket. Maris lenyegesen kissebb a tamadok halmaza. Tehat ha a min szint a script kiddiek elleni vedekezes megvan (plusz az elobbi szabaly nehogy veletlen fereertsd ezt IS), akkor mar csak tenyleg elenyeszo a tamadok szama. Ezen tenyezoket figyelembe veve valasztottam security szintet. Szoval szurkalodhatsz, de jelen allas szerint jo esellyel csak a celzott tamadasok miatt kell aggodnom. Itt ugye van a remote, amit felhasznaloi szokasokkal igyekszem minimalizalni. Illetve van a lokal, hat az ellen nem vagyok felkeszulve, hogy valaki levagja az ujjam, es kinyitja a gepet :D vagy bekamerazza a lakasom, de ezzel is egyutt tudok elni. (De pl a gaming pc-m alacsonyabb security szinten van (pl barki elviszi a merevlemezt hozzafer a dolgaimhoz), es masok is a felhasznaloi szokasaim)
- A hozzászóláshoz be kell jelentkezni
> a 2fa meg az uzemelteto dolga, es ha ok ugy latjak jobbnak, akkor ez van. Lehet, hogy semmi osszeeskuves nincsa hatterben, okos mernokok kitalaltak, hogy ez igy nagy atlagban kb mindenkinek jobb.
Jah, nagyon okosak voltak. Az eredményt az előbb belinkelt mass-hack jól szemlélteti.
> Ezt evente hanyszor is kell megcsinalni? kontra most minden alkalommal? Pl az ellen ved, hogy ha viszik a sutiket csak a githubot viszik es csak akkor ha epp megy is a kontener, es csak a github oldalon keresztul tudnak megnyomni. Hat ez jopar extra layer, ami megneheziti a tamadot.
Az a sütik lejárati idejétől függ. Ha az pl. 1800 sec, akkor elég, ha otthagyod a gépedet egy kis időre. Nem tudom a githubon mennyire állították.
> Le en, amikor elkezd almat kortevel hasonlitani, hogy bizonyitsa az igazat. Azt mondom egy jelszonal erosebb a jelszo meg meg egy faktor. Erre jossz nekem az "x" a jelszo, akor nem igaz. Hat persze, hogy nem igaz, csak nem errol beszeltunk.
Pontosítsunk, te nem erről beszéltél. Mert te mindenáron meg akarod védeni magától, azt, akit nem kell, miközben figyelmen kívül hagyod, hogy akit meg meg kéne, azt meg nem lehet.
Azonfelül az, hogy nem érted mire akarok kilyukadni, az még nem jogosít fel arra, hogy az ellenvéleményt alkotót csak úgy ex-katedra lehülyézd. Illetve pontosítok: jogod van hozzá, csak magadról állítasz ki szégyenseggi bizonyhitványt.
> rosszak, mert nem vetheto ossze a telefonszamom a bakkartyaadataimmal.
A bankkártyát már a privacy nácis agymenésedre írtam, nem a telefonszámra. Ha neked ennyire nincs rejtegetnivalód, akkor nyugodtan oszd meg mindenedet mindenkivel. De mástól ne várd ugyanezt el, köszi.
Egyébként is tendenciákról beszéltünk. [sarcasm]Ma telefonszám, holnap DNS minta.[/sarcasm]
> A telefonszam amugy is publikus adat.
Úristen... És még én vagyok hülye? A nagy lófaszt publikus adat. Annak adom meg, akinek akarom.
> sikerult kiforgatni a szavaimat. "hogy jelszó vs. jelszó + valami" nyilvan nem jelszo meg valami tok mas jelszot kell osszehasonlitani. hanem van egy jelszavad, amihez ha hozzajon a masik faktor akkor beljebb vagy. Nem ertem mit nem lehet ezen erteni.
Te nem érted meg, hogy nekem erre nincs szükségem, aki meg hülye, annak a jelszava úgyis szarabb lesz az enyémnél. Én nem értem, hogy ezen mit nem lehet érteni.
> Te beszelsz ket userrol, de az csak kavaras. En egy userrol beszeltem, beszelek, es fogok is. Mert a ket useres osszehasonlitasnak se fule se farka.
Dehogynem. Ezt magyaráztam el már hatfelől, de még mindig nem érted. Egyébként egy user is eljátszhatja azt, hogy 2FA nélkül erős jelszót használ, vele meg valami gyenge szart. Na, akkor mi van?
> Persze, de akkor is nehezebb ket eszkozt feltorni, mint egyet. De amugy ha a geped torik, az ellen a te cuccaid sem vedenek.
Nem védenek? Az attól függ, hogy mit kell védeni. A gépemet nem védik meg nyilván, de nem is arra valók. Az accountjaimat, ha feltörnék a gépemet? Akkor de. Mivel nincs tárolva a jelszó sehol - lévén generálódik a mnemonikból és a saltból - így nem tudják lelopni róla őket. A saltot le tudják, de a mnemonikok nélkül - amiket ugye fejben tárolok - nem mennek vele semmire.
> Igen ilyen hulyek a userek.
Persze. Minden egyes user direkt felrakta plaintextbe a jelszavát a repoba. Direkt. Úristen... B.U.L.L.S.H.I.T.
> A cloud szolgaltatok parsoljak a nyilvanos repokat, mert sok ember bekommitolja a kulcsit. En szemelyesen lattam mar ilyen levelet, sot zaroltak is az accountot, mert megtalaltak repoban a kulcsot. Hat ilyenek az emberek vigyazni kell rajuk, es neha a keves kivetel jar emiatt rosszul.
Nem érted. Nem azt vitatom, hogy volt aki ilyen hülye volt, hanem azt, hogy mind ilyen hülye lenne. Azonfelül, még ha tényleg mindegyik becommitolta volna direkt a jelszót plaintextbe, azoknak hogy törték fel az accountját, akiknek be volt kapcsolva a 2FA? Nem sántít ez egy "kicsit"?
> hat nem attol lesz valami biztonsagos, hogy esz nelkul minden cuccot bevetunk.
Pedig effelé tendálunk és mégsem jutunk ötről a hatra, mert a júzer a szűk keresztmetszet és nem a jelszó. És ez így is fog maradni, ezen nem lehet segíteni. És ezt a döntéshozók is tudják, nem a mi biztonságunk miatt nyomatják ezt a sok bullshitet. Még pár év és a 2FA lesz a sárbatiporva, hogy az milyen elavult, azonosítsd magad biometrikusan, vagy - önként! - beültethető chippel.
> nincs tokeletes IT biztonsag, szolok a tied sem az
Nem is állítottam ilyet. Azt állítottam, hogy az én megközelítésem így is jobb, mint a 2FA. Ellopni nem lehet a jelszavaimat, hiába törik fel a gépemet, csak magát az accountot lehet bruteforce-szal feltörni, ami pedig - tekintve, hogy 56 karakter hosszú kis/nagy betűt, számot és írásjelet tartalmazó garbage jelszavakról van szó - el fog tartani egy jó darabig; tovább, mint ha egy "közönséges" erős jelszót, meg 2FA-t használnék.
> plusz az elobbi szabaly nehogy veletlen fereertsd ezt IS
És még én szurkálódok?
> Szoval szurkalodhatsz, de jelen allas szerint jo esellyel csak a celzott tamadasok miatt kell aggodnom.
Ja, ha becéloznak távcsövessel, akkor tényleg célszerű aggódni. Szurkálódni meg egyelőre te szurkálódsz, csak fonnyadt brokkolival, így hatástalan. Javaslom a mirelit répát. Az jobb.
> Illetve van a lokal, hat az ellen nem vagyok felkeszulve, hogy valaki levagja az ujjam, es kinyitja a gepet :D
Ezért nem biztos, hogy célszerű a biometrikus azonosítás. Nem is kell, hogy levágják az ujjadat, elég, ha csak összeégeted, lemarod, összevagdalod a bőrt és eltűnnek a vonalak, akkor is rászívtál; igaz akkor az adataidat ugyan nem lopták el, csak épp te sem férsz hozzájuk. A retinát sem javaslom. :P
> vagy bekamerazza a lakasom, de ezzel is egyutt tudok elni
Jó neked. Én kidobnám a kamerákat.
- A hozzászóláshoz be kell jelentkezni
Sikerült valakinek több TOTP generátort használni egyszerre? Sajnos nem fogadja el minden a Yubikeyt és most a telefonon fut a TOTP generátor, ami ott kényelmes a másolás/beillesztés miatt, viszont ha futna a gépen is egy, akkor itt se kellene kódot gépelni.
A magyar ember jelképe a hátrafelé nyilazás. Vakon rohanunk a semmibe, miközben a múltunkat támadjuk.
- A hozzászóláshoz be kell jelentkezni
Telefon nélkül is tudsz kódokat generálni pl grakifus, de lehet jelszókezelőd is tudja.
- A hozzászóláshoz be kell jelentkezni
"Two-factor authentication application built for GNOME."
Kösz, de mint mondtam, nem akarok 2FA-ra átállni, nem akarom nekik megadni a telefonszámom.
- A hozzászóláshoz be kell jelentkezni
Nem érted. Offline a 2fa, párosítod és kész.
- A hozzászóláshoz be kell jelentkezni
Thx, én megpróbáltam, de... https://hup.hu/cikkek/20200415/github_is_now_free_for_teams#comment-2468557
- A hozzászóláshoz be kell jelentkezni
nem lehet belépni, csak úgy, hogy ha minden rohadt alkalommal belép az ember az emailfiókjába és becopyzza nekik a megerősítő kódot
Nekem eleg volt a gepemen egyszer belepni az email fiokomba, es bemasolni a kodot. Azota nem keri. Ez miert problema? Ja, tudom, mert a Microsoft csinalta, ugyhogy biztosan szar. :)
- A hozzászóláshoz be kell jelentkezni
Nekem minden alkalommal kéri. Ez probléma. Azzal nem tudok mit kezdeni, hogy neked megint WORKSFORME. Azzal meg pláne, hogy megint triggerelődtél - ezúttal teljesen feleslegesen, mert semmi olyat nem állítottam, amit te a számba adtál. Reparon a patikában.
- A hozzászóláshoz be kell jelentkezni
Azzal nem tudok mit kezdeni, hogy neked megint WORKSFORME.
Ebben nagyon tevedsz: ha valoban erdekelne a tema, akkor tudnal vele mit kezdeni. Persze mivel a legelso kommentedbol kiderul, hogy igazabol nem tartottal ott semmit, igy ertheto, ha nem fektetsz energiat abba, hogy megoldast keress. (No sarcasm intended.)
- A hozzászóláshoz be kell jelentkezni
Tényleg? Áruld már el: ha nem kerestem megoldást, akkor honnan tudom, amiket fentebb leírtam, meg belinkeltem? Megint látatlanban állítottál valamit rólam, alap nélkül. Kettő: szerinted miféle megoldást lehet itt találni? Sokan reklamálták meg ezt az újabb big-brother feature-t, de érdemi választ nem kaptak; az ms hivatalos álláspontja, hogy vagy copyzod a kódot, vagy lenyeled a békát és 2FA (linket is adtam). Három: ha tartottam is volna itt bármit, már rég migráltam volna bárhova máshova, tehát totálisan irreleváns abban a kérdésben, hogy mennyi energiát szántam arra, hogy ezt a marhaságot kikerüljem.
Csak így ennyi marhaság volt ebben a kommentben így első blikkre. Szerintem hagyjuk, mert veled ms témákban nem lehet normálisan beszélgetni: minden kritikát és negatív véleményt a cég irányában személyes sértésként fogsz fel, ráadásul ezúttal még lukra is futottál, mert én ez ellen a nagytestvérkedős marhaság ellen beszéltem; hogy a githubot pont az ms vette meg az ezúttal teljesen irreleváns, mert lehetett volna a Google vagy az Apple is, a lényeg, hogy jött egy amcsi techmammut, megvette és rögtön mass-surveillance tool-t próbál belőle fabrikálni - ez pedig nem ms-specifikus történet, hanem köcsögjenkicorp-generikus.
- A hozzászóláshoz be kell jelentkezni
A thread eddigi merlege:
- kocsog GitHub, minden belepeskor be kell copyzni a kodot – nem kell, te dobod el a sutiket
- kocsog GitHub, kotelezo a telefonszam az MFA-hoz – nem kotelezo
- "linket is adtam" – "If you're unable to authenticate using a TOTP mobile app, you can authenticate using SMS messages. [...] We strongly recommend using a TOTP application for two-factor authentication instead of SMS.
Igy nem tudok erdemben vitatkozni. Ha ez az en hibam lenne, akkor elnezest kerek.
- A hozzászóláshoz be kell jelentkezni
> kocsog GitHub, minden belepeskor be kell copyzni a kodot – nem kell, te dobod el a sutiket
Már bocs, de leírtam, miért van cache-empty minden alkalommal. Pont azért, hogy megszabaduljak a tracking-cookie-ktől. Eddig működött, most nem megy. Tehát de: köcsög github.
> kocsog GitHub, kotelezo a telefonszam az MFA-hoz – nem kotelezo
Belinkeltem fentebb egy panasztopickot, ez volt az ms álláspontja. Ezek szerint ez azóta változott.
> "linket is adtam" – "If you're unable to authenticate using a TOTP mobile app, you can authenticate using SMS messages. [...] We strongly recommend using a TOTP application for two-factor authentication instead of SMS.
Ez ugyanaz még egyszer, hogy kiderült, nem kell telefonszám. A kísérletet a használatára fentebb olvashatod.
> Igy nem tudok erdemben vitatkozni. Ha ez az en hibam lenne, akkor elnezest kerek.
Ez nem a te hibád. Az a te hibád, hogy minden egyes microsofttal kapcsolatos megnyilvánulásnál triggerelődsz és butthurtkodni kezdesz. És mint mondtam, ezúttal minősített eset, mert bármelyik másik techcég is lehetett volna a felvásárlója a githubnak; ezzel a bullshittel ("nyiff-nyaff a jelszó már nem biztonságos") indokolt extra biztonságoskodást támadtam elsősorban.
- A hozzászóláshoz be kell jelentkezni
Jo, akkor kocsog GitHub.
- A hozzászóláshoz be kell jelentkezni
Valszeg nálad a sütik ki vannak kapcsolva vagy a böngésző tiltja/törli őket. Vagy valami plugin miatt nem mennek, azért kell minden alkalmommal belépned.
Nekem telefonszám megadása nélkül működik a 2FA, KeepassXC-vel, 1x beléptem valamikor tavaly, azóta nem kellett. (Tartaléknak Yubikey.)
It is our choices that define us.
Thinkpad X1 Carbon | Arch linux
- A hozzászóláshoz be kell jelentkezni
Kikapcsolva nincsenek a sütik, hiszen akkor belépni sem lehetne, de valóban minden session végén cache-empty van, pont azért, hogy megszabaduljak a tracking-cookies és hasonló nyalánkságoktól. És ennek - idáig - ismét semmi köze nem volt az ms-hez, a github meg eddig gond nélkül ment így is.
Hát ha folyamatosan be vagy lépve, akkor nyilván nem kell minden alkalommal autentikálni.
- A hozzászóláshoz be kell jelentkezni
Nincs valami cuccod ami blokkoolja vagy torli a cookiekat?
- A hozzászóláshoz be kell jelentkezni
Egy kommenttel feljebb írtam le, hogy minden session végén cache-empty van, hogy megszabaduljak a tracking cookie-ktől, de eddig ez nem jelentett gondot, mert eddig nem akart követni a github.
- A hozzászóláshoz be kell jelentkezni
Profilkép a jobb felső sarokban -> Settings -> Security -> Two factor authentication: Disable
"Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live." John F. Woods
- A hozzászóláshoz be kell jelentkezni
Elolvastad a kommentet? Pont, hogy nincs bekapcsolva a 2FA, azért kell mindig kódot copyzni.
- A hozzászóláshoz be kell jelentkezni
Akkor félreértettem, bocsi. De ahogy elnézem, nem a többiek hülyék, csak te vagy helikopter, nálad van végzetesen elbaszva valami, ami miatt robotnak hisz a rendszer téged. Előfordul. Egy haverom minden google keresésnél képkeresősdit kell, hogy játsszon.
"Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live." John F. Woods
- A hozzászóláshoz be kell jelentkezni
Én nem hülyéztem le senkit, tehát nem érzem indokoltnak a helikopter titulust, azonfelül nincs elbaszva nálam semmi, hanem be lett vezetve feleslegesen egy felesleges feature, ami nálam is szarakszik (meg még sok más embernél is, ha valaki vette volna a fáradságot és elolvasta volna a linkelt panasztopicot). Előtte nem volt semmi probléma, most meg van, viszont a változás nem nálam volt, hanem a githubon, tehát ott van végzetesen elbaszva valami, nem nálam.
- A hozzászóláshoz be kell jelentkezni
Próbálnak picit felzárkózni ahhoz, amit a konkurencia (pl gitlab) nyújt. Viszont gitlabbal még mindig jobban jár szerintem, ha új projekthez azt szokja meg az ember, mert azt lehet on-premises is futtatni.
- A hozzászóláshoz be kell jelentkezni
Igazabol a GitHubot is, bar teny, hogy csak akkor eri meg, ha tenyleg szukseg van ra.
- A hozzászóláshoz be kell jelentkezni
Engem leginkabb az zavar a github felvasarlasaban, hogy azota nyirjak ki az atom.io-t, mert konkurencia a vscode-juknak.
Persze, el a projekt, de azert latvanyos a visszaeses. Blogposzt nincs, uj grafika nincs, szerinten a team felet szelnek eresztettek.
Amit az ms megvesz, ott csak dogszag van, kb. mint az oracle csak mashogy.
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
- A hozzászóláshoz be kell jelentkezni
Próbáltad az idén a vscode-ot? Valami hihetetlen tempóban fejlődik. Atomról váltottam, és egyszer sem éreztem késztetést, hogy akár csak részfeladat miatt visszaváltsak.
Azaz az igény hiánya nyírja elsősorban. A vscode architektúrálisan jobb, hogy a language server is plugin, így gyakorlatilag bármihez illeszthető.
- A hozzászóláshoz be kell jelentkezni