HUP 2FA

HUP

Bocs ha már volt (nem találtam ilyet). Kétfaktoros auth nem lenne jobb manapság? Nem TOTP vagy ilyesmi, csak pl. új böngészőből belépés esetén e-mailben jöhetne egy PIN kód.

  • 2693 megtekintés

( tigrincs | 2023. 12. 04., h – 13:24 )

Nem kell emailben pin kod koszi...

( carlcolt | 2023. 12. 04., h – 13:28 )

Kapcsolodo:

https://hup.hu/node/174203

De komolyan, megis mi a kockazat itt? Nem tarolok itt bankkartya adatokat, 5 sec alatt ra lehet jonni, hogy spambot irt helyettem, etc.

Én kockázattól függetlenül ahol lehet bekapcsolom a kétfaktoros authot azt jónapot. Egyszerűen nem akarok azzal tökölni, hogy valaki lenyúlja az accom. A kocsiba is mindig bekötöm magam ha 5 méterre megyek akkor is, mert már megszoktam hogy az úgy jó ;) Még 10 évesen apám rászoktatott a jóra :D

Nem fáj megsimogatni belépéskor egy YubiKeyt. Meg amúgy is többnyire belépve maradok a saját gépemen úgyhogy ritkán jön fel. A TOTP már más kérdés, az tényleg macerás, de még azt is be szoktam vállalni ha nincs jobb.

Az email csak egy hajszállal marad le az SMS után a szörnyűségi versenyen szerintem.

Az viszont fontos, hogy lehetőleg ne csak egy eszközt lehessen beállítani hanem többet: minimum 2 darab YubiKey plusz egy opcionális TOTP szerintem ami praktikus. Kell a tartalék MFA device plusz jól jön egy a táskában ha épp nem a saját helyemen kell belépnem.

Ha már itt tartunk, akkor a jelszó közvetlenül az agyhullámokból is lelopható... AI-val meg még egyszerűbb a dolog. Hiába kapod bármilyen biztonságos csatornán a 2FA kódot, ha azt egyből közvetlenül a fejedből kilopják, mikor elolvasod.

Fantasztikus, hol tart már a tudomány! :-D

( zdesigner | 2023. 12. 04., h – 13:46 )

Először kéne egy survey, hogy mennyi havidíjat fizetnének a népek a prémium szolgáltatásért. :)

Azért szerintem iszonyat tudás, tapasztalat ami itt össze van gyűjtve... Nem beszélve az elmúlt 20 év főbb IT és tech híreiről.

Emellett szerintem sem kell. Kicsit túl van tolva ez a hiper szekurity meg 2FA meg 3FA mindenhova.

"Sose a gép a hülye."

Most arról nem beszélve, hogy egy feleslegesen "security" hozzáférés, mennyivel növeli az adathalászat útján megszerzhető login-adatok, másutt történő felhasználásának lehetőségét. De legalább is, egy lépéssel közelebb juthatnak a "titkosított személyiségedhez". (Pl a "Yubi"-kulcsaidhoz. -- Az ilyet ott kell használni, ahol roppant indokolt..., és az nem a HUP!)

A kolléga arra gondol szerintem, hogy tudni fogja, hogy az a te tokened, és ezért össze tud kötni adott esetben accountokat egymással, hogy egy identityhez tartoznak. Mondjuk a fido speciel minden szolgáltatáshoz saját kulcspárt generál, uh ez valójában nem igazán probléma.

Fingom sincs, széles körben elterjedt szerintem nincs. Bár el tudnám képzelni, hogy baszakszanak ezzel, mert hw eszközön nem feltétlen triviális végtelensok privát kulcsot tárolni, a yubiknak pl van is limitje, TOTPre biztosan, szerintem fidora is valami.

Illetve hát, ha házilag gányolt valaki, akkor simán lehet, gpg, s/mime alapokon sokkal jobban ragaszkodik a megszokás egy-egy konkrét kulcspárhoz.

Csak azért mondtam a fidot, mert a yubi jött elő, ott meg talán az a legjellemzőbb usecase.

( persicsb | 2023. 12. 04., h – 13:59 )

Szerkesztve: 2023. 12. 04., h – 14:01

Ha már 2FA és biztonság, akkor legyen lehetőségem:

- akármennyi session-t nyitni (ez ahhoz kell, hogy kompromittált session-ökkel ne lehessen valid sessiont kinyírni, a mostani 3-mas korlát ezt nem teszi lehetővé)

- megnézni, hogy milyen nyitott sessionjeim vannak

- bármelyik sessiont bezárni 2FA jóváhagyás után

 

Ez ahhoz kell, hogy bármelyik faktor komprimittálódása esetén tudjam a kompromittált sessiont inaktívvá tenni.

( Gyurex v | 2023. 12. 05., k – 07:07 )

Szerkesztve: 2023. 12. 05., k – 07:09

Hasznosabb lenne a bebaszva ne tudjál már bejelentkezni!

Nyilván én lazán kapcsolódok a tímhez, de vannak még! :D

Biztos, hogy nem én gonoszoltam le!

> arra eleg lenne egy ilyen captcha: hany ujjamat mutatom?

Vizuális típus vagyok, tehát el is képzeltem. Simán átléphetetlen ez a captcha megoldásod! Nekem 3 monitorom van, pedig nem is! :)

> nehezites, hogy a kepet AI-vel generalnak hozza :)

Ma bocsánatot kért, pedig triviális volt. Szerinte gömb alakú, szerintem meg geoid a Föld. Megkövetett és ki is magyarázta. :)

Szerk.:
Megkérdeztem, hogy tényleg - sajtból van a Hold? -.
Aztán, hogy - Tényleg lapos a Föld? -.

Na ott baszta el a gömbölyűt. De szerinte ez az általános, amit mindenki ért. Én meg nem vagyok mindenki, tehát ne feltételezzen mert leoltom! :D

Biztos, hogy nem én gonoszoltam le!

( bzt | 2023. 12. 05., k – 14:43 )

Valakik már megint egy nem is létező problémát akarnak megoldani.

Most komolyan, hányszor fordult elő a Drupalos HUP használata óta, hogy valaki nevében mások posztoltak??? Na ugye, hogy ugye, nem létező probléma.

Az új Drupal rendszerben? Összesen hányszor, és hány felhasználót érintett?

(Van többszáz felhasználó a HUP-on. Ha egy-két felhasználónak el is lopták a jelszavát és posztoltak a nevében, akkor a) milyen kár is keletkezett? b) nem biztos, hogy amiatt az egy-két eset miatt megéri szopatni a többi több száz felhasználót.)

Értsd: amióta a HUP a saját fejlesztésű motorról a jelenleg is használt Drupal motorra váltott. (A korábbi motor hibáit nem lenne korrekt figyelembe venni).

Egyébként roppant beszédes, hogy senki nem tudott konkrét számot modani, szóval 100000%-ig biztos vagyok benne, hogy csupán elszigetelt esetekről lehetett maximum szó, ahol a felhasználó volt a láma, és nem rendszerhiba volt.

( Protezis | 2023. 12. 05., k – 23:25 )

Én se TOTP-t szeretnék, hanem WebAuthn-t. Köszi, viszhall.

( gyuri23 | 2023. 12. 06., sze – 06:29 )

Én azt szeretném, a második fa legyen az, hogy trey felhív telefonon és megmondja a kódot. Aki űbersurityt szeretne, mert az lehallgatható, annak meg személyesen, a fülébe suttogva :D

Senkinek nincs köze világod belsejéhez, neked sincs közöd mások életéhez, csak az Irgalom útján van közöd, Istenektől rendelt kötelességed.

( SkyNET | 2023. 12. 06., sze – 10:38 )

KAÜ 2FA Ügyfélkapu Plusz? Mi baj lehet.

A HUP által tárolt személyes adatok adatkezelője a HUP kiadója, a HW SW Számítástechnikai Szolgáltató és Kereskedelmi Bt. (1012 Budapest, Attila út 117., cégjegyékszáma: 0106730269, adószáma: 20613491-2-41).

Kérdéseket lehet nekem írni, szükség esetén továbbítom az adatkezelőnek:

Amennyiben bármilyen kérdése vagy észrevétele merül fel a HUP által tárolt személyes adataival, vagy magával a tájékoztatóval kapcsolatban, keresse meg megbízott adatvédelmi felelősünket, Micskó Gábort a micsko.gabor@hup.hu e-mail címen!

Forrás: lap alja -> adatvédelem

De, hogy ez miért merül fel kérdésként, amikor - nyilván elolvastad és elfogadtad - a HUP felhasználási feltételeit 👎:

Mint arról bizonyára már értesültél, az Európai Unió új általános adatvédelmi szabályzata (GDPR) 2018. május 25-én lép hatályba. A HUP 2018. május 25. napjától hatályos adatkezelési tájékoztatóját itt olvashatod. A HUP további használatához szükséges az adatvédelmi tájékoztató elolvasása és elfogadása.

Egyéb linkek:

trey @ gépház

( coco | 2023. 12. 07., cs – 11:21 )

Én MFA-t annyira nem viszont külső IDP (Gmail, Entra, stb.) támogatását szívesen látnám, amiket egyébként már amúgy is védek MFA-val

( Raynes v | 2023. 12. 09., szo – 23:11 )

Felesleges a HUP-ra 2FA. Itt az ember nem tart feltöltött egyenleget, kártyaadatokat, stb. az accountját, ami értékes és fájna, ha ellopnák, feltörnék. Egy online shop, game store, stream szolgáltatáshoz tartozó fiók, zárt torrentoldal az más lenne. Senki se fog egy magyar IT fórumos oldalt, meg azon accountot amúgy sem feltörni, hogy chx-nek meg másnak a nevében írogasson. Egyszerűen az időbefektetést nem éri meg neki.

“The world runs on Excel spreadsheets.” (Dylan Beattie)

( kubi | 2023. 12. 10., v – 10:28 )

Szerintem is kene 2FA, de nem olyan atlagparaszt modon.

Eloszor is, a masodik faktort vedeni kell, a csatornak megbizhatatlansaga es elveszejtese miatt. Tehat legyen egy N of M megoldas. Termeszetesen a felhasznalo altal konfiguralhato modon az N es M parameterekre. A tomegsport elosegitese erdekeben az egyik (minimum, de konfiguralhato) kulcs egy geocache feladat legyen. Igy, ha kiszellozott a juzer feje, talan nem irkal annyi hulyeseget ide. Termeszetesen minden hozzaszolashoz azonositania kell magat emberunknek.

Azért tolhattál volna egy szmájlit, mert olyan komolyba éreztem. Nyilván bosszankodom, mert ki kellett egészítenem a relativitáselméletet egy +1(bebaszva gyorsabb az utazás) feltétellel.

Na ezzel nem számolt töki, nektek csak Albert Einstein.

Egészítsed ki így, nekem nem kell a Nobel-dij.
 

Biztos, hogy nem én gonoszoltam le!