"Az, hogy az Ügyfélkapu emiatt vezeti ki a TOTP-t is, egy spekuláció. Senki nem adott erről hivatalos állásfoglalást. Te erőlteted ezt a gyökérokot, amit az elitizmusod és a kisembergyűlöleted táplál. Fogalmad nincs, hányan éltek vissza vele és hányan nem. Az átlagfelhasználónak pedig nem triviális a base32 secret megosztása. "
Valóban feltételezés, de józan ésszel átgondolva ez _is_ lehet egy cél. Attól, hogy számodra a TOTP secret egy base32 adathalmaz, még az átlagfelhasználó számára egy QR-kód, egy kép, semmi más.
"Akkor megy (teljesen) a levesbe, ha lesz helyette egyszerűbb, praktikusabb megoldás. Jelenleg nincs. Akinek a könyvelője/titkárnője intéz mindent, ő pedig csak nagyon ritkán ügyfélkapuzik, az be fogja léptetni a könyvelő/titkárnő okostelefonján a DÁP-ot,"
Aprónak tűnő probléma, hogy ez már okirattal való visszaélés kategória, míg az identitás megosztása az nem. Aki ilyen hülye, az meg is érdemli - ilyenektől megkérdezném, hogy egy csomag A4-es lapot üresen aláírva is odaadna a titkárnőjének? Mellékelve hozzá a személyijét és minden adatát?
Egyszerűbb, mármint a számodra egyszerűbb (sms, totp akárhol generálva) nem lesz, ha tetszik, ha nem, a biztonság nem az egyszerűbb megoldások felé mutat.
"Én arról beszéltem, hogy amíg bürokratikus akadályokat gördítenek a dolog elé, addig okosba fogják megoldani."
Jogilag rendben lévő módon történő működést várnak el. Az identitás megosztása nem az, erre a meghatalmazás való. Tudod: a minimálisan szükséges jogosultság elve. Ne "mindenre is" legyen joga a másik személynek, csak arra, amit ténylegesen meg kell csinálnia.
"Hiszen te is elmondtad: Elég egy malware, ami képes elkapni a regisztrációt és/vagy a TPM-ből kihúzni a privát kulcsot"
Félreértelmezés és tudásbeli hiányok együttesen nagy marhaságokra vezetnek... Azt írtam, hogy ahhoz, hogy a DÁP-os identitást el lehessen vinni, már a DÁP telepítése előtt kell egy olyan, az OS-nek a TPM-kezeléséért felelős részét "eltérítő" malware-nek lennie az eszközön, ami a TPM _helyett_ elvégzi az _összes_ kulcsokkal kapcsolatos műveletet, de a kulcsot önmaga generálja. Tehát nem csak el kellene kapnia a regisztrációt, hanem ezen felül a TPM-et ki kell iktatnia a folyamatból, hogy az onnan ki nem szedhető privát kulcsot megszerezze -méghozzá úgy, hogy önmaga generálja a kulcspárt, nem pedig a TPM-en belül képződnek meg.
És _ha_ ez megvan, akkor lehet nekiállnia az üfk+ felületét hívogatni és a kapott QR-kódot tartalmazó képfájlra megfelelő választ adva lejátszani a logint.
"a TOTP-t csak azoknak engedélyezni, akiknek nincs mobiltelefonjuk"
Azaz akik a számítógépen generálják random módon tárolt secret-ből a kódot. Hmmm... Ki is ajvékol azon, hogy a mobilos login szerinte gyakorlatilag 1 faktor...? Hmmm?
"Az, hogy nem olvasható ki, egy idealizmus és szintén csak laboratóriumi körülmények között igaz. Az pedig még kevésbé igaz, hogy a secret nem szerezhető meg, akár a tárolóelem megkerülésével (lásd regisztráció eltérítése). Az pedig nettó hazugság, hogy a tárolóelemben tárolt kulcsot mindenképpen meg kell szerezni (akár így, akár úgy) egy malware általi visszaéléshez. Nem kell. Elég rávenni a DÁP appot erre, meg arra"
Lásd kettővel ezelőtti válaszom első mondata... Igen, a DÁP _sem_ 100%-ban biztonságos, ahogy semmilyen megoldás sem az. Viszont a user/pas user/pass/totp megoldásoknál biztonságosabb, illetve kevesebb a lehetőség a visszaélésre.
"Még nagyobb visszalépés azok számára, akik jogszerűen használják az Ügyfélkaput, de nem használnak okostelefont."
Szerintem meg nekik előrefelé kellene lépni, és nem beleragadni a múltba. Egyébként ez a kör szerinted az userek mekkora hányadát jelenti? És mekkora hányada az az usereknek, ami egy éven belül sem fog megfelelő mobillal rendelkezni? Egy technológiaváltás során mindenkor voltak, vannak és lesznek olyanok, akiknek első körben hátrányos, illetve annak tűnik az adott változás (szegény patkolókovácsok a vasút meg az autók terjedésével mehettek koldulni...Ja, nem, előre menekülve válthattak mondjuk kazánkovács szakterületre...), de ha a döntő többségnek előremutató a dolog, akkor el kel fogadnia a kisebbségnek, hogy arra van az arra, és nem az általuk képviselt múltban ragadás felé.
"Nem a TOTP-t védem, többször is leírtam már, csak ezt szeretnéd rám olvasni, mert így szeretnéd megtámadni a véleményem."
Nem úgy tűnik,d e sebaj...
"Technikailag lehetne ugyanolyan jó, ha a base32 secret biztonsága garantálható."
...De NEM garantálható, még csak megközelítőleg sem olyan szinten, mint a DÁP-os 2. faktorban hazsnált kulcs(ok) védelme. Plusz szndékosan jóval egyszerűbben megosztható, ami a jogszerű használattal megy szembe, és egy biztonsági megoldás cseréjénél ezt _is_ figyelembe kell venni, hogy user oldalról hogyan kerülhető meg/hátható át a felhasználásra vonatkozó szabályrendszer.
"Amit az igazságosság megkívánna, az egy olyan azonosítási mód, ami nem ad lehetőséget a visszaélésekre, de nem is tesz eszközújravásárlási kényszert a digitális állampolgárokra. Ilyen lenne a TOTP lecserélése SMS-faktorra."
Az SMS hogyan teszi lehetővé azt, hogy _NE_ lehessen az identitást megosztani? Hogyan lesz védett a harmadik fél általi felhasználástól? Hogyan lesz valódi 2. faktor MacOS+iOS köernyezetben, ahol a telefonra érkező sms ott csilingel a desktop-on is?
3-5 évente az emberek lecserélik a telefonjaikat DÁP-tól függetlenül. Az utóbbi 2-3 évben nem igazán volt Android 10 előtti valamire való telefon a piacon. Tudatos vásárlóként ugye nem akar gyakran telefont cserélni, úgyhogy egyrészt hosszú ideig használja a készüléket, másrészt -hogy hosszú ideig legyen használható- igyekszik minél újabb OS_sel és minél tovább élő frissítésekkel eszközt vásárolni. (A nem tudatos vásárló legfeljebb 3 éves eszköze már most is minimum Android 10, és ők amúgy is le fogják cserélni 2-3 évente a telefont, hiába ágálsz ellene.)
Azaz a tudatos felhasználónál van egy mondjuk 5 éves telefon, amit még nem akar lecserélni. Öt éve egy ilyen vásárló milyen OS-sel, milyen supporttal vett telefont? Ha nem is Android 10-zel, de azóta arra frissíthető OS-sel, azaz "pipa", náluk _sincs_ gond azzal, hogy Android 10 a minimum. Szóval akinek van, annál nincs "eszközújravásárlási kényszer":
Akinek ennél régebbi eszköze van, annak cserélnie kell, igen, de megint az a kérdés, hogy ennek a halmaznak (10-es Androidnál régebbi okostelefonnal, vagy hagyományos mobillal rendelkező állampolgárok) és az üfk+ felhasználóiank a halmazának a metszete mekkora? Nekik valóban dönteni kell, hogy vesznek-e új készüléket, vagy sem, használják-e a továbbiakban az e-ügyintézést, vagy sem. Őket és a mobilt egyáltalán nem használó üfk+ usereket valóban hátrányosan érinti ez a változás, de van idő felkészülni a változásra, és előrefelé menni.