Пора перестать использовать SMS для двухфакторной аутентификации, и пора сервисам перестать ее предлагать

Вы всегда должны включать двухфакторная аутентификация всякий раз, когда услуга или учетная запись предлагает такую ​​возможность. Фактически, если услуга не Предлагая 2FA, вам следует изучить возможность использования аналогичной услуги от другого поставщика. Вы единственный человек, который действительно может защитить вашу личность в Интернете, и 2FA - большой шаг к этому.

Но не все 2FA одинаковы. 2FA - это просто второй способ доказать, что вы являетесь тем, кем вы себя называете, и есть несколько способов сделать это. Вы можете использовать такое приложение, как Authyиспользуйте электронный ключ, подобный тем, которые предлагает Юбико, или используйте Google Безопасность Титана решение через телефон Pixel или автономный ключ. Вы также можете использовать SMS, чтобы получить код, который вам будет отправлен, когда вам это нужно, даже если вам никогда не нужно.

Проблема не в идее. Получение кода двухфакторной аутентификации с помощью текстового сообщения ничем не отличается от получения кода из приложения для аутентификации. Проблема в исполнении. Когда вы полагаетесь на SMS для этих кодов, вы становитесь жертвами таких вещей, как атака человека в середине, когда кто-то перехватывает ваши сообщения или взлом SIM-карты - вот где кто-то убеждает вашего оператора связи дать им новую SIM-карту, используя вашу число. Как только это произойдет, вы больше не сможете контролировать доступ к своей учетной записи.

Это тоже не просто теория. Специалисты по безопасности предупрежден против использования SMS для аутентификации в течение многих лет и недавних YouTube хаки покажите нам, что это реально случается с реальными людьми. Когда вы запускаете популярный канал на YouTube, вы становитесь главной мишенью для самых разных хакеров, но вам не нужно быть известным или влиятельным лицом, чтобы стать жертвой кражи личных данных.

Также довольно легко обвинить пользователя всякий раз, когда вы видите что-то подобное. Да, технический ютубер, который знает тонкости работы всего этого, должен был знать лучше, чем использование SMS для защиты своего бизнеса. Но, возможно, Google должен знать лучше, чем даже предлагать двухфакторную аутентификацию на основе SMS в качестве опции.

Google здесь не одинок. Большинство сервисов, предлагающих двухфакторную аутентификацию как способ защиты онлайн-аккаунта (не рассказывайте мне об услугах, которые даже не предлагают его), будут рады позволить вам использовать SMS для получения кода. Люди, отвечающие за безопасность на этих предприятиях знать нам не следует использовать двухфакторную аутентификацию на основе SMS. А если вы этого не знаете, вы можете использовать SMS и думать, что ваша учетная запись так же безопасна, как если бы вы выбрали приложение или ключ безопасности.

Двухфакторная аутентификация по SMS может быть полезна, если вы потеряете телефон, но все же не стоит рисковать.

Отказ от SMS-кодов 2FA - это не то, что нужно легкомысленно. То, что делает его плохим, также хорошо в нем - все, что вам нужно, это глупый телефон и ваш номер, чтобы получить доступ к вашей учетной записи. Вам не нужно беспокоиться, если вы потеряли телефон и не можете получить доступ к электронной почте без кода из приложения или если вы потеряли связку ключей с прикрепленным ключом безопасности.

Некоторые учетные записи могут просто сбрасывать аутентификацию на основе SMS без каких-либо проблем. Даже Apple смогла это сделать, но это возможно, потому что почти никто не использует адрес электронной почты icloud.com. в качестве основного контакта и все еще может иметь доступ к почте от Google или Microsoft, если они потеряют свой iPhone. Плюс к этому Apple предлагает личную поддержку клиентов, где вы можете физически доказать, кто вы есть. Важно иметь возможность общаться или посещать человека, который может помочь.

Эксперты по безопасности наверняка придумают лучший способ.

Я просто не могу не вспомнить, что люди, которые являются экспертами по безопасности в крупных технологиях или крупном банковском деле, должны быть действительно умными во всем этом. Может быть, эти действительно умные люди найдут лучшее решение, пока мы ждем неизбежной замены 2FA посредством чего-то вроде пространственной осведомленности. Черт возьми, это может быть так же просто, как телефонный звонок, по которому вы предоставите информацию, которую никто не мог знать. Эти умные люди наверняка что-то поймут.

Я упоминал ранее, что все мы должны защищать и защищать свою личность в Интернете. Мы должны знать все о взломе SIM-карт, атаках человека посередине и обо всех способах SMS может быть взломан. Правда в том, что большинство из нас этого не делает и думает, что получение текстового сообщения - это безопасный способ защитить себя. Еще более печальная правда заключается в том, что мы должны вообще об этом беспокоиться, но так обстоят дела. Вы не будете использовать засов для запирания машины, поэтому не используйте SMS для блокировки вашей личности.

Оставайтесь в безопасности с лучшими VPN в 2020 году

Джерри Хильденбранд

Джерри является постоянным ботаником Mobile Nation и гордится этим. Нет ничего, что он не мог бы разобрать, но многие вещи он не мог бы собрать заново. Вы найдете его в сети Mobile Nations и сможете напиши ему в Твиттере если хочешь поздороваться.