Yksi merkittävä etu jälkimmäisellä, että sen voi asentaa useampaan kuin yhteen laitteeseen
Kaksivaiheinen vahvistus | Two-/Multi-factor authentication
- Keskustelun aloittaja nnaku
- Aloitettu
neko
ᓚᘏᗢ
- Liittynyt
- 18.10.2016
- Viestejä
- 3 770
No onneksi mun Google Authenticator ei tiedä, että se on useammalla laitteella toiminnassa.
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Hitto kun yleistyisi U2F eli turva-avaimen (Yubikey) käyttö 2FA-menetelmänä. Huomattavasti nopeampi ja turvallisempi tapa hoitaa tuo homma kuin kännykän softan availu, oikean rivin etsiminen ja 6 numeron näpyttely lomakkeeseen. On tuo jo isoilla saiteilla käytössä (GitHub, AWS, Google), mutta ei sentään joka paikassa tai edes suurimmassa osassa.
Toki tuon voi ulkoistaa myös salasanamanagerille, mutta itse koen että silloin osa 2FA:n ideasta katoaa.
Toki tuon voi ulkoistaa myös salasanamanagerille, mutta itse koen että silloin osa 2FA:n ideasta katoaa.
user9999
Platinum-jäsen
- Liittynyt
- 17.10.2016
- Viestejä
- 3 168
Authyä tullu käytettyä jo kauan. Löytyy työpöytä ja mobiiliversiot. Nuo jääneet vähäiselle käytölle kun tuo Authy toimii kellossa (Apple Watch).
Twilio Authy
Authy brings the future of two-factor authentication to the convenience of your iPhone or iPad. The Authy app generates secure 2 step verification tokens on your device. It help’s you protect your account from hackers and hijackers by adding an additional layer of security. Why Authy is the...
apps.apple.com
Viimeksi muokattu:
- Liittynyt
- 16.10.2016
- Viestejä
- 20 780
Vaihtoehtoja on toki hyvä olla, mutta minä en ole kokenut ongelmaksi painaa luurista hyväksy-painiketta perinteisen kirjautumisen jälkeen. Ei tarvitse avata mitään sovellusta, kun ilmoitus tulee suoraan ruudulle ja voi siitä suoraan klikata valintaa. Sehän vastaa aika pitkälti sellaisena juuri Yubikeyn toimintaa.
Se on vaan ongelma vielä pitkän aikaa, että hyvin harvaa pienempää palvelua saa liitettyä mm. juuri MS:n authenticatoriin.
Obi-Lan
¯\_(ツ)_/¯
- Liittynyt
- 17.10.2016
- Viestejä
- 2 245
Jos käyttää MFA:ta Microsoftin tuotteissa, on Microsoft Authenticator niihin parempi. Se tukee push notifikaatioita mitkä ovat mukavempia kuin koodin näpyttely. Perus vaihtuviin TOPT koodeihin kaikki on samalla viivalla, voi laittaa vaikka Keepassiin niin saa ne koodit auki millä laitteella tahansa.
Kohta varmaan väität, että niissä on jopa kaikissa saman Google accountin varmistus ja ihan toimivia koodeja tulee kaikista
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Ai tuossa on push-notifikaatiot? Vaatii siis tuen sivustolta? Entä jos tukea ei ole, niin voiko silti käyttää kuten Google Authenticatorilla eli itse näpyttäen? En ole aiemmin MS-a:han tutustunut.
neko
ᓚᘏᗢ
- Liittynyt
- 18.10.2016
- Viestejä
- 3 770
Kyllä. Kuvaan sain laitteista kaksi, koska kolmannella kuvasin.
Kuten näet, on useamman Googlen tilin, sekä ties kaiken muunkin missä toimii. Nuohan saa vietyä nuo tiedot haluamaansa laitteeseen. Ollut jo vuosia useammassa laitteessa, olisiko 2016 lähtien ainakin, en ole varma.
- Liittynyt
- 16.10.2016
- Viestejä
- 20 780
Ainakin tosiaan Microsoftin omissa palveluissa on push-notifikaatiot optiona. Minulla on siellä lähinnä töiden puolesta muutamia eri Azure/O365-tenantteja ja niissä voi valita millä tavalla haluaa sen MFA:n hoitaa (hyväksyntä/sovelluksen koodi/tekstiviestikoodi/robottipuhelu). Sitten minulla on siellä myös henkilökohtainen outlook.com-tili, joka toimii niin että pitää klikata ilmoituksesta samaa koodia mikä näkyy kirjautumisen yhteydessä näytöllä. En ole koskaan tutkinut voisiko siinäkin muuttaa tuota menetelmää halutessaan, mutta tuo on tuollaisena ihan yhtä kätevä kuin pelkkä hyväksy-painikkeen klikkaus.
Sovelluksen voi asentaa niin moneen laitteeseen kuin haluaa ja ilmoitukset tulevat niistä kaikkiin ja kirjautumisen voi hyväksyä millä tahansa.
En ole sinne muita ulkoisia palveluita liittänyt, mutta oletan että vastaava toiminnallisuus on käytettävissä niissäkin. Ottakaa suolan kanssa, kun tämä ei tosiaan ole varmaa tietoa.
- Liittynyt
- 17.10.2016
- Viestejä
- 338
Samoin mulla duuniluurissa on eri palveluiden MFA:t. MSFT:n omien lisäksi mm. F-Securen, Gitlabin, erilaisten salaisuuksienhallintasoftien.
Tässä Microsoftin versiossa iso plussa noi push-notifikaatiot vs. muut. Ja ihan koodillakin toimii kuten Googlen versiossa niihin mistä ei pusheja tule.
Microsoftin Authenticator:n voi asentaa jopa iWatch:n, eli Applen kelloon. Itse mietin USB turva-avainta, mutta niitä pitäis olla useampi, eli se ei ole halpa vaihtoehto. Sormenjäljen tunnistus olis hyvä lisä ja niitäkin on bio mallisissa turva-avaimissa. Aina pitäisi olla se vara vaihtoehto, että ei lukitse itseään ulos omilta tileiltä. Sekään ei olisi pahasta, jos tarvitsisi fyysisen avaimen ja sormenjälki kuittauksen kännykän tai tabletin lukijasta, mutta sitten se on jo kolmivaiheinen tunnistus. Ihmettelen vasta turva-avainten ominaisuuksia, eli sitä mikä, niistä olis se paras vaihtoehto. Uusia malleja tulee ja teknologia on ollut vasta muutaman vuoden markkinoilla.
Viimeksi muokattu:
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Aika useassa palvelussa on joka tapauksessa puhelinnumero tai joku muu kontakti annettuna, jolloin yhdelläkin turva-avaimella voi pärjätä. Mutta tosi tärkeä miettiä skenaario että avain katoaa tai hajoaa.
Avain on ainakin jossain määrin kätevin tapa hoitaa 2FA, sillä avaimen voi pitää koko ajan USB-portissa kun tekee hommia. Jolloin kirjautuminen vaatii yleensä vain hipaisun. Nopealta tuo MS Authenticatorin push-kirjautuminenkin kuulosti. Ei ainakaan merkittävästi hitaampaa kuin avaimella. Itselläni Yubikey 5C NFC, jossa siis ei ole sormenjälkeä, vaan hipaisu. Veikkaan, että sormenjälki voisi olla hitaampi/epävarmempi käytössä. Käytän tuota avainta ainoastaan U2F-moodissa, eli Yubicon halvinkin malli ajaisi asian, mutta koska sitä ei saa USB-C-portilla, niin tämä oli helppo valinta. Saksan Amazonista joku 50-60e luokkaa.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Olisikohan tässä hyvä vaihtoehto turva-avaimeksi, Open Source, hintakin vaikuttaisi olevan reippaasti alhaisempi verrattuna markkinoilla oleviin (esim. Yubikey). Joukkorahoitus projektihan tuo on, mutta jo toista sukupolvea ja näyttäisi siirtyneen tuotantoon, eli pitäisi olla aikas varma tapaus.
solokeys.com
USB-A tai USB-C -liittimellä, myöskin NFC löytyy...
Our Solo v2 launch is official!
Our Kickstarter campaign for our next generation of Solo products launches on January 26th. To get alerted when the campaign is live, you can sign up here. Update: The campaign is now live! Check it out to see all the details. Humble beginnings I've been working on Solo for almost 3 years...
solokeys.com
USB-A tai USB-C -liittimellä, myöskin NFC löytyy...
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Ihan kiinnostava uudistus! Mä en ihan tajunnut, mitä noi Kickstarterin hinnat ovat ja mitä Indiegogon hinnat. Eli onko tuota $25:n (+ kulut) vaihtoehtoa vielä saatavilla? Tuohon hintaan laitan ehdottomasti tulemaan kakkos-FIDO2-avaimeksi ja omiin autentikointitesteihin. (Koodasin FIDO2/Webauthn-kirjautumisen ihan testimielessä Yubikeylle ja olisi kiva kokeilla toisellakin mallilla).
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Katos, en tajunnutkaan, et sillä on menossa 2 eri joukkorahoitusta yhtäaikaa, en osaa itse sanoa tarkemmin noista mitään, mutta tosiaan näyttäisi että Kickstarter kautta sais paljon halvemmalla...
Olisko siinä eroa, että Kickstarter on rajoitetut erät ja eikä monia enää jäljellä ja tuolla Indiegogo sitten on ns. rajattomat, eli tekevät niin paljon ku tilaajia. Nää joukkorahoitukset on aina pikkasen "joustavia" projekteja, mutta tämä ainakin näyttää varmasti toteutuvalta.
Eli just ton 25$ kohdalla sanotaan "Limited (46 left of 880)", samoin siellä on muidenkin kohdalla näkyvät saldot, ku tarkemmin katsoo.
Viimeksi muokattu:
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
On saldot juu, mutta kirjautumattomalle tuo näyttää siltä, että mitään niistä ei voisi enää (?) valita. Ja sivun ainoa linkki vie Indiegogon sivuille. Eli ehkä tuo kampanja on päättynyt ja Indiegogo on nyt ainoa tapa tilata? No, sama se.
- Liittynyt
- 16.10.2016
- Viestejä
- 20 780
Kovin sekavaa on yleensäkin kaikki näissä joukkorahoitusvirityksissä. Tässäkin tapauksessa Kickstarterin pre-order now -painike vie tosiaan Indiegogo.comiin, jossa yksi kappale maksaa 32 euroa + toimituskulut ja jos tilaa kerralla useamman, niin ne saa luonnollisesti vähän edullisemmalla kappalehinnalla.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Juuh, kyl se Kickstarter on jo ohi, helmikuussa loppunut, mutta sitä ei selkeästi tuossa etusivulla vaan mainita, mutta kun kaivelee noita Update artikkeleita, niin sieltä asia selviää.
Update 7: It's final, 5831 backers! What happens now? · Solo V2 — Safety Net Against Phishing
5831 Backers, $386,771 = awesome support! The campaign for Solo v2 has tripled the campaign to launch the original SoloKey back in 2019. We are excited to see Solo v2 come to life as we now turn to preparations to churn out 15000+ keys to deliver to the Kickstarter backers. And we reached the...
Supporting Kickstarter definitely gave you the best value. Please pass the word about IndieGogo...stretch goals reached there will be applied to your devices as well. But they don't get the Limited Edition & Kickstarter pricing! Kickstarter pledges will also ship with priority.
Eli ovat jatkaneet toisella alustalla, koska paljon kiinnostuneita, mutta hinnat nousseet ikävä kyllä, vaikka eihän tuokaan vielä paha ole ominaisuuksiin nähden...
Onkos kenelläkään kokemuksia Trezorista ?
Alunperin kehitetty bitcoin lompakoksi, mutta myöhemmin lisätty U2F tuki. Itseäni ei niinkään mitkään coinit tuossa kiinnostaisi, mutta näppärän tuntuinen backup-tapa, näyttö ja fyysinen nappi hyväksynnälle olisi ominaisuuksia, joista itse tykkään.
Hekkarin kallis ja vähän isokokoinenkin, mutta silti vähän tekisi mieli kokeilla
wiki.trezor.io
Alunperin kehitetty bitcoin lompakoksi, mutta myöhemmin lisätty U2F tuki. Itseäni ei niinkään mitkään coinit tuossa kiinnostaisi, mutta näppärän tuntuinen backup-tapa, näyttö ja fyysinen nappi hyväksynnälle olisi ominaisuuksia, joista itse tykkään.
Hekkarin kallis ja vähän isokokoinenkin, mutta silti vähän tekisi mieli kokeilla
Trezor Two-factor authentication with U2F
The safest cold storage wallets for crypto security and financial independence. Easily use, store, and protect Bitcoins.
wiki.trezor.io
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Laitetaas päivitystä, että tuli 1-2kk viivästys. Mikä sinänsä ei ole varmaan kovin yllättävää tämäntyyppisissä "tilauksissa".
Solo V2 - Safety Net Against Phishing
Security key to protect Gmail, Twitter, GitHub. Open, improved NFC, water resistant, reversible USB. | Check out 'Solo V2 - Safety Net Against Phishing' on Indiegogo.
www.indiegogo.com
Eli ehkä syksyyn mennessä olisi tuotteet valmiina postitettaviksi.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Näyttäisi näppärältä sivustolta, josta voi tsekata, josko käytössä oleva palvelu tukee 2FA tekniikkaa, edes jossain muodossa.
Yllättävän harva tukee hardware pohjaista avainta...
Yllättävän harva tukee hardware pohjaista avainta...
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Yhtä käsittämätöntä on että yhä edelleen AWS ei anna laittaa kuin yhden Yubikeyn 2FA-menetelmäksi. Eli ei mahdollisuutta backup-avaimelle. Asiaa on toivottu vuosia. No, hissukseen yleistyvät sentään.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Antaako kuitenkin laittaa edes softa 2FA authentikaattorin lisäksi varulle? Aikas vaarallisia nuo, ku jos avain hajoaa, niin siitähän se soppa syntyy...
Mitä lukenut, niin tuokin tuntuu olevan monella ongelmana, että vain yksi authentikaatio tapa sallittu ja jos avaimen laittaa ja hajoo, niin mitäs sitten. Siksi tuo 2FA authentikaattori app on parempi vaihtoehto, ku voi backupata ne avaimet.
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Ei
Eli jos asetettu MFA ei toimi, saa root-käyttäjä kirjautumisen avattua emailin ja puhelinsoiton avulla.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
No tuo on kyllä joltain Amazonin kokoiselta firmalta kyllä melkonen moka, ei hemmetti soikoon ja sitten ihmetellään ku tulee tietomurtoja... Kai ne odottaa, et sit ku napsahtaa kunnolla, niin pitää vasta sijoittaa tuollaiseen, pyytää anteeksi asiakkailta ja pyyhkiä koko juttu maton alle mahdollisimman pian.Ei
- Liittynyt
- 13.01.2021
- Viestejä
- 535
Mulla on nyt pari tuollaista Yubikey 5:sta, toinen usb-c ja toinen usb-a, ja molemmissa myös nfc. En kyllä tosiaan uskaltaisi luottaa mitään kauhean tärkeää yhden tuollaisen avaimen varaan. Pitää tosiaan joko saada molemmat avaimet tai sitten toiseksi vaihtoehdoksi google authenticator, freeotp+ tms.
Noita yubikeytä vartenhan on tuo yubico authenticator sovellus, joka toimii kuten google authenticator mutta ne koodit on tallennettu siihen avaimeen. Tuon sovelluksen sitten saa sekä älypuhelimelle että tietokoneelle.
Noita yubikeytä vartenhan on tuo yubico authenticator sovellus, joka toimii kuten google authenticator mutta ne koodit on tallennettu siihen avaimeen. Tuon sovelluksen sitten saa sekä älypuhelimelle että tietokoneelle.
- Liittynyt
- 23.11.2017
- Viestejä
- 32
Käytän Sonicwall netextenderiä + freeotp:tä vpn-yhteyden luomiseen. Tänään sain Yubikey 5 nfc-avaimen korvaamaan freeotp:n läppärissä. Mut haluisin saada saman yhteyden toimimaan mobiililaitteessa vielä, mutta IT-osasto ei osannut neuvoo et miten se onnistuu. Asensin Sonicwall:in ja kokeilin tuota nfc:tä, mut näyttöön tulee vaan "käytetäänkö Chrome jne jne", eikä vaihtoehdoissa esim ole tuota sonicwall:ia tai siihen viittaavaa. Eikä siis tosiaan anna sitä salasanaa. Freeotp:lla sain yhteyden luotua normaalisti.
Pitääkö mun asentaa erikseen jotain vielä, vai onks kyse jostain asetuksista, vai toimiiko se ylipäätään noin?
Pitääkö mun asentaa erikseen jotain vielä, vai onks kyse jostain asetuksista, vai toimiiko se ylipäätään noin?
- Liittynyt
- 19.10.2016
- Viestejä
- 913
En ole 100% varma toimiiko, mutta puhelimen ilmoitusten asetuksista, Google Play Services -> Prompts for sign in pois päältä. Jos toimii niin ei pitäisi enää näyttää puhelimessa sisäänkirjautumisen vahvistusilmoituksia.
Sisäänkirjautuessa Googleen edelleen vahvistustoimintona on silti tyrkytettynä tuo puhelimen vahvistusilmoitus, jonka sijaan pitää sitten valita joku muu, kuten autentikaattorisovelluksen kuusinumeroinen koodi.
Sisäänkirjautuessa Googleen edelleen vahvistustoimintona on silti tyrkytettynä tuo puhelimen vahvistusilmoitus, jonka sijaan pitää sitten valita joku muu, kuten autentikaattorisovelluksen kuusinumeroinen koodi.
Viimeksi muokattu:
neko
ᓚᘏᗢ
- Liittynyt
- 18.10.2016
- Viestejä
- 3 770
Kiitos vastauksesta, ei valitettavasti auttanut.
Ja tässä tullaa "ongelmaan", miksi kukaan käyttäisi mitään sovellusta kuin Kyllä -nappula riittää. Vääriin käsiin joutunut laite päästää kirjautumaan tilille kysymällä että mennäänkö sisälle vai ei.
Sinänsä hyvä, että näkee tosiaan muualta yritetyt sisäänkirjaukset, mutta pitäisi olla jokin vaihtoehto tälle kytkeä laitekohtaisesti pois ilman että ko. tiliä kirjataan ulos. Jotenkin Google ei ole miettinyt tuota ihan loppuun saakka. Vaan kaipa tuon kanssa oppii elämään. Jos tulee vaikka vieraita, niin ylimääräiset laitteet piiloon.
escalibur
"Random Tech Channel" @ YouTube
- Liittynyt
- 17.10.2016
- Viestejä
- 9 327
Vahinkopainaukset ovat mahdollisia, siksi nuo vaihtoehdot ovat lähinnä vaihtoehtoja. PIN-avaimen kopiointi tai erillinen syöttäminen vaatii jo yrittämistä.
Microsoftin Authenticatorissa on kätevä ominaisuus esim salasanan syöttämisen sijaan se esittää oikean 2FA numeron sivustolla ja lähettää korjautumispyynnönAuthenticaattoriin. Authenticator kysyy ensiksi FaceID:tä (Applen laitteet) ja sen jälkeen ehdottaa kolmea eri numerovaihtoehtoa joista vain yksi on oikea (sivustolla esitetty numero).
Tuo on todella kätevä tapa, koska salasanaa ei juurikaan tarvitse käyttää vaikkapa Outlook Onlinen kanssa.
Passwordless sign-in with Microsoft Authenticator - Microsoft Entra ID
Enable passwordless sign-in to Microsoft Entra ID using Microsoft Authenticator
docs.microsoft.com
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Tämä ei meitä suomalaisia kauheasti vielä koske, mutta yleisellä tasolla tosi jees juttu että iso pankki on vihdoin alkanut hyväksyä FIDO2:n käyttöä 2FA:han. Eli Yubikey kelpaa jatkossa Bank of American 2FA-menetelmänä.
www.yubico.com
Pankeilla on hirmusti omaa 2FA-menetelmää käytössä ja yhä edelleen turva-avain on suurin piirtein turvallisin tapa hoitaa tuo asia. Saa nähdä, milloin tuo yleistyy Euroopassa. En pidättele hengitystä.
Online Banking Security Features FAQs - Bank of America Security Center
Your privacy is a top priority for Bank of America. Learn more about the additional security features we offer to protect your information.
www.yubico.com
Pankeilla on hirmusti omaa 2FA-menetelmää käytössä ja yhä edelleen turva-avain on suurin piirtein turvallisin tapa hoitaa tuo asia. Saa nähdä, milloin tuo yleistyy Euroopassa. En pidättele hengitystä.
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Vihdoin tuli tätäkin kokeiltua. Pushit on sinänsä tosiaan näppäriä, mutta muutoin tuo ei ole ihan verrannollista Google Authenticatorin käyttöön, sillä MS:n palvelu vaatii tilin, mikä ei välttämättä aina ole hyvä asia. Normi TOTP:t voi ottaa käyttöön ilman tiliä.
user9999
Platinum-jäsen
- Liittynyt
- 17.10.2016
- Viestejä
- 3 168
MacOS Monterey, iOS 15 ja iPadOS 15 käyttiksiin on sisäänrakennettu tuo 2FA. Tosin tuo toimii nyt myös macOS Big Sur 11.6 versiossa, jossa on uusin Safari.
Vähän tuota testannut. Toimii ihan ok eli sitten kun tarve syöttää 2FA koodi niin sen pystyy esim. sormenjäljellä hyväksymään.
Tuossahan on tunnus, salasana ja koodi samassa korissa eli iCloud avain-nipussa
Vähän tuota testannut. Toimii ihan ok eli sitten kun tarve syöttää 2FA koodi niin sen pystyy esim. sormenjäljellä hyväksymään.
Tuossahan on tunnus, salasana ja koodi samassa korissa eli iCloud avain-nipussa
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Paremmin kuuluu tämä keskustelu tänne mielestäni...
Nyt heräsi kysymys, eli onko tosiaankin pakko antaa puhelinnumerokin sinne, vaikka ottaisi käyttöön vain tuon OTP?
- Liittynyt
- 19.03.2017
- Viestejä
- 212
On. Kun painaa 'Enable 2FA' nappia niin tulee tälläinen:
Two-Factor Authentication
Enter the mobile number for a device you trust. We will text you a 7-digit security code to verify your phone.En näe mitään keinoa ohittaa tuota.
- Liittynyt
- 20.10.2016
- Viestejä
- 6 476
Jo on kyllä outo, että tuollainen turhake pitänyt laittaa, että vaan saadaan puhelinnumero tallennettua tahallaan. Itse en näe tuossa mitään järkisyytä pyytää numeroa, jos kerta on liittämässä jotain 2FA appia tiliin.
Yubico julkaissut ja alkanut myymään Bio-versiota (sormenjälkiskanneri). USB-C -mallit loppuivat kättelyssä, mutta USB-A -mallia oli ainakin vielä eilen illalla (max 2 kpl/tilaus): Put Your Finger on the Pulse of What’s New with the YubiKey Bio Series
Aika tyyriitähän nuo ovat, mutta elämä on (80-85 e ALV 0)
EDIT: Aika näppärästi toimii siihen verrattuna kun/jos ei-biomallissa joutuu syöttämään PIN-koodin ja sitten "koskettamaan" tikkua, kun Biossa kaikki hoituu kerralla
Aika tyyriitähän nuo ovat, mutta elämä on (80-85 e ALV 0)
EDIT: Aika näppärästi toimii siihen verrattuna kun/jos ei-biomallissa joutuu syöttämään PIN-koodin ja sitten "koskettamaan" tikkua, kun Biossa kaikki hoituu kerralla
Viimeksi muokattu:
- Liittynyt
- 10.01.2019
- Viestejä
- 19 533
Keskustelua ja komenttisia tulkiten.
Puhelinnumeroa tarvitsee kerran, jonka jälkeen sillä ei merkitystä ?
Sen jälkeen sitten on käytettävissä kaksivaiheinen tunnistus, jossa ei tarvita puhelinnumeroa.
OTP , eli kertakäyttöinen salasana, niin sen sitten saa jollain vaihtoehtoisella kanavalla/tavalla (muulla kuin puhelinnumero).
Mitä virkaa tuolla puhelinnumerolla on ? jos sen puhelin numeron menettää, eli se palautuu jakoon ja jonkun muun käyttöön, niin onko se riski.
- Voiko sillä ja tunnuksella kirjautua ?
- Voiko puhelinnumeron poistaa tiedoista, ilman että tarvii lisätä uusi toimiva SMSää tukeva puhelinnumero tilalle
- Ilmeisesti soita vaihtoehtoa ei ole, eli siis pelkkä puhe numero ei riitä
- Liittynyt
- 19.03.2017
- Viestejä
- 212
Puhelinnumero on pakko antaa Twitchille jos haluaa 2FA:n käyttöön. En tiedä voiko puhelinnumeron poistaa tiedoista 2FA käyttöönoton jälkeen, itse kun en ole vielä mitään numeroa sinne antanut.
Joidenkin screenshottien perusteella 2FA on ensisijaisesti jollain authenticator applikaatiolla kuten esimerkiksi andOTP ja varalle voi halutessaan aktivoida SMS authentikoinnin.
Twitchin login sivu pyytää tunnusta ja salasanaa, plus lisäksi sitten se OTP jos se on käytössä. En usko että pelkkä tunnus + puhelinnumero kirjautumiseen riittää vaan tarvitaan kaikki kolme, tunnus + salasana + OTP. Ei se muuten olisi enää 2FA.
Voisin olettaa että 2FA käyttöönoton jälkeen, jos Twitchille annettu puhelinnumero ei ole enää käytössä numeron voisi ainakin vaihtaa toiseen ja tämän tapahtuman varmistuksena toimisi sitten authentikointi applikaatiosta saatava OTP. Jos käytöstä poistunut numero palautuu jakoon niin en näkisi sitä kovin isona riskinä. Vaikka SMS autentikointi olisi päällä ja numeron uusi haltija saisi koodin SMS viestinä, on aika epätodennäköistä että hän osaisi tämän yhdistää juuri minun Twitch tiliini. Nuo kooditkaan ei taida olla voimassa kovin kauaa.
Mutta tosiaankin tiedän paremmin vasta sen jälkeen kun olen saanut aikaiseksi hankkia itselleni jonkin toissijaisen puhelinnumeron mitä voin sitten tälläisissä tapauksissa käyttää ja kokeillut koko tätä hässäkkää käytännössä. Paras tilannehan olisi jos tuota puhelinnumeroa ei tarvitsisi tuonne laittaa ollenkaan kuten =JP= tuossa aiemmin mainitsi.
Joidenkin screenshottien perusteella 2FA on ensisijaisesti jollain authenticator applikaatiolla kuten esimerkiksi andOTP ja varalle voi halutessaan aktivoida SMS authentikoinnin.
Twitchin login sivu pyytää tunnusta ja salasanaa, plus lisäksi sitten se OTP jos se on käytössä. En usko että pelkkä tunnus + puhelinnumero kirjautumiseen riittää vaan tarvitaan kaikki kolme, tunnus + salasana + OTP. Ei se muuten olisi enää 2FA.
Voisin olettaa että 2FA käyttöönoton jälkeen, jos Twitchille annettu puhelinnumero ei ole enää käytössä numeron voisi ainakin vaihtaa toiseen ja tämän tapahtuman varmistuksena toimisi sitten authentikointi applikaatiosta saatava OTP. Jos käytöstä poistunut numero palautuu jakoon niin en näkisi sitä kovin isona riskinä. Vaikka SMS autentikointi olisi päällä ja numeron uusi haltija saisi koodin SMS viestinä, on aika epätodennäköistä että hän osaisi tämän yhdistää juuri minun Twitch tiliini. Nuo kooditkaan ei taida olla voimassa kovin kauaa.
Mutta tosiaankin tiedän paremmin vasta sen jälkeen kun olen saanut aikaiseksi hankkia itselleni jonkin toissijaisen puhelinnumeron mitä voin sitten tälläisissä tapauksissa käyttää ja kokeillut koko tätä hässäkkää käytännössä. Paras tilannehan olisi jos tuota puhelinnumeroa ei tarvitsisi tuonne laittaa ollenkaan kuten =JP= tuossa aiemmin mainitsi.
- Liittynyt
- 07.07.2019
- Viestejä
- 1 498
Monet ei muuten ole huomannut että mm. Android puhelimissa on FIDO2 / WebAuthn tuki olemassa suoraan j valmiina. Aivan mainio feature jos on tarvetta.
Sekä sitten on mielenkiintoisia hybridi ratkaisuita kuten IDmelon jossa avain on puhelimessa, mutta sen voi siirätä PC:lle Bluetooth lukijan avulla.
Sekä sitten on mielenkiintoisia hybridi ratkaisuita kuten IDmelon jossa avain on puhelimessa, mutta sen voi siirätä PC:lle Bluetooth lukijan avulla.
Ja tällä voi arvioida noiden turvallisuutta: FIDO Security Reference
- Liittynyt
- 07.07.2019
- Viestejä
- 1 498
Kiitos, oli paljon kattavampi analyysi kuin mitä aluksi ajattelin. Autentikointiin liittyy kyllä monenlaisia uhkamalleja, joita usein ylenkatsotaan.
- Liittynyt
- 17.10.2016
- Viestejä
- 15 658
Laitetaas uusi päivitys. Nut tuo avain on jo 5kk myöhässä alkuperäisestä
Mutta yhä tuloillaan:
Solo V2 - Safety Net Against Phishing
Security key to protect Gmail, Twitter, GitHub. Open, improved NFC, water resistant, reversible USB. | Check out 'Solo V2 - Safety Net Against Phishing' on Indiegogo.
www.indiegogo.com
En pidättelisi hengitystä, että saavat tämän vuoden aikana noita tukijoille.
- Liittynyt
- 07.07.2019
- Viestejä
- 1 498
Nämä on muuten myös varsin varteenotettavia, vaikka aina kaikki sanoo että Yubikey, niin on niitä muitakin vaihtoehtoja olemassa:
www.trustkeysolutions.com
Toimii kuin unelma ja ainakin teknisesti paljon parempi ja vahvempi kuin Solo v1. Titan avaimia unohtamatta.
TrustKey Solutions, Inc.
TrustKey G310 USB-A Biometric Fingerprint FIDO2 Security Key
www.trustkeysolutions.com
Toimii kuin unelma ja ainakin teknisesti paljon parempi ja vahvempi kuin Solo v1. Titan avaimia unohtamatta.
En usko, että toimii yhtä unelmallisesti kuin Yubikey Bio, joka on toki ominaisuuksiltaan rajoittunut, mutta ei vaadi PIN-räpellystä
user9999
Platinum-jäsen
- Liittynyt
- 17.10.2016
- Viestejä
- 3 168
Siirryin käyttämään tuota Applen omaa 2FA juttua kun se toimii niin hyvin. Authy on vielä rinnalla.MacOS Monterey, iOS 15 ja iPadOS 15 käyttiksiin on sisäänrakennettu tuo 2FA. Tosin tuo toimii nyt myös macOS Big Sur 11.6 versiossa, jossa on uusin Safari.
Vähän tuota testannut. Toimii ihan ok eli sitten kun tarve syöttää 2FA koodi niin sen pystyy esim. sormenjäljellä hyväksymään.
Tuossahan on tunnus, salasana ja koodi samassa korissa eli iCloud avain-nipussa
Macin Authy Desktop appi on vielä vanha roska eli se ei ole ARM appi vaan intel. Huomasin, että iPad appi toimii macissa ja siirryin siihen ja poistin tuon vanhan. Ipad appi tukee Touch ID niin nyt aukeaa Authy sormenjäljellä Macissa
- Liittynyt
- 17.10.2016
- Viestejä
- 1 480
Google authenticator on käytössä parissa paikassa ja vierastan hieman tuon käyttöä kun pelottaa jos puhelin vaikka hajoaa niin miten nuo tiedot saa uuteen puhelimeen.
Meneekö se nyt niin, että jokaiseen palveluun joka tuossa authenticatorissa on niin siihen on oma palautusavain joka pitäisi pitää jossakin tallessa? Eli jos puhelin vaikka hajoaisi ja minulla on tuossa kymmenen tiliä yhdistettynä niin tarvitsen kymmenen palautusavainta jotta saan ne takaisin siihen?
Tuo on aika käteävä ominaisuus tuomaan lisäturvaa mutta kauhistuttaa ajatus, ettei pääse enää mihinkään käsiksi jos paska osuu tuulettimeen.
Meneekö se nyt niin, että jokaiseen palveluun joka tuossa authenticatorissa on niin siihen on oma palautusavain joka pitäisi pitää jossakin tallessa? Eli jos puhelin vaikka hajoaisi ja minulla on tuossa kymmenen tiliä yhdistettynä niin tarvitsen kymmenen palautusavainta jotta saan ne takaisin siihen?
Tuo on aika käteävä ominaisuus tuomaan lisäturvaa mutta kauhistuttaa ajatus, ettei pääse enää mihinkään käsiksi jos paska osuu tuulettimeen.
Uutiset
-
Samsungin tuleva Galaxy S25 Ultra esiintyy kuva- ja videovuodoissa
28.11.2024 02:32
-
Neljän korttipaikan GeForce RTX 4090 Ti -prototyyppi löysi tiensä Reddit-käyttäjän käsiin
27.11.2024 01:13
-
Seasonic ja Noctua julkaisivat yhteistyössä hiljaisen Prime TX-1600 Noctua Edition -virtalähteen
26.11.2024 14:51
-
Amazon vuoti julki Intelin Battlemage-arkkitehtuuriin perustuvat Arc B580 -näytönohjaimet
26.11.2024 02:08
-
Uusi artikkeli: Testissä Samsung Galaxy S24 FE
22.11.2024 20:48
Uutisia lyhyesti
-
-
-
-
Raportti: Samsung valmistelee jopa 500 hertsin 27" 1440p QD-OLED-näyttöä
- Kaotik
- Vastauksia: 5
