Tietoturvauutiset ja blogipostaukset

[escalibur]

Joka on mikä?

2FAS, Aegis, miksei jopa Bitwardenin uusi ja erillinen MFA tai Ente Auth.

 

[Humanoid]

KeePassXC työpöydällä ja KeePassDX Androidissa + StrongBox iOS:ssä toimii myös 2FA-varastona.

 

[Tobotialainen]

Itsellä tuo Tvilio käytössä, voi hemmetti. Siirryin joskus Microsoftin authenticatorista jostain syystä ja nyt joudun kuitenkin Microsoftia käyttämään salasanattoman tilin takia, eli pitäisi kai nähdä vaiva ja siirtää loputkin takaisin. Tuossa oli vaan muistaakseni joku etu mitä ei Microsoftin jutussa ollut(pilvitallennus?) vai mikäköhän oli miksi siirryin

 

[jase]

Vaikka WRT54G oli kova purkki aikanaan, ehkä jättäisin nämä tuoreimmat ostamatta.

Linksys Velop routers send Wi-Fi passwords in plaintext to US servers

According to Testaankoop, the Belgian equivalent of the Consumers' Association, two types of Linksys routers are sending Wi-Fi login details in plaintext

stackdiary.com

During routine installation checks, Testaankoop detected several data packets being transmitted to an AWS server in the US. These packets included the configured SSID name and password in clear text, identification tokens for the network within a broader database, and an access token for a user session, potentially paving the way for a man-in-the-middle (MITM) attack.

Selvästi konekäännetty tuosta lähteestä, mutta eiköhän se pääosin selväksi tullut.

 

[ztec]

2FA-työkalut kannattaa valita sellaisiksi, että ne toimivat offlinessa ilman mitään tunnuksia mihinkään palveluun. Ei ole riskiä siitä, että tunnukset tai seedit vuotaa jonnekin.

Eihän tuo mitenkään sitä estä, että tunnukset ja shared secretit vuotaa siitä palvelusta jonka kanssa niitä käytetään. Siksi on olemassa järjestelmiä jotka ei käytä shared secrettiä kuten WebAuthn / FIDO2. FIDO2 tarjoaa myös automattisesti mahdollisuuden avainten turvalliseen säilyttämiseen niin, että niitä ei voida varastaa, ainakaan mitenkään kohtuullisin resurssein.

Olikos Blast-RADIUS hyökkäys jo mainittu? MITM:illä sisään järjestelmiin ilman salasanaa, koska käyttää MD5:sta. Ei sinänsä yllätä, perusteet ihan perusteita, sovellettu vaan. Kivan logon ja saitinkin ovat vaivautuneet tekemään asialle.

 

[Algron28]

Taas tuli konkreettinen havainto miksi nämä tietoturva asiat on nykyäään tärkeitä. Tuossa näpyttelin ei vielä varsinaisessa käytössä olevaan Mikrotikin reitittimeen palomuurisääntöjä ja testausta varten oli ping sallittuna wanista ja kylläpä vaan riitti koputtelijoita kun pistin säännölle hetkeksi loggauksen päälle. Sitten oli vahingossa pari minuuttia säännöt niin että hallintaportit oli auki internettiin päin kun pyörittelin sääntöjen järjestystä ja kylläpä oli botit koittaneet paukuttaa sisäänkirjautumista eri tavoin.