| |
| 2.7, Товарищ Тамбовский Волк (?), 23:48, 14/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +14 +/– |
Очень безопасно. В смысле придётся вам сначала привязать TOTP. Потом привязать телефон, потому что телефон с TOTP вы можете сломать. Потом привязать биометрию, потому что телефон у вас могут украсть. А потом носить электроный ошейник с электрошокером и словомером-транспондером для "Тухлберг и партнёры" - это потому, что биометрию могут подделать, а с ошейником есть уверенность, что это именно вы, ведь те, кто биометрию подделывает, такие ошейники носить не захотят.
| | |
| |
| |
| |
| |
| 6.70, Fyjy (?), 17:41, 15/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +/– |
TOTP повышает безопасность на порядок. Я могу дать тебе пароль к своей почте, МПХ ты в нее зайдешь, так как TOTP. А ты несешь бред. Само собой аккаунты разработчиков нужно защищать, что бы не было потом «ой это враги подменили, я не виноват, что все данные сливались непойми кому», но такие как ты против, так как таким как ты выгодно иметь подобную лазейку
| | |
| |
| 7.73, Аноним (37), 20:04, 15/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +1 +/– | |
>Я могу дать тебе пароль к своей почте, МПХ ты в нее зайдешь, так как TOTP.
А можешь и не давать пароль и без TOTP - с таким же результатом.
>Само собой аккаунты разработчиков нужно защищать, что бы не было потом «ой это враги подменили, я не виноват, что все данные сливались непойми кому», но такие как ты против, так как таким как ты выгодно иметь подобную лазейку
А лучше обязать всех разрабов писать код на компах Мозиллы в помещениях Мозиллы, после прохождения security clearance и установке 60*60*24*7*365 слежки за ним, как при допуске к гостайне. Больше безопасности даст. Если разраб заинтересован слить credentials - он их сольёт. Хоть TOTP, хоть пароль.
Тем не менее, полностью неадекватно требовать этого.
| | |
|
|
|
|
|
| 2.84, Kuromi (ok), 18:36, 16/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +/– |
 Лол, вы упускаете более забавный вопрос - почему Мозилла внедряет на АМО TOTP, в то время как сама продвигает WebAuthn. Они же были чуть ли не у истоков этой спецификации, которая как бы должна заменить программные TOTP (которые "недостаточно безопасны") на аппаратные токены (можно даже с биометрией). И вдруг - TOTP.
Какой-то сапожник без сапог. Да, конечно TOTP сейчас распространен шире и внедрить его проще, но WebAuthn впоследний год наконец начал появляться не только на тестовых сайтах, но и в реальных сервисах (NameCheap, Github и проч).
| | |
|
| |
| 2.36, пох. (?), 09:43, 15/12/2019 [^] [^^] [^^^] [ответить] [↓] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +1 +/– | |
ну что вы, что вы так плохо думаете о людях?
Они, безусловно, понаставят многоуровневую этажерку кривой задней левой ног...а, это хвост, написанной блоатвари - totp поверх pass поверх gpg (того самого, где аффтыри ниасилили попатчить прикладную, не криптографическую ни разу, программку на эрланге), с отдельной кривой поделкой для чтения пароля, этот самый пароль приклеют стикером к экрану - но он нахрен не нужен, поскольку первый же залетный троянец стащит все что захочет через эти прекрасные интерфейсы.
> в ситуациях если OTP используется по назначению
в ситуациях, где otp использовался бы по назначению, телефон (модный-современный) не нужен вообще и только усугубляет катастрофу, брелок может и должен быть заменен без всякого геморроя (открыть стол и достать запасной), если уж вообще дошло до его использования, и все их - заменяет бумажка с пятью-десятью паролями на всякий пожарный случай - которую очень интересно посмотреть, как же сопрет троянец, если, конечно, хозяин не разворачивает ее всю старательно перед камерой наблюдения.
Но такой otp умер вместе с s/key десять лет назад, ибо был слишком надежен (даже не слишком надежная криптография до конца его не испортила, поскольку не оставляла возможностей подбора) и слишком сложен для макак - они никак не могли придумать, где бы в него засунуть пару нескучных rest api и гуевый диаложек.
Обратите внимание - он НИГДЕ в модном-современном вебе не реализован. Все ринулись в изобретательство квадратноколесных велосипедов.
| | |
| |
| |
| 4.59, пох. (?), 13:48, 15/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +1 +/– | |
> "слишком надежен" "сложен для макак", как Вы думаете, между этими выражениями надо поставить
и. Для макак все надежное - слишком сложно. Вот четыре нескучных апи один поверх другого - макаке просто, она всю жизнь так работает.
> Может где то в серьёзных организациях все же используется?
наверное используется - только знают об этом оба использующих и ни с кем инфой не делятся.
А то будешь с собой таскать официально одобренный кодогенератор на колесиках, что внутри - неведомо, но тендер выиграли правильные пацаны, безопастность одобряет. Если потом внезапно выяснится, что внутри банальный xor под тридцатью обертками - выяснившего накажут, за нецелевое использование оборудования.
| | |
|
|
| |
| |
| |
| 5.72, Xasd (ok), 19:30, 15/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +/– |
 > Я не об этом.
а о чём? ты в явном виде сказал что сохранять секретный ключ ЯКОБЫ не нужно хранить, так как ЯКОБЫ достаточно только лишь генерирования одноразовых паролей.
а я говорю что этого НЕ достаточно так как "игрушка" сломается (в неожиданный момент) и что ты после этого станешь делать?
в описываемом контексте -- датацентры не ломаются -- это у тебя лишь игра слов. когда жёсткий диск в сервере накрывается то это лишь замены внутри RAID.
а пользовательские гаджеты -- это расходный материал -- который в случае поломки заменяется полностью (а не подлежит ремонтирунту/восстановлению, в отличии от серверов).
| | |
|
|
|
|
| 1.41, Аноним (47), 10:47, 15/12/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +/– | |
> возможность открытия ссылок с использованием концепции "Site Specific Browser" (SSB). Новый режим ограничивает открытие в окне только ссылок на страницы текущего сайта (внешние ссылки открываются в отдельном окне браузера), а также скрывает меню, адресную строку и прочие элементы интерфейса браузера.
Вот непонятно, на зачем оно нужно? Ну, хоть какой ни будь вариант использования подскажите, а то голова с утра …
А вот вариант открыть в двух приватных окнах два разных аккаунта тындекса? Приходится брать другой профиль. Как этот тындекс там понимает, что ты уже один раз зарегистрировался? Наверное, всю папку с профилем перелопачивает, да данные сливает :(
| | |
| |
| 2.62, пох. (?), 13:54, 15/12/2019 [^] [^^] [^^^] [ответить] [п©б╘п▒Б┬≥Б∙≈ п©б╘п▒Б┬≥Б∙≥п©б╘п▒Б┬≥Б∙⌡п©б╘п▒Б┬≥Б∙▓п©б╘п▒Б┬≥я▒я▐Б√░п▒Б√═Б■─п©б╘п▒Б┬≥ц╥я▐Б√░п▒Б√═Б√└п©б╘п▒Б┬≥Б∙⌡я▐Б√░п▒Б√═Б■─я▐Б√░п▒Б√═Б√▒]
| +/– | |
> Вот непонятно, на зачем оно нужно? Ну, хоть какой ни будь вариант
не на обычных компьютерах оно нужно. Это продвинутый kiosk mode. Правда, на самом деле и ненужно, но надо ж делать видимость деятельности.
> использования подскажите, а то голова с утра …
сайт нужный для работы открывается, точнее - уже открыт, а больше ничего ты открыть в этом браузере не сможешь, чего непонятного?
> А вот вариант открыть в двух приватных окнах два разных аккаунта тындекса?
приватный режим - он _один_. Окон при этом может быть - много, потому что, внезапно, ты не хочешь полного сброса профиля при попытке открыть одну из ссылок еще не намертво закрученную в аякс, в новом окне.
Но тyпой пользователь, вот как ты или еще хуже, этого не понимает, поэтому, на месте мурзилы, я бы этот режим вообще запретил.
Для большей его же безопастности.
| | |
|
|
