Jeg (sammen med en milliard eller så andre mennesker) ble varslet om Yahoo! kontoen potensielt kompromittert i går. Selv om jeg ikke er bekymret for det (jeg har endret passordet mitt siden den gang, har et veldig langt og komplekst passord og ikke bruker det igjen), tok de seg tid til å påpeke Yahoo Account Key -funksjon. Dette er en funksjon der den når du logger inn sender et varsel til Yahoo! app på mobiltelefonen din, og du må godkjenne det før påloggingen kan fortsette.
Du trenger ikke lenger huske kompliserte passord når du bruker Yahoo. Kontonøkkel for å få tilgang til kontoen din. For å logge på, trykk på «Ja» på varselet vi sender til mobiltelefonen din. Når Kontonøkkel er aktivert, er det ikke noe passord på kontoen din, så ingen andre enn deg kan logge på.
Dette ser ut som Google TFA-alternativet, Google Prompt, som absolutt er bedre enn bare enfaktorautentisering. Men forskjellen her er at mens Google krever passordet OG ledeteksten, krever Yahoo ikke passordet: så dette er enfaktorautentisering, bare en annen faktor.
Hvor sikker er dette, sammenlignet med en godt, komplekst, langt, aldri gjenbrukt passord? Er det noen kjente metoder for å undergrave mobiltelefonvarsler som kan påvirke noe sånt som dette?
Jeg har en iOS-enhet som kjører lager iOS, men velkommen svar som inkluderer detaljer om risiko på telefonsiden for andre telefoner / situasjoner (men ønsker at scenariet mitt skal dekkes, helst). Jeg har også min Yahoo! konto koblet til Google-kontoen min (som er beskyttet med 2FA, ved hjelp av Google Prompt), og sikkerhetskopier telefonen min til iCloud. Jeg har en 6-sifret passord og fingeravtrykksautentisering på det. Jeg er ikke spesielt bekymret for et målrettet angrep (jeg har ingen spesiell grunn til å frykte en, ikke kjenne noen som er tilstrekkelig dyktige til å gjøre noe slikt eller ha nok verdifull informasjon eller penger til å være verdt å målrette mot). Dette handler først og fremst om angrep som er generelle.
Jeg er ikke opptatt av å forstå forskjellen i hvordan disse fungerer; Jeg har god forståelse for begge deler. Jeg fokuserer her på å prøve å sammenligne risikoen. Selv om jeg har god forståelse av passord og risikoen som ligger i 1FA med passord, har jeg ikke en god følelse av risikoen som ligger i 1FA med mobilvarsler, og hvordan balansere de to.
Kommentarer
- Spør du hvor sikkert dette ville være i teorien, eller hvor sikker implementeringen kan være med tanke på alle sikkerhetsproblemene Yahoo hadde tidligere? Jeg mener, passord kan også lagres sikkert, og de gjorde det ikke.
- Jeg spør som bruker, er dette noe jeg bør velge å bruke versus mitt vanlige passord. Så jeg antar at noen av hver?
- Med denne funksjonen avhenger sikkerheten helt av sikkerheten til telefonen din. Hvor mye stoler du på deg selv at ingen noen gang har tilgang til den ulåste telefonen din og at ingen skadelig programvare blir installert på telefonen?
- @SteffenUllrich – utmerket poeng om telefonsikkerhet. Det er et viktig hensyn. Jeg oppdaterte nettopp svaret mitt for å inkludere kommentaren din.
Svar
Som du påpeker, er dette ikke TFA . Det gir deg bare to forskjellige måter å få tilgang til kontoen din. Du kan velge hvilken måte du føler er tryggere for din situasjon: et passord eller en fysisk enhet (for eksempel telefonen din).
Passordfordeler: Ingen skal kunne få tilgang til kontoen din via de angitte påloggingsmekanismene uten å vite passordet ditt. Hvis passordet ditt er tilstrekkelig langt og komplekst slik at det bare kan gjettes via brutal kraft, så selv om Yahoo ble hacket og passordhash ble stjålet, er det ekstremt lite sannsynlig at passordet ditt ville bli hacket før du ble varslet om at du må endre det.
Ulemper med passord: Passordet ditt kan bli kompromittert uten at du vet det. Dette kan for eksempel skje hvis du skriver inn passordet ditt fra en kompromittert datamaskin (keylogger) eller når du bruker et kompromittert nettverk (MITM-angrep) og du tilfeldigvis klikker gjennom nettleservarselen om et ugyldig sertifikat. En annen ulempe (brukervennlighet, ikke sikkerhet) er at hvis passordet ditt er langt og komplekst, er det irriterende å legge det inn manuelt på en datamaskin der passordadministratoren ikke er installert.
Enhetsfordeler: Noen trenger fysisk tilgang til enheten din for å logge på. (Eller de må være i stand til å gjøre det du måtte gjøre hvis du mistet enheten din: tilbakestill passordet ditt ved å ha tilgang til e-postadressen din og muligens kunne svare på sikkerhetsspørsmål om deg).Hvis du har enheten din, kan du være ganske sikker på at ingen for øyeblikket bruker Yahoo-kontoen din.
Ulemper ved enheten: Hvis noen får tilgang til enheten din, kan de enkelt få tilgang til kontoen din. Videre, hvis du mister eller plasserer enheten din, vil du ikke kunne bruke kontoen din før du har enheten din igjen, eller du må gjenopprette kontoen din med en tilbakestilling.
Når det gjelder det som er bedre i din situasjon noen ting du bør vurdere:
- Bruker du ofte offentlige eller delte datamaskiner? Så ville jeg lene meg mot kontonøkkelen.
- Blir enheten din ofte ulåst eller bruker du en svak beskyttelsesalgoritme (enkelt mønster, enkelt firesifret passord)? Deretter kan du lene deg mot et sterkt passord.
- Har andre mennesker tilgang til telefonen din som du ikke vil ha tilgang til kontoen din? Bruk så passordet.
Denne FAQ -siden svarer på spørsmål om hvordan du kan gjenopprette / tilbakestille kontoen din.
Kommentarer
- Det ‘ er ikke klart for meg at passordgodkjenningsmetoden fremdeles ville eksistere – Yahoo ser ut til å antyde at passordet vil bli fjernet. Og jeg forstår Jeg synes jeg har en god følelse av hvor risikabelt 1FA er med passord. Spørsmålet mitt prøver å finne ut hvor risikabelt 1FA med mobilvarsler er, da jeg bare ikke vet ‘ mye om hvor enkelt det er å ‘ hack ‘.
- @joe – Jeg er enig med deg. Jeg ‘ har oppdatert svaret mitt.