Jag (tillsammans med en miljard människor eller så) fick besked om min Yahoo! konto potentiellt komprometterat igår. Medan jag inte är orolig för det (jag har ändrat mitt lösenord sedan dess, har ett mycket långt och komplext lösenord och inte återanvänder det) tog de sig tid att påpeka Yahoo-kontonyckel . Det här är en funktion där när du loggar in skickar den ett meddelande till Yahoo! app på din mobiltelefon och du måste godkänna det innan inloggningen kan fortsätta.
Du behöver inte längre komma ihåg komplicerade lösenord när du använder Yahoo Kontonyckel för att komma åt ditt konto. För att logga in trycker du på ”Ja” på aviseringen som vi skickar till din mobiltelefon. Med Kontonyckel aktiverad finns det inget lösenord på ditt konto, så ingen annan än du kan logga in.
Detta verkar likna Google TFA-alternativet, Google Prompt, vilket verkligen är bättre än bara enfaktorsautentisering. Men skillnaden här är att medan Google kräver lösenordet OCH uppmaningen, så kräver Yahoo inte lösenordet: så det här är enfaktorsautentisering, bara en annan faktor.
Hur säker är det, jämfört med en bra, komplicerat, långt, aldrig återanvänt lösenord? Finns det några kända metoder för att undergräva meddelanden om mobiltelefoner som kan påverka något liknande?
Jag har en iOS-enhet som kör iOS-lager, men välkomna svar som innehåller information om riskerna på telefonsidan för andra telefoner / situationer (men önskar att mitt scenario täcks, helst) Jag har också min Yahoo! konto anslutet till mitt Google-konto (som är skyddat med 2FA, med hjälp av Google Prompt) och säkerhetskopiera min telefon till iCloud. Jag har ett 6-siffrigt lösenord och fingeravtrycksautentisering på det. Jag är inte särskilt orolig för en riktad attack (jag har ingen särskild anledning att frukta en, inte känna någon som är tillräckligt skicklig för att göra något liknande eller har tillräckligt med värdefull information eller pengar för att vara värt att rikta in sig på; det handlar främst om attacker som är generella till sin natur.
Jag bryr mig inte om att förstå skillnaden i hur dessa fungerar; Jag har en bra förståelse för båda. Jag fokuserar här på att försöka jämföra riskerna. Även om jag har en bra förståelse för lösenord och de risker som ligger i 1FA med lösenord, har jag inte en bra känsla för de risker som ligger i 1FA med mobilaviseringar, och hur man balansera de två.
Kommentarer
- Frågar du hur säkert detta skulle vara i teorin eller hur säkert implementeringen kan tänka på alla säkerhetsproblem Yahoo haft tidigare? Jag menar att lösenord kan lagras säkra också och de gjorde det inte.
- Jag frågar som användare, är det något jag ska välja att använda jämfört med mitt vanliga lösenord. Så jag antar att några av var och en?
- Med den här funktionen beror säkerheten helt på din telefons säkerhet. Hur mycket litar du på dig själv att ingen någonsin har tillgång till din olåsta telefon och att ingen skadlig programvara installeras på telefonen?
- @SteffenUllrich – utmärkt punkt om telefonsäkerhet. Det är ett viktigt övervägande. Jag har just uppdaterat mitt svar för att inkludera din kommentar.
Svar
Som du påpekar är detta inte TFA . Det ger dig helt enkelt två olika sätt att komma åt ditt konto. Du kan välja vilket sätt du känner är säkrare för din situation: ett lösenord eller en fysisk enhet (som din telefon).
Lösenordsfördelar: Ingen ska någonsin kunna få tillgång till ditt konto via de angivna inloggningsmekanismerna utan att veta ditt lösenord. Om ditt lösenord är tillräckligt långt och komplext så att det bara kan gissas med brute force, så även om Yahoo hackades och lösenordshasar stulits är det extremt osannolikt att ditt lösenord skulle hackas innan du meddelades att du måste ändra det.
Lösenordsnackdelar: Ditt lösenord kan äventyras utan att du vet det. Det kan till exempel hända om du anger ditt lösenord från en komprometterad dator (keylogger) eller när du använder ett komprometterat nätverk (MITM-attack) och du råkar klicka genom webbläsarens varning om ett ogiltigt certifikat. En annan (användbarhet, inte säkerhet) nackdel är att om ditt lösenord är långt och komplext, är det irriterande att manuellt ange det på en dator där din lösenordshanterare inte är installerad.
Enhetsfördelar: Någon skulle behöva ha fysisk åtkomst till din enhet för att kunna logga in. (Eller de måste kunna göra vad du skulle göra om du tappade din enhet: Återställ ditt lösenord genom att ha tillgång till din e-post och eventuellt kunna svara på säkerhetsfrågor om dig).Om du har din enhet på dig kan du vara ganska säker på att ingen för närvarande använder ditt Yahoo-konto.
Enhetsnackdelar med enheten: Om någon får åtkomst till din enhet kan de enkelt komma åt ditt konto. Om du förlorar eller förlorar din enhet kommer du inte att kunna använda ditt konto förrän du har din enhet igen, eller du måste återställa ditt konto med en återställning.
Vad gäller det som är bättre i din situation, några saker att tänka på:
- Använder du ofta offentliga eller delade datorer? Sedan lutade jag mig mot kontonyckeln.
- Är din enhet ofta olåst eller använder du en svag skyddsalgoritm (enkelt mönster, enkelt fyrsiffrigt lösenord)? Luta dig kanske mot ett starkt lösenord.
- Har andra människor tillgång till din telefon som du inte vill ha tillgång till ditt konto? Använd sedan definitivt ett lösenord.
Denna FAQ -sida svarar på frågor om hur du återställer / återställer ditt konto.
Kommentarer
- Det ’ är inte klart för mig att lösenordsautentiseringsmetoden fortfarande skulle existera – Yahoo verkar föreslå att lösenordet skulle avskaffas. Och jag förstår skillnader. Jag tror att jag har en bra känsla för hur riskabelt 1FA är med lösenord; min fråga är att försöka ta reda på hur riskabelt 1FA med mobilaviseringar är, eftersom jag bara inte vet ’ mycket om hur lätt det är att ’ hacka ’.
- @joe – Jag håller med dig. Jag ’ har uppdaterat mitt svar.