Универсальная двухфакторная аутентификация - U2F

[PashaHP 5076]

2 hours ago, displayman228 said:

Такая степень защиты подойдет далеко не всем, если ты торгуешь копейками зачем делать себе такую защиту, а так очень интересная статья, благодарю.

Да, возможно вы и правы, но мне кажется людям даже эти копейки будет не очень приятно потерять, поэтому нужно ставить защиту. Желательно самую надёжную. Можно сказать, что все равно мошенники, если захотят, то украдут твои бабки, но самая современная защита должна стоять всегда 

[Alexey1982sd 0]

Да думаю как и у многих это был биткоин, потом кстати я начал зарабатывать Доги, хотя на тот момент многие не верили в долгожительность монеты.

[Gegemon666 670]

Ну не знаю мне и стандартной двухфакторной аунтефикации хватает вполне. Как по мне так она и ещё сильнее данной

[thesaintplague 516]

5 hours ago, MaluTka94 said:

у меня лично не большие суммы но я купила бы себе с удовольствие U2F для своего леджера так как то новая технология и хотелось бы её попробовать 😃 может когда соберу в леджере пару тысяч долларов то и куплю себе такую защиту)))

Так у Вас в Ledger уже встроена эта технология. Используется посредством установки специального приложения в Ledger Live. 

И еще, позвольте уточнить, Вы собираетесь приобрести себе такую защиту для леджера? А сам по себе он Вам кажется недостаточно защищенным?  

Edited January 23, 2020 by thesaintplague

[ricariolo.m1los 45]

5 hours ago, TremBl said:

Если вся эта защита осуществляется через так звание ключи то как по мне это такое себе, лично мне было бы неудобно, хотя в этом тоже есть свои плюсы

Так никакой способ безопасности не является удобным. Потому что все эти подтверждения занимают лишнее действия и какое то время. Но от этого всего зависит наши данные, поэтому я считаю что это стоит того. 

[MaluTka94 606]

2 hours ago, thesaintplague said:

Так у Вас в Ledger уже встроена эта технология. Используется посредством установки специального приложения в Ledger Live. 

И еще, позвольте уточнить, Вы собираетесь приобрести себе такую защиту для леджера? А сам по себе он Вам кажется недостаточно защищенным?  

Я знаю что оно уже есть в леджере, я видела в меню U2F но не поняла для чего оно, друг сказал защита на подобии 2ф да и всё, я перестала сильно вникать , а тут у вас в теме увидела что это типо порта который вставляется в сам леджер.. нет я не считаю их не безопасным, просто хочу чтоб безопасность была на максимальном уровне, да и просто хочу иметь у себя новинки

Edited January 23, 2020 by MaluTka94

[klon68 35381]

17 hours ago, CrazyPool said:

Для крупных инвесторов действительно,а для нас не особо больших в принципе и этого хватит.Самое главное при крупно маштабных переводах не ложануться.

Самое главное в 2фа, что бы само приложение не дало сбой. Лично с таким сталкивался, просто сайт перестал принимать коды из приложения и все.

[Gegemon666 670]

38 minutes ago, klon68 said:

Самое главное в 2фа, что бы само приложение не дало сбой. Лично с таким сталкивался, просто сайт перестал принимать коды из приложения и все.

Интересно конечно. Но это проблема довольно типичная, случается сбой из-за разногласий во времени. Так что это легко фиксить

[Alehanbro 2594]

в первую очередь нужно делать афигеть какой сложный пароль, чтобы никакая программа его не взломала, а потом уже переходить на двухфакторную, как минимум

[ExCITE 91]

Это всё конечно интересно, и очень безопасно. Но я даже 2FA  не особо лб\юлю использовать, не то что, что-то более продвинутое и сложное. Так что пока я не владею такими большими суммами с дальше буду использовать 2fa в виде входа по смс.

[Madi in dobrbIu 4]

On 01.12.2019 at 07:22, Abduraxman said:

Безусловно-второй вариант лучше-по всем параметрам.Но-как то не хочется платить 50 баксов за данное устройство.А если потерял например-как в таком случае быть?Ладно если уж речь идет о просто огромных суммах-но как то вполне обычного пароля и двухфакторки-не обязательно гугл-даже подтверждения по почте вполне достаточно.

Плюс конечно же есть-но такое устройство не каждому нужно.

 

Согласен дороговато будет, но если будут аналоги которые будут стоить существенно дешевле, то вариант 1 уже становиться куда благоприятнее, суть одна главное это безопасно.

[AslanAE 516]

Очуметь! Вот я темнота! ))) Впервые слышу о такой U2FA !!Еще и носители специальные прилагаются! Спасибо тебе человек за информацию ,надеюсь пригодиться мне этот способ для важных  сайтов в будущем, ведь пока мне шибко то и нечего шифровать и делать супер безопасный доступ ))

[borabora85 1584]

On 30.11.2019 at 03:49, thesaintplague said:

Приветствую, форумчане! Соответствующей темы найти здесь не удалось, потому самым разумным было бы создать свою. Итак - двухфакторная аутентификация. Большинство из нас свыклись с мыслью о сверхнадежности традиционной 2FA, которая якобы не подлежит сомнению. Да, действительно, лучше с ней, чем без. Но не все настолько хорошо, как может показаться на первый взгляд. Далее я попытаюсь рассказать о разнице между традиционной 2FA и U2F, и почему стоит незамедлительно переходить ко второму варианту защиты. Конечно, если есть из-за чего переживать.

Итак, 2FA (двухфакторная аутентификация, two-factor authentication):
Способ доступа к разного рода интернет сервисам, где для входа в личный кабинет необходимо знание одноразового пароля (One Time Password), который постоянно меняется. То есть, главным атрибутом традиционной двухфакторной аутентификации являются одноразовые пароли и время их появления на сервере. На графике это выглядит примерно так:



Как видно на графике, секретный пароль в приложении (Google Authenticator, к примеру) и на сервере генерируется одновременно, где в последствии хешируется вместе со значением времени, и сопоставляется во время ввода в соответствующее окно.

Минусы:
- Симметричное шифрование OTP
- Онлайн передача OTP
- Ручной ввод OTP
- Возможные проблемы при утере устройства для генерации OTP 

U2F - (универсальная двухфакторная аутентификация, universal two-factor authentication)
Все тот же защищенный способ доступа к важным данным при использовании "чего-то еще", помимо логина и пароля, но...

Мы находимся на криптовалютном форуме, потому большинству этот способ аутентификации будет очень и очень знакомым. График:



Итак, как видно на рисунке, при подключении U2F генерируется публичный (который хранится на сервере) и приватный (хранится только у Вас) ключ. При инициализации входа в сервис, сервер U2F запрашивает сообщение, которое мы подписываем приватным ключом. Как Вы могли заметить, процесс очень схож с традиционной подписью транзакций в любом из существующих блокчейнов. 

Плюсы:
- Доступ к публичному ключу не равно доступ к данным
- Приватный пароль никогда не покидает устройство
- Отсутствие одноразовых кодов (впрочем, некоторые модели позволяют их генерировать дополнительно)
- Нет сложностей с восстановлением (при использовании Trezor или Ledger необходимо лишь провести восстановление посредством сид-фразы)
- Сложнее потерять (согласитесь, то, что лежит в сейфе потерять значительно сложнее, чем то, что Вы постоянно носите с собой)

Минусы: 
- Есть смысл использовать только при наличии физического ключа (холодного хранилища для приватного ключа)
- Узкий список поддерживаемых сервисов (Dropbox, Google Drive, Twitter, Facebook, Bitfinex, Coinbase. полный список здесь)

Как Вы уже поняли, для полноценной работы с универсальной двухфакторной аутентификацией необходимо физическое хранилище, коих на рынке даже сейчас весьма широкий ассортимент. Ценовая политика варьируется от 15 до 75$. Выпускаются с рабочим интерфейсом NFC, USB-C, USB-A и Lightning. В общем, вот некоторые из них:



Обратите внимание на уже хорошо нам знакомые Trezor и Ledger, которые помимо возможности использования U2F еще и бережно хранят нашу криптовалюту от всякого рода несанкционированного доступа. Вот что действительно "must have" для любого держателя криптовалют и приверженца максимальной безопасности. 

О подключении U2F к бирже Binance рассказываю здесь.

Благодарю за внимание 🔐.

Как уже заметил автор заботимся о безопасности если есть что терять. Такая защита нужна если уже есть серьёзные накопления в криптовалюте, для пары тысяч баксов такая защита ни к чему. 

[NikeFit_7777 14238]

29 minutes ago, NikitaMavrin said:

Это отличный способ сохранить свою криптовалюту, особенно, если вы храните ее в больших суммах, тем самым обезопасить ее для злоумышленников. 

Конечно самый надёжный способ, но нужно понимать что даже если вы его купите а стоит он достаточно не мало, и будете дальше заходить куда попало, и скачивать что попало, думаю ничего уже не сможет вам сохранить свои деньги. Сам думаю спустя время без сомнений купить данную защиту, ведь это будущее кто бы что не говорил, и взломать счёт со временем будет невозможно. Так что кто хранит достаточно большие суммы однозначно стоит покупать, и не думать что вас могут взломать. К тому же данную защиту можно сейчас прямиком купить с доставкой что и буду делать, но всё же цена должна отвечать надёжности, в чём я безусловно уверен.

[wellfor 587]

Интересная статья. Сам с удовольствием пользуюсь двухфакторкой. А кто нибудь знает случаи, что пропал код к вашему ресурсу из аутентификатора? Или потерял телефон, как вернуть коды?

[Wiseman 10489]

1 hour ago, wellfor said:

Интересная статья. Сам с удовольствием пользуюсь двухфакторкой. А кто нибудь знает случаи, что пропал код к вашему ресурсу из аутентификатора? Или потерял телефон, как вернуть коды?

Даже далеко ходить не надо , сегодня выводил битки из одного сервиса и там у меня стоит двухфакторка но недавно я поменял телефон на новый и когда вводил в новый телефон и запасной код то либо я его криво записал либо глюк , но хорошо что старый телефон лежал на месте и с помощью него я всё сделал .

[mdv 37587]

1 hour ago, Wiseman said:

Даже далеко ходить не надо , сегодня выводил битки из одного сервиса и там у меня стоит двухфакторка но недавно я поменял телефон на новый и когда вводил в новый телефон и запасной код то либо я его криво записал либо глюк , но хорошо что старый телефон лежал на месте и с помощью него я всё сделал .

Ну а на новом то что? Глюк вылечили? Я сталкивался один раз с подобным, но у меня продублированы записи в различных форматах, и QR коды также к каждому ключу на всякий пожарный имеются.

[Wiseman 10489]

5 minutes ago, mdv said:

Ну а на новом то что? Глюк вылечили? Я сталкивался один раз с подобным, но у меня продублированы записи в различных форматах, и QR коды также к каждому ключу на всякий пожарный имеются.

Да вылечил а точнее со старого скинул а потом по новой сразу на два установил так сказать для верочки ))

[mdv 37587]

1 minute ago, Wiseman said:

Да вылечил а точнее со старого скинул а потом по новой сразу на два установил так сказать для верочки ))

Я помимо телефона браузерным расширением пользуюсь, так вроде бы поудобней, чем пальцами тыкать. На телефоне и бекап то не сделаешь, чтобы удобно можно было одним кликом восстановить.

[thesaintplague 516]

1 hour ago, THRASHER said:

Это действительно универсальная верификация, но вот только у нее есть один недостаток, это то что нужно еще одно дополнительное устройство, которого иногда нет.

Это парадоксально, но то, что Вы смело назвали недостатком, как раз таки является главным преимуществом данного типа аутентификации. Никто (совсем никто) не сможет войти, к примеру, в Ваше Google облако, пока Вы, физическим нажатием кнопки на устройстве, не позволите этому осуществиться. 

[klon68 35381]

20 hours ago, Gegemon666 said:

Интересно конечно. Но это проблема довольно типичная, случается сбой из-за разногласий во времени. Так что это легко фиксить

Не знаю. Я че только не пытался делать не помогало. думал уже все, счет потерял, поддержка в итоге помогла его отключить, но то же помучали.

[Wiseman 10489]

14 hours ago, mdv said:

Я помимо телефона браузерным расширением пользуюсь, так вроде бы поудобней, чем пальцами тыкать. На телефоне и бекап то не сделаешь, чтобы удобно можно было одним кликом восстановить.

Да не так то уж там и много вбивать приходится , всего шесть цифр ввести )))

[dlanp 52]

16 hours ago, Pepethefrogger said:

полностью поддерживаю, но тем у кого защищать нечего её подключать незачем, например мне с моими копейками она ни к чему, очевидно...

Я тоже так думал и даже после того как на счету были не копейки, а несколько месячных зарплат, но не ставил 2 аутенфикацию пока не начитался историй про взломы счетов. 

[mdv 37587]

3 hours ago, Wiseman said:

Да не так то уж там и много вбивать приходится , всего шесть цифр ввести )))

Ну ясен пень - это не кайлом махать.) Не сложно. И все же сравните - достал телефон, открыл, посмотрел, вбил ручками шесть цифр. Вариант в браузере - щелчок на значке расширения, второй щелчок по нужной записи - автоматом вставилось в нужное поле. И то и другое конечно не сложно, но по степени удобства первый вариант явно проигрывает.

[mdv 37587]

1 minute ago, Dup4k said:

Очень крутая штука , но у меня вопрос что если я их потерял или сломал ??? Да надежно , но могут ли они вернуть доступ к твоим данным если у тебя есть чек о покупке таких флешек

Да доступ к данным находится только у вас, не надо никаких чеков и прочего. Вы покупаете новое устройство при поломке и восстанавливаете все сами из своего приватного ключа. Его вы должны были сохранить изначально.