Уязвимость 2fa

[Novoslav]

В последнее время очень часто слышал в чате про взлом аккаунтов. А ещё слышал выражения типа - поставь 2fa и будет тебе счастье, взломать практически невозможно. Это не так . Я долго пытался понять как хакеры взламывают аккаунты и пришёл к выводу, что это можно сделать только получив контроль над привязанной почтой. Именно для того, чтобы её узнать взламывают форумные аккаунты или аккаунты дискорда (так как вряд ли человек будет устанавливать разные почтовые ящики). Остальное дело техники. У меня вчера возникла необходимость восстановить свой пароль для аккаунта на стейке, на котором стояла защита 2fa. Что я сделал? Просто запустил процедуру восстановления пароля. В ответ на мою привязанную почту пришло письмо со ссылкой для установления пароля. Перейдя по ней, всё, что я увидел - это окошечко, где предлагалось ввести новый пароль, подтвердить его и решить капчу. Всё. Новый пароль был установлен. После этого, я перешёл на главную страницу сайта, ввёл логин, новый пароль и решил капчу. Поле с кодом 2fa оставил пустым и вуаля - я в своём аккаунте.

Я рассказал об этом в поддержку, мне сказали что всё проверят, но ответа пока не было. Из всего сказанного следует одно - пока на сайте есть проблемы с безопасностью, максимально защищайте свою почту, особенно тщательно выбирайте контрольные вопросы для восстановления почтового ящика. Хотя и это, в случае необходимости, не сильно спасёт вас от взлома - но жуликов надолго остановит.

[Koljascha]

Печально все это и речь тут не только об аккаунте на стейке, потеряв контроль над почтой теряешь контроль над всем. А тех кто взламывает почтовые ящики надо ловить и сажать на длительные сроки, чтобы неповадно было. 

[MpLol]

У меня на почте 2фа стоит и пароль не из простых. Я пока не переживаю из-за этого повода. Мне повезло, так как при хакерской атаке на стакан мой акк не взломали. 

[minys]

У меня когда входят в мою почту на моем телефоне приходит сообщение с вопросом, это вы входите в почту или нет а потом просят нажать на цифру которую вижу на экране. Думаю это надёжная защита.

[Alamar]

Да и ту же процедуру востановления пароля можно усложнить так что задолбаешься взламывать. 

[Himiko]

Самое лучшее это 2фа с помощью приложения например: Google Authenticator приложение доступно для андроид: https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2

и для IOS:

http://appstore.com/googleauthenticator

А 2фа через почту это ерунда потому что почту легко можно взломать. Подробнее о том что такое 2FA и Google Authenticator: 

https://medium.com/@maximmaximov_72535/что-такое-2fa-и-google-authenticator-896965371114

[zolushka]

On 2/2/2019 at 9:05 AM, Novoslav said:

В последнее время очень часто слышал в чате про взлом аккаунтов. А ещё слышал выражения типа - поставь 2fa и будет тебе счастье, взломать практически невозможно. Это не так . Я долго пытался понять как хакеры взламывают аккаунты и пришёл к выводу, что это можно сделать только получив контроль над привязанной почтой. Именно для того, чтобы её узнать взламывают форумные аккаунты или аккаунты дискорда (так как вряд ли человек будет устанавливать разные почтовые ящики). Остальное дело техники. У меня вчера возникла необходимость восстановить свой пароль для аккаунта на стейке, на котором стояла защита 2fa. Что я сделал? Просто запустил процедуру восстановления пароля. В ответ на мою привязанную почту пришло письмо со ссылкой для установления пароля. Перейдя по ней, всё, что я увидел - это окошечко, где предлагалось ввести новый пароль, подтвердить его и решить капчу. Всё. Новый пароль был установлен. После этого, я перешёл на главную страницу сайта, ввёл логин, новый пароль и решил капчу. Поле с кодом 2fa оставил пустым и вуаля - я в своём аккаунте.

Я рассказал об этом в поддержку, мне сказали что всё проверят, но ответа пока не было. Из всего сказанного следует одно - пока на сайте есть проблемы с безопасностью, максимально защищайте свою почту, особенно тщательно выбирайте контрольные вопросы для восстановления почтового ящика. Хотя и это, в случае необходимости, не сильно спасёт вас от взлома - но жуликов надолго остановит.

Именно поэтому, теперь к почте еще и номер телефона предлагают привязать, что бы в случае взломов, была возможность восстановить доступ к почте через смс.

[Lexus19]

Слава , такого быть не может . Видимо 2 фа у тебя был отключен , для восстановления пароля необходимо ввести так же 2фа , а в случае отсутствия его будет только капча . 

[YuRed]

ну почта у меня защищена нормально вроде, и пароль сложный и через телефон подтверждение стоит

On 2/2/2019 at 10:05 AM, minys said:

У меня когда входят в мою почту на моем телефоне приходит сообщение с вопросом, это вы входите в почту или нет а потом просят нажать на цифру которую вижу на экране. Думаю это надёжная защита.

ну да, это своего рода 2fa, у меня так же, без подтверждения не войдёшь

[MpLol]

On 2/2/2019 at 10:05 AM, minys said:

У меня когда входят в мою почту на моем телефоне приходит сообщение с вопросом, это вы входите в почту или нет а потом просят нажать на цифру которую вижу на экране. Думаю это надёжная защита.

У меня кстати на тел не цифра приходит, а код, который нужно вводить при входе в почту, хотя думаю у тебя так же. Вот если бы еще весь номер был скрыт, на который сообщение с кодом приходит, было бы норм.